Compliance y Ciberseguridad

La nueva vida generada por la pandemia agudiza los sentidos y pone al factor humano y a la tecnología en escenarios nuevos, ciberdelitos, ciberbullyng, gossping, insultos anónimos, ciberabusos, hackeos, fake news, y un sin fin de ciberataques que nos atormentan. Provocada ya esa disrupción imparable ahora solo deberemos saber la manera de protegernos de ellos.

Y aunque el compliance y la ciberseguridad parezcan dos disciplinas completamente diferentes, tienen muchas cosas en común y pueden ser y deben ser grandes aliados en las organizaciones y en nuestra vida cotidiana, la idea es evitar esos riesgos o brechas de seguridad que tanto buscan las empresas.

Ese conjunto de buenas prácticas que asumen las empresas a fin de evitar, gestionar, mitigar los riesgos empresariales, a través de mecanismos algunos exigidos por ley y otros recomendados por estándares o por una visión sostenible , es necesario que contengan técnicas, formación y elementos de ciberseguridad, tanto para proteger la base de datos empleadas como para cuidar la filtración de información, delitos cibernéticos como estafas en línea, hackeos internos o externos y demás problemas anteriormente planteados.

Estos riesgos tecnológicos a enfrentar traen además de pérdidas económicas un daño reputacional mucho más difícil de enfrentar, además está la gran dificultad de asegurar la continuidad de los servicios, los riesgos operacionales y la posición en el mercado, entre otros.

Uno de los elementos más esenciales en un programa de compliance es la FORMACION, y esta vista desde el CONTROL: es muy importante que las compañías conciencien y formen a sus equipos, sobre todo en temas de Ciberseguridad ya que es la puerta actual de acceso a los CIBERDELINCUENTES.

 El encuadre que los Programas de Integridad de las empresa hagan de estos temas y la importancia que se le asigne a las capacitaciones y a la designación un Oficial de Cumplimiento o un Data Protection que supervise la Ciberseguridad de la empresa, es ahora el quid de la cuestión.

Entonces el desafío que tenemos es Cultural más que tecnológico, debe ser una propuesta fácil de entender y de adoptar por los diferentes niveles de la empresa.

Que beneficios obtenemos interrelacionando Ciberseguridad y Compliance:

1.- El aspecto más destacado sin duda es el Cumplimiento Normativo, indispensable para poder partir con al menos cubrir los riesgos legales de la organización en cuanto a la normativa aplicable, tanto interna como internacional en materia de protección de datos y normativa preventiva del cibercrimen.

2.- Además provoca la oportunidad de generar buenas prácticas tecnológicas, esto es el uso apropiado de la tecnología para la consecución de sus fines, da la oportunidad que con las capacitaciones podamos culturizar dentro de la empresa, y por qué no para toda nuestra cibervida, en cuanto al uso responsable de la misma, al conocer los riesgos a los que nos exponemos.

3.- El compliance es un aliado en este sentido de la ciberseguridad, ya que otorga las herramientas, los profesionales capacitados, y los mecanismos de control y de recuperación necesarios, junto con los Departamentos de T.I. formando equipos de trabajo y de ciberprotección.

4.- Se genera la alerta temprana al realizar un análisis de riesgos tecnológicos que permiten detectar las fallas de seguridad en el sistema de protección tecnológica. Así se gestionan los riesgos tecnológicos y se logra mitigarlos, asumirlos o eliminarlos.

5.- Y algo fundamental provoca que la empresa sea resiliente ante los mismos, esto es provocar la recuperación ante el evento lo más rápido que sea posible, al tener alertas y personal capacitado en la materia y minimizando las consecuencias desfavorables.

Ahora, cómo introducimos la Ciberseguirdad en una empresa?

Lo deberíamos gestionar desde 4 Frentes o Niveles prioritarios:

1.- NIVEL TÉCNICO : Disponer de medidas técnicas y procedimientos a través de una evaluación y diagnóstico del sistema operativo empleado , protección de antivirus, protección antispyware.

SE debe realizar con frecuencia ejercicios de seguridad de forma ininterrumpida, actividades donde se simule ciberataques para desarrollar o poner a prueba competencias de prevención, detección, mitigación, respuestas o recuperación tras el ataque.

Se debe evaluar asimismo si existe algún órgano de normalización que adopte normativas internaciones o nacionales sobre ciberseguridad ( que normativa me aplica de acuerdo a ubicación de mi organización, o si hay posibilidades de implementar la ISO 27001)

Se indaga además si existe algún mecanismo o función técnica para luchar contra el correo basura?

(algún software anti-virus); Utiliza su organización la nube de ciberseguridad en el Sector Público?

Cuenta la compañía con un responsable de instalar y mantener el software de seguridad de la computadora (lo realiza un empleado interno, un administrador de software, personal TI).

Qué versión de Window está instalada en el equipo, Qué navegador se utiliza, (explorer, fire fox, mozilla, etc)

Qué antivirus tienen instalado: avast, microsof, eset, Avira, etc.

Cada cuánto se actualiza ese antivirus= automático, 2 veces por semana?

Qué software antispyware utilizas (antiespías)? Este software es un programa espía, es un tipo de malware que se instala de manera furtiva en tu ordenador para apoderarse de la información que divulgas durante tus actividades en línea, hábitos de navegación e incluso personales, hasta claves de TC. Los datos obtenidos por estos programas tienen por lo general fines comerciales y son vendidos por sus creadores a compañías de publicidad e incluso organizaciones delictivas.

Suelen llegar a tu PC cuando descargas archivos de sitios poco confiables.

Utilizas software de firewall, que es un cortafuego de los computadores. Tener este software reduce posiblidades de amenazas a la seguridad.

Cada cuanto monitoreas tu computadora.

A través de una encuesta de seguridad informática puedes conocer su equipo de trabajo, y las actividades que realiza el empleado habitualmente con su computador.

2.- NIVEL JURIDICO:

Veamos si existen en su empresa protocolos sobre ciberseguridad e integridad informática disponibles, sistemas de información de redes, etc.

Realizaremos un análisis y seguimiento del uso de aparatos eléctricos de la empresa ( tablets, teléfonos, pc, etc), quienes tienen acceso a ellos.

Quienes manipulas los datos de la empresa, donde los almacenan, quien es el Administrador y quien el Operador de los mismos.

Indagaremos si existe alguna política de protección de datos personales sensibles.

De qué manera se eliminan los correos basura.

SE hará una evaluación de las prácticas con respecto a la ciberseguridad.

Qué protocolos de uso de claves y contraseñas existe en la empresa.

3.- NIVEL CAPACITACIÓN.

Deberemos saber si existen campañas sobre ciberseguridad, existe un encargado de culturizar a la empresa en cuanto a recaudos peligros y riesgos sobre el mal uso de los sistemas digitales.

Existen cursos obligatorios con mecanismos de interacción con el personal para fomentar la cultura digital?

Hay auditorías de ciberseguridad?

 4.- NIVEL DE COOPERACION.

Concienciar a la Alta dirección de la necesidad de incorporar, y de otorgar los recursos necesarios al sector para esta temática de CIBERSEGURIDAD dentro de sus programas de compliance, como inversión y no como gasto.

Con estos parámetros estamos en condiciones de decir que es casi imprescindible incorporar temas de ciberseguridad en nuestros Programas de Compliance y lograr la integridad y globalidad de ellos.

Marisa Mancino
Presidenta World Compliance Association, capitulo chileno.