Tema 5 de 6
Gobernanza, riesgo y cumplimiento (GRC)
Las leyes definen cómo proteger los datos, dónde guardarlos y quién responde ante un incidente. GRC es el conjunto de prácticas para cumplirlas de forma ordenada mientras se gestionan los riesgos del negocio. Este tema prepara el terreno para todo el dominio de cumplimiento con Microsoft Purview.
Contenido
¿Qué es GRC?
Las organizaciones operan en un entorno regulatorio cada vez más complejo y enfrentan riesgos internos y externos que pueden interrumpir la operación, exponer datos o dañar la confianza. GRC integra políticas, procesos y tecnologíapara afrontarlo de forma estructurada.
Un enfoque estructurado de GRC ayuda a:
Gobernanza
Es el sistema de reglas, prácticas y procesos con el que la organización dirige y controla sus actividades. Muchas reglas nacen de estándares, obligaciones y expectativas externas. Por ejemplo, definir quién puede acceder a qué recursos, quién tiene privilegios de administrador y por cuánto tiempo, y qué pasa cuando se incumplen esas reglas.
En seguridad, la gobernanza incluye:
- Definir y aplicar políticas para clasificar, manejar y retener datos
- Establecer estándares de administración de identidades y accesos
- Crear procesos de aprobación para accesos privilegiados
- Asignar dueños y responsables de cada control de seguridad
- Fijar la dirección general de la estrategia de seguridad
Idea clave
La gobernanza es la estructura sobre la que operan la gestión de riesgos y el cumplimiento. Sin reglas y responsables definidos, no hay forma de medir riesgos ni de demostrar que se cumple nada.
Gestión de riesgos
Es identificar, evaluar y responder a amenazas o eventos que pueden afectar los objetivos o la confianza de los clientes. Toda organización tiene riesgos: el objetivo no es eliminarlos todos, sino entenderlos lo bastante bien para decidir qué hacer con cada uno.
Riesgos externos
Ciberataques, desastres naturales, crisis económicas, cambios regulatorios y acciones de proveedores externos.
Riesgos internos
Exposición accidental de datos por empleados, amenazas internas, fraude y huecos en los procesos de seguridad.
El proceso suele seguir cuatro pasos:
Identificar
Descubrir riesgos para sistemas, datos y operaciones con entrevistas, evaluaciones de vulnerabilidades, hallazgos de auditoría y monitoreo continuo.
Evaluar
Medir cada riesgo por su impacto potencial y su probabilidad. El resultado es una puntuación que ayuda a priorizar cuáles necesitan más atención.
Responder
Definir un plan para cada riesgo importante: aceptarlo, mitigarlo, transferirlo o evitarlo.
Monitorear
Seguir los riesgos identificados, medir la eficacia de los controles y actualizar la evaluación a medida que cambia el entorno.
Las 4 respuestas al riesgo
| Respuesta | Qué significa | Ejemplo |
|---|---|---|
| Aceptar | Asumir el riesgo porque su impacto es bajo | Un sistema interno sin datos sensibles queda sin un control costoso |
| Mitigar | Implementar controles que reducen impacto o probabilidad | Exigir MFA para reducir el robo de cuentas |
| Transferir | Pasar el impacto económico a un tercero | Contratar un seguro contra ciberataques |
| Evitar | Cambiar el proceso que genera el riesgo | Dejar de almacenar un tipo de dato que no se necesita |
Cumplimiento
Es seguir las leyes, regulaciones, estándares y políticas que aplican según la industria, la geografía y el tipo de datos. Definen qué datos proteger, qué procesos tener y qué sanciones hay por incumplir.
HIPAA
Health Insurance Portability and Accountability Act: regulación de EE. UU. sobre la protección y el manejo de información de salud.
ISO 27001
Estándar internacional para sistemas de gestión de seguridad de la información.
SOC 2
Service Organization Control 2: estándar de auditoría para proveedores que guardan o procesan datos de clientes.
Cumplimiento no es lo mismo que seguridad
El cumplimiento fija el mínimo que exigen las leyes. La seguridad es más amplia: abarca todos los procesos, tecnologías y prácticas que protegen datos y sistemas. Una organización que solo hace el mínimo puede cumplir técnicamente y aun así tener vulnerabilidades graves.
Residencia, soberanía y privacidad
Residencia de datos (Data residency)
Regulaciones sobre en qué lugares físicos se pueden guardar los datos y cómo y cuándo se transfieren, procesan o acceden desde otros países. Varían mucho según la jurisdicción. En la nube, hay que verificar dónde guarda físicamente el proveedor los datos y si esos lugares cumplen los requisitos.
Soberanía de datos (Data sovereignty)
Los datos quedan sujetos a las leyes del país o región donde se recopilan, guardan o procesan. Un mismo dato recogido en un país, guardado en otro y procesado en un tercero queda sujeto a las leyes de los tres. Las organizaciones globales deben saber qué jurisdicciones aplican y cómo interactúan sus leyes.
Privacidad de datos (Data privacy)
El manejo adecuado de datos personales: cualquier información sobre una persona identificada o identificable, sea directa (nombre, correo, teléfono) o indirecta (historial de ubicación o de navegación).
Las leyes de privacidad exigen a las organizaciones:
- Ser transparentes sobre qué datos personales recopilan y cómo los usan
- Obtener el consentimiento adecuado antes de recopilar ciertas categorías de datos
- Dar a las personas derechos sobre sus datos: acceder, corregir o borrar
- Proteger los datos personales contra accesos o exposiciones no autorizados
Estas leyes aplican donde la organización opera y donde están sus clientes, así que las empresas globales suelen tener que cumplir varias regulaciones de privacidad a la vez.
Cómo encajan las tres piezas
Gobernanza · el marco
Decide reglas, responsables y procesos.
Riesgo · las prioridades
Indica qué amenazas importan más y qué hacer con cada una.
Cumplimiento · la prueba
Demuestra que se respetan las obligaciones externas.
En el dominio 4 verás cómo Microsoft apoya cada pieza: el Service Trust Portal y los principios de privacidad, Compliance Manager para medir el cumplimiento y las soluciones de Purview para proteger y gobernar los datos.
Escenarios de examen
| Situación | Concepto | Por qué |
|---|---|---|
| Definir quién aprueba el acceso de administrador y por cuánto tiempo | Gobernanza | Son reglas y procesos para dirigir y controlar actividades. |
| Calcular impacto y probabilidad de un ataque de ransomware | Gestión de riesgos (evaluar) | Da una puntuación para priorizar. |
| Demostrar a un auditor que se cumple ISO 27001 | Cumplimiento | Es adherirse a un estándar externo. |
| Una ley obliga a guardar los datos de ciudadanos dentro del país | Residencia de datos | Regula la ubicación física permitida. |
| Datos recogidos en un país, guardados en otro y procesados en un tercero | Soberanía de datos | Quedan sujetos a las leyes de los tres países. |
| Un cliente pide que borren todos sus datos personales | Privacidad de datos | Las leyes de privacidad dan derecho a borrar. |
| Una empresa decide no lanzar un servicio por su riesgo legal | Evitar el riesgo | Se cambia el proceso que genera el riesgo. |
Trampas frecuentes del examen
❓ Una ley exige que los datos de ciudadanos se guarden físicamente dentro del país. ¿Residencia o soberanía?
Residencia de datos: trata sobre la ubicación física permitida. La soberanía trata sobre qué leyes aplican a los datos según dónde están.
❓ Contratar un seguro contra ciberataques, ¿qué respuesta al riesgo es?
Transferir el riesgo. Mitigar sería implementar controles; evitar, cambiar el proceso que lo genera.
❓ ¿Cumplir una norma garantiza que la organización es segura?
No. El cumplimiento es el mínimo legal; la seguridad abarca todos los procesos y tecnologías que protegen datos y sistemas.
❓ ¿El objetivo de la gestión de riesgos es eliminar todos los riesgos?
No. Es entenderlos lo bastante bien para decidir cómo responder a cada uno.
❓ ¿El historial de navegación de una persona es un dato personal?
Sí. Los datos personales incluyen información indirecta que permite identificar a alguien, como ubicación o navegación.
❓ Asignar un dueño a cada control de seguridad, ¿es riesgo o gobernanza?
Gobernanza: define responsables y procesos.
❓ ¿Un empleado que expone datos por error es un riesgo externo?
No. Es un riesgo interno, igual que las amenazas internas y el fraude.
¿Entendiste este tema?
Pon a prueba lo que acabas de aprender
Una empresa recopila datos de clientes en Alemania, los guarda en Irlanda y los procesa en Estados Unidos. ¿Qué concepto explica que esos datos queden sujetos a las leyes de los tres países?
¿Listo para poner a prueba "Gobernanza, riesgo y cumplimiento"?
Preguntas originales, cada una con su explicación.
Empezar un simulacro