Desarrollar una cultura de cumplimiento es tan importante como crear una cultura del lugar de trabajo en las organizaciones. Organizaciones como Equifax y Capital One crean tormentas mediáticas cuando se exponen datos bajo su vigilancia; sin embargo, las filtraciones de datos tienen muchas formas y tamaños. Una de las más perjudiciales es la filtración accidental de datos a través de un empleado. El resultado de esta exposición de datos puede tener enormes implicaciones para una organización, ya que la pérdida de datos sensibles no solo es vergonzosa y perjudicial para la reputación, sino que también puede afectar a su postura de cumplimiento y dar lugar a fuertes multas.
La creación de una "cultura de cumplimiento de la ciberseguridad" puede ayudar a evitar que su empresa se convierta en una estadística de cumplimiento; aquí se explica cómo y por qué.
Cuando los buenos informadores se vuelven malos por accidente
Muchos sectores están plagados de la simple cuestión de los accidentes y errores iniciados por el ser humano, como la mala configuración de una base de datos o el envío erróneo de un correo electrónico sensible. Estos sucesos de ciberseguridad son, desgraciadamente, demasiado comunes, ya que el informe Verizon 2021 Data breach Investigations Report descubrió que el 22% de los incidentes de seguridad se debieron a personas con información privilegiada.
Algunas amenazas internas pueden ser malintencionadas, pero las accidentales pueden tener un enorme impacto en el cumplimiento de la normativa por parte de una empresa. Un ejemplo de ello es la Universidad Nacional de Australia. Un alto cargo de la universidad expuso accidentalmente 700 MB de datos que incluían nombres, direcciones, números de identificación fiscal, detalles de cuentas bancarias, etc. El incidente se produjo cuando una exitosa campaña de spear-phishing, dirigida a docenas de correos electrónicos del personal de la ANU, dio lugar a que los hackers obtuvieran acceso a la red a través de un nombre de usuario y contraseña privilegiados.
Los correos electrónicos mal dirigidos son otra causa común de filtración de datos. El desvío o envío erróneo de correos electrónicos es fácil de hacer, siendo el uso de "cc", en lugar de "bcc", una forma habitual de compartir accidentalmente información sensible. Esto le ocurrió en 2020 a Sonos, cuando un empleado expuso accidentalmente más de 450 direcciones de correo electrónico al añadir direcciones de clientes al campo cc en lugar de bcc al responder a las quejas de los clientes. El incidente fue denunciado a la ICO por un cliente agraviado en la lista cc.
Una forma eficaz de desafiar este comportamiento es hacer que los empleados sean conscientes del impacto de simples accidentes o correos electrónicos de phishing en la postura de cumplimiento de una organización. Si se hace bien, este compromiso con los empleados en cuestiones de cumplimiento dará lugar a una cultura de cumplimiento de la ciberseguridad coherente.
Cómo crear una cultura de cumplimiento de la ciberseguridad
La formación en materia de cumplimiento de normativas requiere una comprensión de las leyes y reglamentos que afectan a su organización. Los reglamentos encajan con la ciberseguridad cuando se trata de leyes de protección de datos como el Reglamento de Protección de Datos del Reino Unido (DPA2018) y el Reglamento General de Protección de Datos de la UE (GDPR). La concienciación de los empleados sobre el cumplimiento de la normativa es el camino hacia una cultura de cumplimiento de la ciberseguridad.
El uso de la palabra "cultura" es importante. Una cultura corporativa abarca ideas, costumbres y, lo que es más importante, comportamientos. El comportamiento humano está detrás de muchas violaciones accidentales de datos, especialmente las que implican phishing. El impulso de hacer clic es fuerte en los seres humanos, ya que hemos sido condicionados a utilizar los ordenadores de una determinada manera, tanto en casa como en el trabajo. Para acabar con esto y sustituirlo por una cultura corporativa de conocimiento y comprensión de cómo interactúan la ciberseguridad y el cumplimiento de la normativa, hay que empezar desde arriba y dispersarse por toda la organización.
5 pasos para crear una cultura de cumplimiento de la normativa que adopte la ciberseguridad:
- Invertir en seguridad y cumplimiento: defender y fomentar el cambio necesario para concienciar sobre las expectativas de cumplimiento. Esto requerirá una inversión en tiempo, recursos y finanzas; es necesario un compromiso a nivel de la junta directiva para construir esta cultura de cumplimiento.
- Construir un programa de cumplimiento atractivo para el cambio de cultura: una cultura de cumplimiento de la ciberseguridad rompe límites y comportamientos arraigados. Romper estos comportamientos debe hacerse de forma divertida y atractiva. Utilice sesiones de formación que impliquen activamente a los empleados y a la alta dirección.
- Fomente la comprensión y el conocimiento en torno al cumplimiento: las personas no pueden cambiar o seguir una política si no entienden por qué se les pide que hagan algo. Enseñe a sus empleados los porqués de los requisitos de cumplimiento. Cree un programa de cumplimiento eficaz que defina su papel en el mantenimiento de la seguridad de los datos y el cumplimiento.
- La seguridad y el cumplimiento son para todos: crear una nueva cultura de cumplimiento es una experiencia compartida. Su programa debe reflejarlo. Todas las partes de su organización son socios iguales en la construcción de su cultura de cumplimiento de la ciberseguridad. Sin embargo, no todas las partes de la cultura de cumplimiento son iguales, y los programas deben adaptarse a departamentos específicos. Por ejemplo, RR.HH. puede requerir que se haga hincapié en el envío erróneo de correos electrónicos, mientras que TI puede requerir que se preste más atención a la configuración incorrecta de bases de datos y servidores. Todos deben conocer los requisitos de la normativa y las políticas de cumplimiento que se ajusten a su sector y geografía.
- Retroalimentación y mejora continua de la cultura: la normativa cambia, las personas olvidan la formación y los sistemas se actualizan. Crear una cultura de cumplimiento que adopte la ciberseguridad y los esfuerzos de cumplimiento no es una tarea de una sola vez. El programa debe actualizarse y aplicarse con regularidad. Una forma de auditar su cultura de ciberseguridad y cumplimiento es escuchar a sus empleados. Esto también ayuda a cimentar su implicación en la construcción de esa cultura y a garantizar el cumplimiento.
Nuestros empleados son los custodios últimos de los datos que nuestras organizaciones generan, comparten, almacenan y desechan. Sus empleados deben ser conscientes de las consecuencias de sus acciones en la situación de cumplimiento de la empresa y del papel que desempeñan en el mantenimiento de dicha situación. Sin embargo, no basta con transmitir el mensaje.
Para cambiar comportamientos y creencias muy arraigados, la cultura de cumplimiento debe ser un valor fundamental que refleje las necesidades de las amenazas modernas a la ciberseguridad y los requisitos de la normativa de seguridad de datos; y como todos los cambios culturales, esto sólo puede ser eficaz con la aceptación de los afectados por ese cambio.
