Desarrollar una cultura de cumplimiento normativo es tan importante como crear una cultura de trabajo dentro de las organizaciones. Organizaciones como Equifax y Capital One provocan un gran revuelo mediático cuando se producen filtraciones de datos que se encuentran bajo su responsabilidad; sin embargo, las filtraciones de datos pueden adoptar muchas formas y tener distintos alcances. Una de las más perjudiciales es la fuga accidental de datos a través de un empleado. Las consecuencias de dicha exposición de datos pueden tener enormes repercusiones para una organización, ya que la pérdida de datos confidenciales no solo resulta embarazosa y perjudicial para la reputación, sino que también puede afectar a su situación de cumplimiento normativo y acarrear multas cuantiosas.
Crear una «cultura de cumplimiento en materia de ciberseguridad» puede ayudar a evitar que su empresa se convierta en una estadística más en materia de cumplimiento; a continuación le explicamos cómo y por qué.
Cuando los buenos informantes se convierten accidentalmente en malos
Muchos sectores se ven afectados por el simple problema de los accidentes y errores provocados por personas, como una configuración errónea de una base de datos o el envío por error de un correo electrónico confidencial. Lamentablemente, estos incidentes de ciberseguridad son demasiado habituales; según el Informe de Investigaciones sobre Fugas de Datos de Verizon de 2021, el 22 % de los incidentes de seguridad se debieron a personas de dentro de la propia organización.
Es posible que algunas amenazas internas tengan una intención maliciosa, pero aquellas que son accidentales pueden tener, aun así, un impacto enorme en el cumplimiento normativo de una empresa; la Universidad Nacional de Australia (ANU) es un claro ejemplo de ello. Un alto cargo del personal de la universidad expuso accidentalmente 700 MB de datos que incluían nombres, direcciones, números de identificación fiscal, datos bancarios, etc. El incidente se produjo cuando una campaña de spear-phishing, dirigida contra decenas de direcciones de correo electrónico del personal de la ANU, permitió a los piratas informáticos acceder a la red mediante un nombre de usuario y una contraseña con privilegios.
Los correos electrónicos enviados a destinatarios equivocados son otra causa habitual de fugas de datos. Es muy fácil cometer errores al enviar correos electrónicos; el uso del campo «cc» en lugar del «bcc» es una forma habitual de compartir información confidencial de forma accidental. Esto le ocurrió a Sonos en 2020, cuando un empleado reveló accidentalmente más de 450 direcciones de correo electrónico al añadir las direcciones de los clientes al campo «cc» en lugar de al «bcc» al responder a las reclamaciones de los clientes. El incidente fue denunciado ante la ICO por un cliente afectado que figuraba en la lista de «cc».
Una forma eficaz de hacer frente a este comportamiento consiste en concienciar a los empleados sobre el impacto que pueden tener unos simples accidentes o los correos electrónicos de phishing en el nivel de cumplimiento normativo de una organización. Si se lleva a cabo adecuadamente, esta implicación de los empleados en cuestiones de cumplimiento normativo dará lugar a una cultura coherente en materia de cumplimiento de la ciberseguridad.
Cómo crear una cultura de cumplimiento en materia de ciberseguridad
La formación en materia de cumplimiento normativo requiere comprender las leyes y normativas que afectan a su organización. La normativa está estrechamente relacionada con la ciberseguridad en lo que respecta a las leyes de protección de datos, como el Reglamento de Protección de Datos del Reino Unido (DPA2018) y el Reglamento General de Protección de Datos de la UE (RGPD). Fomentar la concienciación sobre el cumplimiento normativo entre los empleados es el camino hacia una cultura de cumplimiento en materia de ciberseguridad.
El uso de la palabra «cultura» es importante. Una cultura corporativa abarca ideas, costumbres y, lo que es más importante, comportamientos. El comportamiento humano está detrás de muchas filtraciones accidentales de datos, especialmente aquellas relacionadas con el phishing. La tentación de hacer clic es muy fuerte en las personas, ya que nos han condicionado a utilizar los ordenadores de una determinada manera, tanto en casa como en el trabajo. Desmontar este patrón y sustituirlo por una cultura corporativa basada en el conocimiento y la comprensión de cómo interactúan la ciberseguridad y el cumplimiento normativo es un proceso que comienza en la cúpula directiva y se extiende a toda la organización.
5 pasos para crear una cultura de cumplimiento normativo que integre la ciberseguridad:
- Invierta en seguridad y cumplimiento normativo: promueva y fomente los cambios necesarios para sensibilizar sobre las expectativas en materia de cumplimiento normativo. Esto requerirá una inversión de tiempo, recursos y fondos; es necesario un compromiso por parte del consejo de administración para forjar esta cultura de cumplimiento normativo.
- Desarrolle un programa de cumplimiento normativo atractivo que fomente un cambio cultural: una cultura de cumplimiento en materia de ciberseguridad rompe barreras y comportamientos arraigados. Para romper con estos comportamientos, es necesario hacerlo de una manera divertida y atractiva. Recurra a sesiones de formación que involucren activamente tanto a los empleados como a la alta dirección.
- Fomente la comprensión y el conocimiento en materia de cumplimiento normativo: las personas no pueden cambiar ni cumplir una política si no comprenden por qué se les pide que hagan algo. Explique a sus empleados los motivos y las razones que subyacen a los requisitos de cumplimiento normativo. Cree un programa de cumplimiento normativo eficaz que defina su papel en el mantenimiento de la seguridad de los datos y el cumplimiento normativo.
- La seguridad y el cumplimiento normativo son responsabilidad de todos: la creación de una nueva cultura de cumplimiento es una experiencia compartida. Su programa debe reflejar este enfoque. Todas las áreas de su organización son socios en pie de igualdad a la hora de construir su cultura de cumplimiento en materia de ciberseguridad. Sin embargo, no todos los aspectos de la cultura de cumplimiento tienen la misma importancia, y los programas deben adaptarse a los departamentos específicos. Por ejemplo, es posible que el departamento de RR. HH. deba hacer hincapié en el envío erróneo de correos electrónicos, mientras que el departamento de TI quizá deba centrarse más en la configuración incorrecta de bases de datos y servidores. Todos deben conocer los requisitos de la normativa y las políticas de cumplimiento que se aplican a su sector y a su zona geográfica.
- Retroalimentación y mejora continua de la cultura: las normativas cambian, las personas olvidan lo aprendido en la formación y los sistemas se actualizan. Crear una cultura de cumplimiento que integre los esfuerzos en materia de ciberseguridad y cumplimiento normativo no es una tarea puntual. El programa debe actualizarse e implementarse de forma periódica. Una forma de evaluar su cultura de ciberseguridad y cumplimiento normativo es escuchar a sus empleados. Esto también contribuye a afianzar su implicación en la construcción de dicha cultura y a garantizar el cumplimiento normativo.
Nuestros empleados son los principales responsables de los datos que nuestras organizaciones generan, comparten, almacenan y eliminan. Su plantilla debe ser consciente de las consecuencias que sus acciones tienen sobre el nivel de cumplimiento normativo de una empresa y del papel que desempeñan a la hora de mantener dicho nivel. Sin embargo, ¡no basta con limitarse a transmitir el mensaje!
Para cambiar comportamientos y creencias profundamente arraigados, la cultura del cumplimiento debe constituir un valor fundamental que refleje las necesidades derivadas de las amenazas actuales a la ciberseguridad y los requisitos normativos en materia de seguridad de los datos; y, al igual que todos los cambios culturales, esto solo puede resultar eficaz si cuenta con la aceptación de quienes se ven afectados por dicho cambio.