El significado de ‘compliance’ en su traducción al español es «cumplimiento normativo». Se refiere concretamente a todas las actividades que realiza una entidad o empresa para desarrollar sus actividades cumpliendo con todas las leyes, reglamentos y prácticas éticas que son aplicadas a su sector.
Pero, ¿qué añadidos supone la palabra ‘ciber’ ante estas «actividades» de cumplimiento normativo? El panorama de regulaciones en el campo de la ciberseguridad es amplio y está lleno de complejidades, con un marco de legislaciones repleto de normas nacionales, internacionales, códigos de conducta y obligaciones que crecen diariamente.
Todo esto para poder lidiar con las ingentes cantidades de ataques y ciberdelitos a los que se enfrentan las corporaciones. Para poder evitar su mayor pesadilla, verse envueltos en el robo de millones de datos de clientes, las entidades deben contar con un ‘cibercompliance’ sólido y sin fisuras, actualizado y preparado.
¿Quién se encarga del cibercompliance?
La figura del ‘compliance officer‘ adquirió un nuevo rol con la evolución tan apresurada que caracteriza al mundo de la tecnología. Ese nuevo rol está dedicado a ayudar a los departamentos de sistemas y tecnologías de la entidad y a cuantificar los riesgos a los que se someten en materias de incumplimientos sobre leyes de privacidad y de servicios esenciales. Debe ser los ojos que miren más allá, y que puedan asegurar a la empresa que todo se está cumpliendo como lo dicta la ley.
Las regulaciones sobre privacidad se han visto en aumento en los últimos 10 años, especialmente y de forma exponencial desde la aprobación de la Regulación Europea de 2016. Lo cual también ha hecho que aumente la preparación con la que tengan que contar los encargados de estas actividades de seguridad, obligando a los ‘compliance officers’ a disponer de suficientes conocimientos técnicos en sistemas y protección de datos, así como control sobre procesos informáticos.
¿De qué deben ser capaces los compliance officers?
Carlos A. Sáiz, vicepresidente del ISMS Forum, organización sin ánimo de lucro especializada en la divulgación de la Seguridad de la información, presentó varios consejos a seguir para el control más eficiente de los activos informáticos de toda empresa o entidad, que puedan permitir la tranquilidad de saber que los datos no corren peligro.
Algunos de los consejos más reseñables son tener un canal observatorio normativo, es decir, observar las posibles nuevas normas para anticiparse a ellas y tener así capacidad de absorberlas con la mayor eficiencia posible. Otro muy interesante es el uso de IAs para automatizar las tareas repetitivas, como el análisis de documentación y riesgos.
En sí, el ‘cibercompliance’ es una actividad de capital importancia, pero como en casi la gran mayoría del terreno de la ciberseguridad, termina por ser otra gran olvidada. Un punto necesario y esencial en la evaluación de los riesgos a los que pueda enfrentarse una empresa. Casi la única pared que defiende, tanto a los posibles clientes o empresarios, de poner en riesgo datos personales o, mirándolo desde la otra cara de la moneda, en riesgo reputacional a la entidad.
