Ayude a su organización a seguir las leyes, normativas y directivas internas aplicables y a documentar las pruebas para demostrar que las cumple con la administración de cumplimiento.
¿Qué es la administración de cumplimiento?
Asegúrese de que su organización sigue las leyes, normativas y directivas internas aplicables.
Puntos clave
- La administración de cumplimiento mantiene a una organización alineada con los requisitos externos y las reglas internas al vincular la responsabilidad, las medidas de seguridad y la prueba.
- Un programa sólido se basa en directivas claras, flujos de trabajo repetibles, estándares asignados, propiedad de control bien definida y evidencia organizada.
- Administrar el riesgo de cumplimiento implica identificar las brechas probables, clasificarlas por impacto, corregir lo más importante y realizar un seguimiento de si los controles siguen siendo eficaces con el tiempo.
- La supervisión continua, las métricas prácticas y un ciclo de mejora estructurado ayudan a los equipos a informar sobre el progreso, realizar evaluaciones y auditar la preparación.
¿Qué es la administración de cumplimiento?
Esta es una manera práctica de pensar en ello: la administración de cumplimiento es cómo una organización aprende lo que debe seguir, lo integra en sus procesos, comprueba el rendimiento y corrige brechas.
La administración de cumplimiento conecta tres cosas:
- Gobierno de datos: las reglas y la supervisión que establecen las expectativas (directivas, estándares y quién es responsable).
- Seguridad de los datos: controles y medidas de seguridad que protegen los sistemas y los datos en las operaciones diarias.
- Garantía: se cumplieron la supervisión, la documentación y las revisiones que muestran los requisitos.
Objetivos principales
1. Reducción de riesgos. La administración de cumplimiento ayuda a reducir el riesgo al mantenerse al tanto de si los controles funcionan y detectando los cambios que pueden crear una nueva exposición. Esta es una de las razones por las que muchas organizaciones pasan de revisiones periódicas a supervisión más frecuente.
Este es el aspecto de la reducción de riesgos en la práctica:
- Puede realizar un seguimiento de los requisitos y controlar el estado a lo largo del tiempo, no solo en el momento de la auditoría.
- También encontrará brechas pronto y, a continuación, documente las acciones correctivas.
2. Cumplimiento legal. La administración de cumplimiento ayuda a las organizaciones a comprender sus obligaciones y a mantenerse al día a medida que cambian las reglas. Los estándares, como la guía ISO para sistemas de administración de cumplimiento, se centran en establecer, mantener, evaluar y mejorar un sistema que aborde las obligaciones de cumplimiento.
Entre las salidas comunes se incluyen:
- Directivas y procedimientos que reflejan los requisitos.
- Evidencia que admite auditorías, atestaciones o revisiones internas.
3. Creación de confianza. La confianza proviene de ser coherente y transparente; los clientes, los socios y los reguladores a menudo quieren saber que los datos se manejan de acuerdo con las directivas y que existen controles implementados. Es importante enmarcar la confianza en torno a la seguridad, la privacidad, el cumplimiento y la transparencia, que se alinea con lo que la administración de cumplimiento pretende admitir.
Las señales de confianza que debe poder mostrar son:
- Borrar la propiedad y la supervisión.
- Documentación que se puede generar cuando surgen preguntas.
Por qué es importante
Riesgo empresarial
Cuando el trabajo de cumplimiento es informal o disperso, los equipos pueden perder requisitos, duplicar el esfuerzo o confiar en comprobaciones de un solo uso que están obsoletas. Las evaluaciones a un momento dado, como las auditorías anuales, pueden quedar obsoletas rápidamente, lo que deja un vacío hasta la próxima revisión.
Pueden surgir problemas cuando tenga:
- Directivas en conflicto o controles incoherentes entre equipos.
- Informes manuales y búsqueda de evidencias que ralentizan la respuesta durante las auditorías o investigaciones.
Exposición legal y normativa
Las normativas suelen dictar cómo administrar, almacenar y transmitir datos, lo que convierte el cumplimiento en un tema de nivel de liderazgo en muchas organizaciones. Un enfoque de cumplimiento estructurado ayuda a los equipos a mantener el ritmo de los requisitos y mostrar cómo se cumplen las obligaciones.
Puede reducir la exposición con:
- Un inventario claro de las obligaciones y los controles asignados.
- Supervisión regular y seguimiento documentado cuando se detectan problemas.
Pérdida de confianza
La confianza es más fácil de mantener cuando puede responder rápidamente a preguntas básicas:
- ¿Qué reglas se aplican?
- ¿Qué controles están implementados?
- ¿Qué evidencia muestra que están trabajando?
La administración de cumplimiento admite esa preparación, incluso durante investigaciones o acciones legales cuando se pueden solicitar datos y registros.
Componentes principales de la administración de cumplimiento
Un programa de administración de cumplimiento sólido se crea a partir de expectativas claras, formas repetibles de trabajar, medidas de seguridad diarias y las personas y herramientas que mantienen todo al día.
Directivas
Las directivas explican lo que la organización debe hacer y lo que parece que es compatible. Convierten las obligaciones en expectativas claras que los usuarios pueden seguir.
Entre las áreas de directivas comunes se incluyen:
- Control de datos y reglas de acceso.
- Registros, retención y expectativas de evidencia para auditorías.
- Informes y rutas de acceso de escalación cuando algo va mal.
Procesos
Los procesos son las rutinas paso a paso que los equipos siguen para cumplir los requisitos de forma coherente: ciclos de revisión, aprobaciones, pruebas y seguimiento de problemas.
Entre los ejemplos de procesos de cumplimiento se incluyen:
- Las revisiones periódicas para confirmar los requisitos están integradas en los flujos de trabajo empresariales.
- Supervisión continua del estado de control, no solo comprobaciones anuales.
- Flujos de trabajo de acciones correctivas cuando se encuentran brechas.
Normas
Los estándares y marcos actúan como los conjuntos de referencia con los que se mide. Pueden proceder de reglamentos, estándares del sector o requisitos internos.
Una manera práctica de organizar los estándares es tratarlos como plantillas de requisitos que se pueden agrupar y realizar un seguimiento. Por ejemplo, una evaluación es una agrupación de controles de un reglamento, un estándar o una directiva específicos.
Controles
Los controles son las comprobaciones y prácticas concretas que muestran que se cumple un requisito y lo vinculan a la configuración del sistema, el proceso organizativo y la responsabilidad asignada.
Entre las categorías de control útiles se incluyen:
- Controles administrados por el proveedor de servicios, controlados por el proveedor de servicios en la nube
- Controles administrados por la organización, que administran los equipos
- Controles compartidos, donde se divide la responsabilidad
Roles y responsabilidades
La administración de cumplimiento funciona mejor cuando la propiedad es explícita. Los dos grupos de roles que incluye cualquier programa exitoso son la supervisión de liderazgo y el control diario del cumplimiento.
Supervisión de la junta y la dirección
El liderazgo es responsable de establecer expectativas, adoptar declaraciones de directivas, asignar autoridad, volver a contratar la función y recibir informes periódicos sobre la actividad de cumplimiento y los resultados.
Qué supervisión suele incluir:
- Claramente las expectativas de cumplimiento y la aprobación de directivas.
- Propietario con nombre (responsable de cumplimento normativo o comité) con autoridad para actuar.
- Informes periódicos sobre auditorías, problemas y acciones correctivas.
Responsable de cumplimento normativo
Este rol es responsable de las directivas y procedimientos, el aprendizaje, la revisión del cumplimiento, el seguimiento de los problemas emergentes, la respuesta a las quejas, la notificación de resultados y la garantía de una acción correctiva.
Una división de responsabilidad simple que se escala incluiría:
- Los propietarios de controles mantienen controles específicos y proporcionan pruebas.
- Los equipos de cumplimiento establecen la estructura, ejecutan evaluaciones, rastrean brechas y admiten auditorías.
- El liderazgo revisa el progreso, quita los bloqueadores y aprueba las prioridades.
Herramientas y sistemas
Las hojas de cálculo pueden funcionar a pequeña escala, pero la mayoría de las organizaciones usan herramientas para mantener los requisitos, los controles, la evidencia y la propiedad en un solo lugar, especialmente en varias nubes y unidades de negocio.
Qué buscar en el software de administración de cumplimiento
Entre las funcionalidades prácticas que ayudan a reducir la duplicación y mantener el trabajo actualizado se incluyen las siguientes:
- Evaluaciones, que son listas de comprobación reutilizables de requisitos y controles.
- Asignación de controles, con un control asociado a varios estándares para reducir el trabajo repetido.
- Supervisión que ofrece visibilidad sobre el estado de control a lo largo del tiempo.
- Administración de evidencias que tiene un único lugar para almacenar artefactos, notas y estado.
- Flujo de trabajo y tareas para asignaciones, fechas de vencimiento y seguimiento del progreso.
- Puntuación, que ofrece una vista basada en riesgos para ayudar a centrar el trabajo de mejora.
Crear un plan
A medida que establezca la administración de cumplimiento en su organización, busque respuestas a las siguientes preguntas:
- ¿Tenemos directivas escritas que coincidan con nuestras obligaciones?
- ¿Están documentados los procesos clave?
- ¿Los controles están asignados a estándares para que los equipos no repitan el mismo trabajo?
- ¿Se pueden producir pruebas rápidamente cuando se producen auditorías o investigaciones?
- ¿Están claros los roles de propiedad e informes?
Reconocimiento del riesgo de cumplimiento y cómo administrarlo
¿Qué es el riesgo de cumplimiento?
El riesgo de cumplimiento es la posibilidad de que su organización se quede sin una ley, un reglamento, un estándar o una directiva interna, y se enfrenta a consecuencias como resultado. La administración de riesgos de cumplimiento es el trabajo de detectar esos riesgos con antelación, priorizarlos y realizar un seguimiento de si los controles adecuados están en su lugar y en funcionamiento.
Tipos de riesgo de cumplimiento para los que planear
Los distintos riesgos pueden acumularse rápidamente, especialmente cuando los requisitos cambian o los datos se mueven entre entornos. Las categorías de riesgo comunes incluyen:
- Legal: exposición a acciones legales o aplicación cuando no se cumplen los requisitos.
- Finanzas: costos de las penalizaciones, las penalizaciones y el trabajo de bajada necesarios para responder.
- Reputación: pérdida de confianza del cliente y publicidad negativa cuando los problemas se hacen visibles.
- Vulneración de datos: mayor probabilidad de exposición de datos confidenciales cuando faltan prácticas de seguridad necesarias o son incoherentes.
Evaluación del riesgo de cumplimiento
Un proceso de evaluación sólido es estructurado, repetible y actualizado con las personas más cercanas al trabajo. Esta es una manera de abordarlo:
1. Use un proceso de evaluación de riesgos estructurado. Establezca un método claro para medir y priorizar los riesgos de cumplimiento en lugar de basarse en el criterio ad hoc.
2. Trabaje con las partes interesadas adecuadas. Defina propietarios de riesgos y colabore con expertos en la materia que comprendan los niveles de gravedad; conectar con los líderes pertinentes y considerar las fuentes externas de riesgo.
3. Calcule el impacto y la probabilidad. Calcule el impacto en el riesgo y la probabilidad de determinar el riesgo inherente.
4. Cuenta para el entorno de control. Tenga en cuenta cómo los controles existentes cambian la imagen para poder determinar y clasificar el riesgo residual.
5. Use los resultados para guiar lo que sucede a continuación. Actualice las evaluaciones con la entrada de liderazgo para que pueda seguir centrándose en áreas de mayor riesgo y priorizar las mejoras en las directivas, los procedimientos y los controles.
6. Repita el proceso según una programación, no solo una vez. Las evaluaciones y auditorías periódicas ayudan a identificar brechas y a comprobar el cumplimiento de los requisitos.
Cómo medir y realizar un seguimiento del riesgo de cumplimiento a lo largo del tiempo
No puede administrar lo que no puede ver. La medición no tiene por qué ser complicada: comience con un pequeño conjunto de señales que le ayuden a identificar tendencias y a mantener el foco en el trabajo.
Métricas que mantienen el programa en buen estado
Seleccione medidas que se conecten a la acción y muestren si el riesgo está disminuyendo, como:
- Problemas por gravedad, por lo que las brechas críticas se elevan a la parte superior.
- Tiempo para corregir o la rapidez con la que se corrigen las brechas.
- Las conclusiones de auditoría y las excepciones de directiva muestran lo que sigue apareciendo y por qué.
- Finalización del entrenamiento, que es un indicador básico de que los usuarios recibieron las instrucciones.
- Indicadores clave de rendimiento (KPI) que describen el perfil de riesgo, que son métricas coherentes que se usan para informes e información.
Vistas de puntuación y progreso
Algunas herramientas de cumplimiento realizan un seguimiento del progreso con una puntuación basada en el riesgo asociada a la realización de acciones de mejora y el resaltado de lo que necesita atención a continuación.
- Una puntuación de cumplimiento basada en riesgos puede medir el progreso mediante el seguimiento de la finalización de las acciones de mejora y orientar el foco hacia las siguientes acciones que se deben realizar.
- Las puntuaciones pueden reflejar el impacto relativo de las acciones en función de cómo se clasifiquen (por ejemplo, preventivas, de investigación o correctivas).
Preguntas de comprobación rápida de riesgos para usarlas en las revisiones
- ¿Tenemos una vista actual de qué riesgos son más altos y quién los posee?
- ¿Se clasifican los riesgos mediante el impacto y la probabilidad y, a continuación, se actualiza en función del rendimiento de los controles?
¿Estamos realizando un seguimiento de un pequeño conjunto de métricas (gravedad, tiempo de corrección, excepciones) y actuando en función de lo que muestran?
Administración de cumplimiento de seguridad
La administración de cumplimiento de seguridad se encuentra donde el trabajo de seguridad y las obligaciones de cumplimiento se superponen. En la práctica, significa proteger los datos y los sistemas de manera que cumplan las reglas a las que es responsable y, a continuación, mostrar la prueba a través de líneas base, supervisión y registros.
Cuando la seguridad cumple con el cumplimiento
La mayoría de los reglamentos y estándares incluyen expectativas de seguridad. A menudo, los requisitos comunes cubren:
- Control de datos: borre las reglas sobre cómo se recopilan y procesan los datos confidenciales.
- Almacenamiento y acceso seguros: cifrado y acceso controlado para reducir la exposición no autorizada.
- Informes y auditoría: comprobaciones periódicas, soporte técnico de auditoría y notificaciones de infracciones cuando sea necesario.
Marcos y normativas clave
Es posible que tenga que asignar los controles a varios marcos a la vez.
Entre los tres estándares comunes se incluyen:
- Reglamento general de protección de datos (RGPD): Un marco de directiva de la UE centrado en la privacidad y protección de datos personales; el cumplimiento consiste en seguir el RGPD y apoyar un control más sólido sobre la información personal.
- Ley de transferencia y responsabilidad de seguros de salud (HIPAA):estas leyes y reglas sanitarias de Estados Unidos que establecen los requisitos para el uso, la divulgación y la protección de la información sanitaria protegida (PHI), incluidas las medidas de seguridad de las normas de seguridad para la PHI electrónica.
- Estándares de seguridad de la industria de tarjetas de pago (PCI DSS):estándar de seguridad de la información global para organizaciones que almacenan, procesan o transmiten datos de titulares de tarjetas, diseñado para reducir el fraude mediante un mayor control de los datos de las tarjetas de crédito.
Procedimientos recomendados para el cumplimiento de seguridad
1. Comience con una línea base de seguridad. Use una línea base definida para los sistemas clave para que los equipos sepan lo que su organización considera una buena configuración. Supervise la configuración que se desdice de los valores prescritas y corrija los intervalos.
2. Ponga en marcha controles de cifrado y acceso seguro. Aplicar acceso y cifrado controlados para reducir la exposición no autorizada de datos confidenciales
3. Ejecute evaluaciones y auditorías periódicas. Realice auditorías y evaluaciones periódicas para encontrar brechas y confirmar que los controles siguen coincidiendo con los requisitos.
4. Entrene a los usuarios sobre el control de datos. El cumplimiento de la seguridad depende de las decisiones cotidianas, por lo que el aprendizaje y la orientación clara son importantes.
5. Mantenga la documentación lista para las revisiones. Mantenga registros que respalden las revisiones de auditoría cumplimiento normativo, para que pueda responder rápidamente cuando se lo soliciten.
6. Use la supervisión y el flujo de trabajo para mantenerse al día. Use herramientas y procesos que admitan la supervisión continua, el seguimiento y la acción correctiva en lugar de depender solo de revisiones a un momento dado.
Implementación de un programa de administración de cumplimiento
Un programa práctico de administración de cumplimiento se crea en torno a un ciclo repetible. Muchos equipos usan un flujo de cinco pasos que mantiene el trabajo organizado y facilita mostrar el progreso durante las revisiones y auditorías.
1. Evaluación. Comience con una evaluación estructurada que identifique lo que se aplica a usted y lo que ya existe. Un buen proceso de evaluación incluye un método claro, la entrada de las partes interesadas adecuadas y una manera de calcular el impacto y la probabilidad.
Para este paso, asegúrese de:
- Utilice un proceso estructurado deevaluación de riesgos internos en lugar de sentencias ad hoc.
- Defina los propietarios de riesgos y trabaje con expertos en la materia que comprendan los niveles de gravedad.
- Estime el impacto y la probabilidad para comprender el riesgo inherente.
2. Análisis de GAP. A continuación, compare los requisitos con los controles y la documentación actuales para identificar brechas. En el trabajo de preparación de auditoría, esto se suele describir como "análisis de brechas de control" con "recomendaciones prioritarias."
Entre las cosas que puede producir a partir del análisis de directiva de auditoría pormenorizada se incluyen:
- Una lista de brechas asociadas a controles o requisitos específicos.
- Recomendaciones prioritarias para abordar esas brechas.
3. Corrección. Convierta las brechas en planes de acción. A menudo, el trabajo de corrección se administra a través de planes de acción y seguimiento, con informes de estado para que los equipos puedan ver lo que se mueve y lo que está atascado.
Mantenga la corrección administrable mediante:
- Crear planes de acción de corrección para los resultados.
- Seguimiento e informes del estado del plan de acción.
- Usar el flujo de trabajo y las tareas, por lo que los propietarios y las fechas de vencimiento están claros.
4. Supervisión. Una vez que se han aplicado las correcciones, supervise para confirmar que los controles siguen siendo coherentes. La supervisión a menudo se centra en dos cosas: si los controles funcionan y si la configuración "desfase" de la línea base.
En la práctica, hará lo siguiente:
- Supervise la eficacia de las mitigaciones y tome medidas cuando aparezcan problemas.
- Supervise el estado de control y la posición a lo largo del tiempo, no solo durante las revisiones anuales.
- Use la supervisión de línea base para detectar el desfase de configuración de los valores prescritas.
Disponer de una plataforma de ciberseguridad, integral, como una soluciónde administración de eventos e información de seguridad (SIEM), puede respaldar el monitoreo y la protección contra amenazas para las organizaciones.
5. Mejora continua. Los programas de cumplimiento siguen siendo útiles cuando se actualizan y mejoran en función de lo que revelan la supervisión y las auditorías. Esto incluye la actualización de las evaluaciones de riesgos de ciberseguridad con la entrada de liderazgo, la priorización de las mejoras y la realización de ajustes del programa cuando cambian los requisitos.
Entre las formas de seguir mejorando sin agregar ruido se incluyen:
- Actualizar las evaluaciones de riesgos con el liderazgo para identificar áreas de alto riesgo y priorizar las mejoras en las directivas, los procedimientos y los controles.
- Incorporación de información sobre las actualizaciones normativas para ajustar el programa.
- Uso de asignaciones de controles comunes y evaluaciones reutilizables para reducir la duplicación a medida que se expanden los requisitos.
Priorización del trabajo en función del riesgo y la gravedad
Una manera sencilla de priorizar es centrarse primero en lo que conlleva el mayor riesgo y qué tiene la gravedad más alta. El objetivo es poner el esfuerzo en el lugar en el que reduce más la exposición.
Comience con el impacto y la probabilidad
- Calcule el impacto y la probabilidad de determinar el riesgo inherente y, a continuación, considere el entorno de control para clasificar el riesgo residual o el riesgo que permanece.
- Priorice los recursos de mitigación para las áreas de mayor riesgo en lugar de las áreas de menor riesgo.
Usar algunas señales para clasificar y realizar un seguimiento del trabajo
Seleccione medidas que muestren lo que es más urgente y si las cosas están mejorando, como:
- Problemas por gravedad, por lo que las brechas críticas se elevan a la parte superior.
- Es el momento de corregirlo para ver la rapidez con la que se corrigen las brechas.
- Audite los resultados y las excepciones de directiva para detectar problemas de repetición.
- La finalización del entrenamiento como un indicador básico de que la guía ha llegado a las personas.
Usar la puntuación basada en riesgos cuando esté disponible
Algunas herramientas de cumplimiento realizan un seguimiento del progreso con una puntuación basada en el riesgo asociada a la realización de acciones de mejora y el resaltado de lo que necesita atención a continuación. En algunos sistemas de cumplimiento, las acciones se pueden clasificar (por ejemplo, preventivas, detección o correctivas) y esta clasificación puede influir en cómo se puntúa el progreso.
Automatización y cumplimiento continuo
La automatización y el cumplimiento continuo ayudan a los equipos a mantener actualizados los requisitos, los controles y la evidencia a medida que cambia el entorno. En lugar de tratar el cumplimiento como un evento periódico, este enfoque lo trata como un flujo estable de pequeñas comprobaciones y actualizaciones que son más fáciles de administrar y comprobar.
Controladores
Varios cambios hacen que la automatización sea más práctica (y necesaria) de lo que solía ser:
- Crecimiento de SaaS y multinube: los datos y las cargas de trabajo se mueven entre más servicios y proveedores, lo que aumenta el número de lugares donde se deben aplicar y realizar un seguimiento de los controles.
- Normativas que cambian rápidamente: los requisitos evolucionan y lo que fue bueno el año pasado puede estar obsoleto este año, especialmente para las expectativas de privacidad y seguridad.
- Propiedad distribuida: los propietarios de controles suelen estar en distintos equipos (seguridad en la nube, TI, ingeniería, legal, RR. HH.), por lo que la coordinación y la recopilación de evidencias coherentes son más importantes.
Capacidades para buscar
Al examinar la automatización y el cumplimiento continuo, céntrese en las funcionalidades que reducen el esfuerzo manual sin perder la responsabilidad.
Comience con evaluaciones estandarizadas que usan conjuntos de controles reutilizables. Esto admite la coherencia entre equipos y facilita la comparación de resultados a lo largo del tiempo.
- Evaluaciones estandarizadas: use la misma estructura de evaluación cada ciclo para que el progreso (y las regresiones) sean fáciles de detectar.
- Conjuntos de controles reutilizables: reutiliza un conjunto básico de controles en lugar de reescribir comprobaciones para cada requisito nuevo.
Asignación de controles comunes
La asignación de controles comunes reduce la duplicación entre marcos mediante la vinculación de un control a varios requisitos.
Este es el aspecto que tiene en la práctica:
- Una única práctica de control de acceso (por ejemplo, "acceso restringido a datos confidenciales") puede satisfacer partes de varios estándares.
- Las evidencias recopiladas para ese control se pueden reutilizar cuando se informa en distintos marcos, en lugar de volver a crear la misma prueba en varios lugares.
- Las actualizaciones del control (o su documentación) fluyen a través de todos los marcos que dependen de él.
Supervisión continua
La supervisión continua se centra en el estado de control y la posición de cumplimiento: si los controles están en su lugar, si siguen funcionando según lo esperado y si algo cambió que necesita seguimiento.
Estas son las señales de supervisión comunes que los equipos siguen:
- Estado del control: esto podría incluir la aprobación, el error o la evaluación aún no evaluada.
- Indicadores de cambio: los cambios de configuración, las actualizaciones de directivas o los sistemas nuevos pueden crear nuevas comprobaciones para ejecutarse.
- Patrones de excepción: las excepciones repetidas pueden apuntar a controles que necesitan rediseñar o una propiedad más segura.
Administración centralizada de evidencias
Las evidencias tienden a dispersarse en bandejas de entrada, unidades compartidas e hilos de incidencias a menos que se planifique para ello. La administración centralizada de evidencias mantiene los artefactos en un solo lugar y los vincula al ciclo correcto de control, propietario y revisión.
Aquí el flujo de trabajo y las tareas son importantes porque convierten las cosas que deben corregirse en un trabajo de seguimiento:
- Flujo de trabajo: una ruta coherente para revisiones, aprobaciones y aprobación.
- Tareas: borrar asignaciones, fechas de vencimiento y seguimiento del progreso vinculados al control o la evaluación.
- Preparación de evidencias: una forma rápida de responder: "¿Qué prueba tenemos?" y "¿Es actual?"
Modelos de puntuación o madurez basados en riesgos
Los modelos de puntuación y madurez basados en riesgos ayudan a los equipos a decidir qué corregir primero. El objetivo es no eliminar todas las brechas menores a la vez, es centrar la corrección en los problemas que crean la mayor exposición.
Esto ayuda a priorizar la corrección mediante:
- Clasificación del trabajo por impacto: coloque las brechas de mayor riesgo en la parte superior de la cola.
- Seguimiento de la mejora a lo largo del tiempo: un nivel de puntuación o madurez proporciona una vista clara antes y después cuando se completa el trabajo de corrección.
- Apoyo a decisiones coherentes: cuando losequipos usan el mismo modelo de puntuación o madurez, la priorización es menos subjetiva y más fácil de explicar.
Una vez que empiece a automatizar las evaluaciones, la supervisión y la recopilación de evidencias, el siguiente paso es decidir de qué va a realizar un seguimiento y cómo informará del progreso, para que los líderes puedan ver tendencias de riesgo, priorizar correcciones y mostrar resultados a lo largo del tiempo.
Medición e informes de administración de cumplimiento
La medición y los informes convierten el trabajo de cumplimiento diario en una vista clara del progreso, las brechas y las prioridades, para que los equipos puedan centrarse en lo que importa y comunicar el estado con confianza.
KPI de programa
Use KPI de programa para realizar un seguimiento del grado de compilación, adopción y comprobación de los controles, así como de dónde siguen apareciendo los problemas.
Control de la cobertura y el progreso
- Porcentaje de controles diseñados, o cuántos requisitos tienen un control definido.
- Porcentaje de controles implementados, o cuántos controles están en su lugar y en funcionamiento.
- Porcentaje de controles probados, o cuántos controles se han validado mediante pruebas.
Seguimiento de problemas
- Los problemas por gravedad muestran que las brechas de mayor impacto se elevan a la parte superior.
- El tiempo de corrección muestra la rapidez con la que se resuelven las brechas una vez encontradas.
- Hallazgos de auditoría resaltan las áreas problemáticas recurrentes.
- Las excepciones de directiva muestran dónde trabajan los equipos fuera de los requisitos estándar.
Señales de personas y procesos
- La finalización del entrenamiento confirma que las instrucciones necesarias llegaron a las audiencias adecuadas.
Forma rápida de mantener los KPI utilizables
- Realice un seguimiento de un pequeño conjunto de KPI de forma coherente y revíselos con regularidad para que las tendencias sean visibles, no solo las instantáneas.
- Empareje KPI con umbrales básicos (por ejemplo, lo que cuenta como "demasiados" problemas de gravedad alta) para que los equipos sepan cuándo escalar.
Indicadores de resultados
Los indicadores de resultados conectan el trabajo a los resultados. Ayudan a responder: "¿Nuestro programa de cumplimiento reduce la exposición y mejora la preparación?"
Resultados de riesgo y preparación
- Menor exposición al riesgo, que se muestra a través de menos problemas de gravedad alta y menos resultados repetidos a lo largo del tiempo.
- Atestaciones puntuales, que muestran que la organización puede cumplir las fechas límite de informes formales.
Resultados de eficiencia
- Las horas guardadas en las auditorías explican cuándo se organiza la evidencia y es fácil de recuperar.
Tendencia de resultados
- Las líneas de tendencia de las puntuaciones de riesgo y madurez muestran si la posición general mejora con el tiempo.
Visibilidad del liderazgo
- Los paneles de liderazgo resumen el progreso, resaltan las brechas principales y muestran dónde se centra el trabajo de corrección.
Desafíos comunes y cómo evitarlos
Incluso los programas bien ejecutados pueden detenerse cuando se multiplican los requisitos, los sistemas se reparten entre entornos y la propiedad se difumina. Las correcciones suelen reducir el trabajo duplicado, reforzar los hábitos de evidencia y establecer límites de protección claros para las nuevas herramientas.
Expansión del marco y esfuerzo duplicador
El problema: Los equipos realizan un seguimiento del mismo requisito en varios lugares, reescriben controles similares para diferentes normativas y dediquen tiempo a conciliar listas de comprobación superpuestas.
Cómo evitarlo: use la asignación de controles comunes entre normativas.
Un enfoque práctico consiste en asignar un control a varios marcos para que no repita el mismo trabajo cada vez que agregue un nuevo estándar.
- Compile una biblioteca de controles compartidos. Mantenga un conjunto básico de controles que se muestran en muchos requisitos (control de acceso, registro, cifrado, retención, respuesta a incidentes).
- Asignar una vez, reutilizar a menudo. Vincule cada control a cada reglamento o estándar que lo espere y, a continuación, haga referencia a esa asignación durante las revisiones y auditorías.
- Actualice el control, no todas las listas de comprobación. Cuando cambie el control, deje que esa única actualización fluya a través de los requisitos asignados en lugar de editar varias copias.
Comprobación rápida: si dos equipos mantienen controles independientes "iguales" con una redacción diferente, está pagando el impuesto de duplicación.
Caos de evidencias
Problema: la evidencia se distribuye entre chats, hilos de correo electrónico, comentarios de vales y unidades compartidas. Cuando llega una solicitud de auditoría, los usuarios se codifican para buscar artefactos y volver a crear el contexto.
Cómo evitarlo: centralice los artefactos y asigne propietarios de controles.
La centralización de la evidencia funciona mejor cuando cada control tiene un propietario con nombre que sabe qué "evidencia buena" tiene y dónde reside.
- Un hogar para la evidencia. Almacene los artefactos, las notas y las actualizaciones de estado en un único lugar vinculado al control. (Muchas herramientas admiten la asociación de pruebas y el seguimiento del estado dentro de las acciones de mejora.)
- Borrar propiedad. Asigne un propietario de control responsable de mantener actualizados los artefactos y responder a las solicitudes de evidencia.
- Defina "evidencia viable mínima." Para cada control, documente lo que necesita mostrar:
- Qué es el control
- Quién es el propietario,
- Cómo se comprueba,
- ¿Qué prueba se recopila y
- Frecuencia con la que se actualiza.
- Use el flujo de trabajo y las tareas. Realice un seguimiento de las solicitudes, las fechas de vencimiento y los pasos de revisión para que la recopilación de evidencias no dependa de la memoria.
Un simple hábitos que ayuda: si la evidencia no es fácil de encontrar dos meses más tarde, no se almacena en el lugar adecuado.
Complejidad multinube
El problema: las distintas plataformas en la nube vienen con diferentes valores predeterminados, patrones de registro y configuración de seguridad. Controla el desfase con el tiempo a medida que los servicios se actualizan y los equipos realizan cambios locales.
Cómo evitarlo: establezca líneas base de directiva como código y posición estandarizadas.
Un enfoque estable consiste en normalizar las expectativas en dos capas: directiva como código para reglas coherentes y líneas base de posición para el estado de configuración mínimo que se espera en todas partes.
- Directiva como‑código para la repetibilidad. Defina los requisitos clave (como el cifrado, los requisitos de identidad, el registro y la retención) en un formulario que se pueda aplicar de forma coherente en todos los entornos.
- Líneas base de posición para mayor claridad. Mantenga un conjunto de línea base de configuración de seguridad y realice un seguimiento cuando los sistemas se alejen de él.
- Supervisión continua del estado de control. Realice un seguimiento de si los controles pasan o conmutan por error a lo largo del tiempo, no solo durante las revisiones programadas.
- La asignación de controles comunes sigue importando. Use controles compartidos siempre que sea posible, incluso cuando las plataformas subyacentes sean diferentes.
Inspección del desfase: si se documenta una línea base pero no se supervisa, se vuelve obsoleta rápidamente.
Uso de Shadow IT e IA
El problema: los usuarios adoptan nuevas aplicaciones y nuevas herramientas de inteligencia artificial más rápido que los procesos de gobernanza pueden revisarlas. Esto aumenta la posibilidad de que se compartan datos confidenciales en lugares que no se han revisado.
Cómo evitarlo: use herramientas aprobadas, etiquetas, supervisión y plantillas actualizadas.
Tener límites de protección claros que coincidan con el funcionamiento real de las personas, especialmente a medida que se propagan las herramientas de inteligencia artificial.
- Defina las herramientas aprobadas. Publique una breve lista de aplicaciones autorizadas y herramientas de inteligencia artificial, además de una ruta de acceso para solicitar otras nuevas.
- Etiquetar datos confidenciales. Aplique etiquetas de confidencialidad para que los usuarios sepan lo que requiere un cuidado adicional y para que los controles puedan actuar sobre la etiqueta.
- Supervise los riesgos de comunicación. Agregue supervisión centrada en patrones de uso compartido de riesgo (por ejemplo, copiar contenido confidencial en herramientas no aprobadas o enviarlo a destinos no autorizados).
- Adopte plantillas alineadas con las normativas en evolución (incluida la inteligencia artificial). Utilice plantillas y listas de verificación que reflejen los nuevos requisitos a medida que cambian las reglas de IA y actualícelas periódicamente en lugar de esperar a la próxima revisión anual.
Una división práctica que mantiene el impulso es:
- Bloquee las herramientas de alto riesgo que no tengan necesidad empresarial.
- Permita herramientas de menor riesgo solo para el trabajo no confidencial y agregue barreras de protección para reducir el riesgo de pérdida de datos.
- Estandarizar las opciones de nivel empresarial para el trabajo relacionado con datos confidenciales.
Ejemplos reales de administración de cumplimiento
Estos escenarios muestran cómo la administración del cumplimiento normativo puede reducir el riesgo y mejorar la preparación sin ralentizar el trabajo diario en una universidad estadounidense.
La aplicación de teleasistencia de terceros crea una exposición HIPAA
Escenario: un centro de mantenimiento del campus agrega una plataforma de teleasistencia de terceros sin comprobar primero la alineación de HIPAA. Esto crea una ruta de acceso para el acceso no autorizado a los registros de salud de los alumnos.
Qué ha cambiado: el equipo ejecuta una revisión estructurada antes de que la plataforma pueda acceder a los registros de mantenimiento mediante directivas centralizadas y comprobaciones de cumplimiento en un entorno multinube.
Puntos clave
- Por qué es importante: las herramientas del proveedor pueden introducir el riesgo de cumplimiento rápidamente cuando tocan datos de salud protegidos.
- Pasos de acción:
- Agregue una comprobación de cumplimiento necesaria para los nuevos servicios de terceros antes de conectarse a registros confidenciales.
- Aplique directivas de cumplimiento definidas centralmente para que el acceso se bloquee hasta que se cumplan los requisitos.
- Qué buscar:
- Un lugar para realizar un seguimiento de los requisitos de cumplimiento y el estado en todos los servicios.
- Borre las validaciones de "paso o error" vinculadas al acceso a sistemas confidenciales.
Informe de ayuda financiera enviado al grupo interno incorrecto
Escenario: un responsable de asistencia financiera envía accidentalmente un correo electrónico a un informe con un préstamo de estudiante y concede detalles a un departamento interno que no debería recibirlo, lo que desencadena una investigación.
Qué ha cambiado: las directivas automatizadas detectan cuándo se comparten datos confidenciales de ayuda financiera con destinatarios no autorizados y pueden desencadenar alertas o restringir el acceso para evitar un uso compartido adicional no compatible.
Puntos clave
- Por qué es importante: muchos incidentes de cumplimiento son errores simples; la detección rápida limita el ámbito y admite el seguimiento.
- Pasos de acción:
- Defina qué cuentas como datos confidenciales de ayuda financiera y cómo se pueden compartir.
- Establezca directivas para marcar o restringir los mensajes cuando los destinatarios no coincidan con los grupos aprobados.
- Use alertas para enrutar incidentes a los revisores adecuados para la investigación y la acción correctiva.
- Qué buscar:
- Directivas que detectan patrones de divulgación no autorizados (no solo palabras clave).
- Borrar pista de auditoría de lo que se compartió, con quién y qué ocurrió a continuación.
Introducción al Administrador de cumplimiento de Microsoft Purview
Ha visto cómo funciona un programa de administración de cumplimiento sólido: establezca directivas claras, asigne la propiedad, evalúe el riesgo, cierre brechas, supervise los controles e informe del progreso de una manera en la que los líderes puedan actuar. Al reunir esas piezas, dedica menos tiempo a buscar evidencias y más tiempo a mejorar la forma en que se realiza el trabajo.
Si estás empezando de cero o reforzándolo con un programa existente, puedes mantener las cosas fáciles de administrar mediante:
- Elegir una evaluación que coincida con su necesidad a corto plazo (un requisito normativo, estándar o interno que ya está siguiendo).
- Use la lista de acciones de mejora como trabajopendiente de trabajo y, a continuación, asigne propietarios para el trabajo de implementación y pruebas.
- Revisar la puntuación y la vista "requiere atención" periódicamente para mantener el foco en el trabajo de mayor impacto.
- Capturar las pruebas y las actualizaciones de estado a medida que avanza, por lo que los informes de auditoría no son una codificación de última hora.
El Administrador de cumplimiento de Microsoft Purview está diseñado para ayudarle a evaluar y administrar el cumplimiento en un entorno multinube y a dar soporte al recorrido completo, realizando un inventario de los riesgos de protección de datos para implementar controles, mantenerse al día con las normativas y certificaciones e informar a los auditores.
Obtenga ayuda para organizar los requisitos en evaluaciones, convertir las brechas en acciones de mejora asignadas, realizar un seguimiento del progreso con una puntuación basada en riesgos y dar soporte técnico a los auditores, todo en un solo lugar.
RECURSOS
Más información acerca de Seguridad de Microsoft
Preguntas más frecuentes
Preguntas más frecuentes
- La administración de cumplimiento es el trabajo continuo de las siguientes leyes, reglamentos y directivas internas aplicables, y el mantenimiento de pruebas que muestran que se cumplen los requisitos.
- Una forma común de agrupar el cumplimiento es: normativa (leyes y reglamentos), sector (estándares y certificaciones) e interno (directivas y obligaciones contractuales de la empresa).
- Una herramienta de administración de cumplimiento es software que organiza los requisitos, controles, tareas y evidencias para que los equipos puedan realizar un seguimiento del progreso, asignar trabajo y admitir auditorías.
- Necesita directivas claras, roles y propietarios definidos, controles y procesos documentados, evaluaciones periódicas, corrección de problemas y registros que admitan auditorías e informes.
- Una plantilla de sistema de administración de cumplimiento (CMS) es una estructura reutilizable para realizar un seguimiento de las obligaciones, asignar controles, asignar propietarios, almacenar evidencias y notificar el estado en todos los estándares.
- Una lista de comprobación de cumplimiento es una lista de acciones o controles necesarios que se usan para confirmar que cumple una ley, un reglamento, un estándar o una directiva interna, que se suele usar durante las evaluaciones y auditorías.
- Los elementos clave incluyen gobernanza y supervisión, directivas y procedimientos, controles, supervisión y pruebas, administración de evidencias, corrección e informes y mejoras continuos.
Seguir a Seguridad de Microsoft