Gobernanza, riesgo y cumplimiento:
la seguridad corporativa desde una perspectiva holística

Gobernanza.

La gobernanza describe las políticas, las responsabilidades y los procesos de toma de decisiones que permiten alcanzar los objetivos corporativos sistemáticamente y optimizar los recursos. Una gobernanza clara se traduce en transparencia y eficacia. Forja los cimientos para tomar decisiones sostenibles.

Gestión de riesgos.

Una gestión de riesgos eficaz implica detectar, evaluar y controlar las posibles amenazas que podrían alterar las operaciones comerciales. Entre ellas, se incluyen los ciberataques, la pérdida de datos y las caídas del sistema. Disponer de unos procesos estructurados permite identificar los riesgos desde el principio y, así, implementar medidas antes de que se produzcan daños.

Cumplimiento.

El cumplimiento conlleva respetar los requisitos legales, los estándares específicos del sector y las políticas internas. Al contar con un sistema de gestión de cumplimiento bien establecido, estos requisitos se aplican de forma transparente y legal, y los mecanismos de control interno funcionan con total fiabilidad.

Evaluaciones de seguridad.

Es fundamental realizar revisiones regulares para identificar los puntos débiles y desarrollar las medidas de seguridad. Las evaluaciones de seguridad constituyen una base sólida para mejorar en este sentido. Un ejemplo es la implementación de la directiva NIS2, que cubre los aspectos tanto técnicos como organizativos.

Gestión de incidentes y gestión de la continuidad del negocio.

Resulta imposible eliminar los incidentes de seguridad por completo. Lo importante es saber reaccionar de forma rápida y coordinada. La gestión de incidentes y la gestión de la continuidad del negocio ayudan a las empresas a actuar incluso en las situaciones más críticas. La gestión preventiva de emergencias y su adaptación progresiva, así como lo planes de recuperación, son esenciales para proteger los procesos críticos de las empresas.

Seguridad en la cadena de suministro.

Las cadenas de suministro también representan una posible superficie de ataque. Se deben identificar, evaluar y asegurar todas las áreas que dependan de socios o de proveedores de servicios externos. Una estrategia estructurada mejora la transparencia, reduce los riesgos y refuerza la resiliencia general de la empresa.

Marco normativo.

En la actualidad, existe una infinidad de requisitos legales y normativos que determinan las estrategias de seguridad y cumplimiento de las empresas. Estas normas, por un lado, sirven para proteger y guiar a las organizaciones. Sin embargo, por otro lado, también plantean dificultades, pues su implementación resulta compleja. Bechtle le ayuda a entender, priorizar e integrar estos requisitos en una estrategia de seguridad holística.

Ley de IA.

La ley de IA es el primer reglamento de la UE en regular el uso de la inteligencia artificial de forma exhaustiva. Entró en vigor en agosto de 2024 y se aplica directamente en todos los estados miembros. La ley se basa en el nivel de riesgo: cuanto más riesgo entraña un sistema de IA, más estrictos son los requisitos.

Las aplicaciones con un nivel de riesgo inaceptable, como la puntuación ciudadana, están prohibidas. Los sistemas de alto riesgo que se utilizan en las infraestructuras críticas, la sanidad, la educación o la justicia están sujetas a obligaciones muy estrictas. Los sistemas con riesgos limitados, como los chatbots, deben indicar claramente que funcionan con IA. Los sistemas con el riesgo más bajo deben cumplir unos requisitos mínimos basados en la práctica.

La implementación es complicada, ya que las normas todavía están en desarrollo y las empresas aún tendrán que dedicar más esfuerzos. De la misma manera, será necesario encontrar el equilibrio entre la normativa y la innovación. La ley de IA se considera un hito y un marco de referencia a nivel mundial en lo que a la regulación de la IA se refiere.

Protección de datos (RGPD, BDSG, LDSG).

La Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales (LOPDGDD) constituye, junto con el Reglamento General de Protección de Datos (RGPD) de 2018, el marco legal único para tratar los datos personales en España. Su objetivo es garantizar la autodeterminación informativa y proteger derechos fundamentales como la privacidad, la libertad de expresión y los derechos digitales de la ciudadanía. La Agencia Española de Protección de Datos (AEPD) es el organismo responsable de supervisar el cumplimiento normativo y de aplicar sanciones en caso de infracción.

Las empresas deben cumplir requisitos complejos. Por ejemplo, obtener el consentimiento de formal legal y transparente, llevar un registro de sus actividades de tratamiento y realizar evaluaciones de impacto de protección de datos. Sin embargo, muchas veces las pequeñas y medianas empresas carecen de los recursos necesarios y de los conocimientos técnicos para llevar esto a cabo. Además, las nuevas tecnologías, como la inteligencia artificial, los macrodatos y los servicios en la nube, dificultan aún más el cumplimiento y la seguridad de la información.

NIS2.

La directiva NIS2 es la norma europea principal en materia de ciberseguridad. Obliga a las empresas de sectores esenciales e importantes a ampliar sustancialmente sus medidas de seguridad. La NIS2 establece requisitos claros de gestión de riesgos, respuesta a incidentes, continuidad del negocio y seguridad en la cadena de suministro. Las empresas a quienes se aplica esta directiva deben implementar estas medidas técnicas y organizativas, así como notificar los incidentes de seguridad.