Cumpla con los mandatos de privacidad con marcos de ciberseguridad

En los próximos meses, las leyes de privacidad seguirán evolucionando y endureciéndose, lo que requerirá que las organizaciones perfeccionen sus políticas de privacidad y demuestren cómo protegen la información de los clientes. A medida que cambien los mandatos, los marcos de seguridad cibernética también refinarán las regulaciones de retención de datos de los clientes.

Comprender los cambios en curso en las regulaciones de privacidad es un desafío suficiente para los directores de seguridad de la información (CISO) y sus equipos. Implementar los cambios requeridos a medida que ocurren solo agrega complejidad y confusión. Este artículo examina los cambios en las regulaciones de privacidad del consumidor y describe las formas en que las empresas pueden optimizar sus esfuerzos de cumplimiento.

Este año, se espera que el Departamento de Defensa de EE. UU. mejore su estándar nacional de ciberseguridad para todos los contratistas que trabajan con él. cadena de suministro federal y Manejo de información no clasificada controlada (ICU) y mandato Certificación del Modelo de Madurez de Ciberseguridad (CMMC) requisitos del programa. Si bien este mandato no afecta directamente a muchas empresas, el fallo ciertamente afectará a otras organizaciones que hacen negocios indirectos con la cadena de suministro federal, así como a aquellas en el mercado privado, y les exigirá que cumplan con las leyes de privacidad cambiantes que son fundamentales para negocios negocio diario.

Además el Ley de Privacidad del Consumidor de California (CCPA), una de las leyes de protección al consumidor más estrictas del país, introducirá derechos ampliados para las personas que deseen cambiar su información personal o optar por no recibir comunicaciones de marketing y de terceros, una consideración importante dadas las numerosas filtraciones de datos de terceros recientes. Por lo tanto, las organizaciones deben adoptar políticas y procesos más estrictos para proteger sus sistemas y los datos críticos almacenados en ellos, y garantizar que estos procesos se entiendan y apliquen correctamente.

Las regulaciones cibernéticas prescriptivas en torno a la protección de datos pueden ser beneficiosas para las empresas. Ayudan a construir la reputación de su marca ya que se enfocan en proteger los datos de los usuarios y proteger el negocio de los ataques. Sin embargo, a medida que el aumento de la regulación ejerce más presión sobre la seguridad, el riesgo y los recursos de TI ya limitados y aumenta la curva de aprendizaje, los aspectos negativos de estos cambios a menudo pueden eclipsar los beneficios que ofrecen.

Medidas proactivas frente a medidas reactivas: ¿qué enfoque es más eficaz?

A medida que se refinan los marcos de mandatos de seguridad cibernética y las políticas de cumplimiento, las empresas ahora alientan (y en ocasiones exigen) avanzar hacia un enfoque proactivo basado en el riesgo que establece su responsabilidad en función del tipo de datos recopilados y cómo se utilizan. Al mismo tiempo, muchos marcos de seguridad cibernética centrados en datos están empujando a la industria hacia la priorización proactiva y el análisis de brechas en la calificación de riesgos para permitir una medición precisa del riesgo sistémico y reducir los recursos y el tiempo necesarios para el cumplimiento. Esta colisión de preocupaciones de privacidad y el marco de ciberseguridad asociado es abrumadora para las organizaciones que intentan fortalecer su postura de seguridad y cumplimiento.

La priorización proactiva de riesgos basada en inteligencia de amenazas completa, contextual e histórica, junto con un control activo sobre la organización, puede aliviar muchos de los problemas de cumplimiento que enfrentan los CISO. Para lograr esto, recomiendo los siguientes pasos para los CISO y sus equipos:

1. Comprenda cómo su empresa utiliza los datos. El creciente volumen de datos que recopilan las organizaciones está impulsando una mayor necesidad de inteligencia cibernética contextual y consciente de los activos que revele qué datos se necesitan para las operaciones diarias y cómo se utilizan esos datos. Hay soluciones tecnológicas disponibles que facilitan la comprensión, pero obtener una comprensión precisa requiere un enfoque de auditoría. Los CISO y otros ejecutivos deben considerar y definir los procesos BAU (negocios como de costumbre) de la organización para comprender qué datos se requieren para las operaciones estándar diarias. Esto permite a las organizaciones establecer una política sólida sobre qué y cómo usan tipos específicos de datos.

2. Realice una evaluación de riesgos exhaustiva. Una evaluación integral de riesgos de ciberseguridad sopesa los riesgos tanto dentro de la organización como a lo largo de la cadena de suministro frente a la eficacia de los controles de seguridad básicos para proteger los datos. Este movimiento es crítico dadas las vulnerabilidades de alto perfil en la cadena de suministro de software durante los últimos años. Incidentes como el infame incumplimiento de SolarWinds y muchos otros demuestran la importancia de prestar mucha atención a los riesgos de terceros para proteger los sistemas, las redes y los datos de una organización.

3. Cuantificar los riesgos cibernéticos. Las evaluaciones de riesgos empresariales típicas priorizan los riesgos con calificaciones generales de alto, medio o bajo, que indican la probabilidad de que ese riesgo se convierta en un ataque y el impacto resultante. Sin embargo, se necesita más para cuantificar el riesgo de una empresa. Por ejemplo, ¿dónde está presente la empresa en línea? ¿Qué tan extendidas están sus vulnerabilidades? ¿Qué activos están en riesgo? Además, ¿qué tan resistente es la organización para mantener las operaciones comerciales como de costumbre en caso de que ocurra un ataque? ¿Cuánto le costaría a la empresa un ataque?

Una solución de inteligencia de amenazas de calidad identifica y amplía la medición de las vulnerabilidades de una organización, ayudando a las organizaciones a priorizar con confianza qué brechas deben cerrarse. [Note: The author’s company is one of many that offer threat intelligence services.] Dicha inteligencia de amenazas puede ayudar a los equipos de seguridad a comprender qué áreas comerciales corren más riesgo, cómo se comporta la organización y si los ciberdelincuentes se dirigen a una empresa o software específico, incluido el suyo propio. Cualquier área de una empresa o de sus proveedores puede ser un objetivo, por ejemplo, los sistemas de pago de un minorista. Por ejemplo, la inteligencia de amenazas puede descubrir cientos de publicaciones en los foros de Dark Web sobre planes para atacar estos sistemas críticos, advirtiendo al minorista que refuerce la seguridad y evite que los atacantes obtengan acceso a los sistemas de la tienda o a los datos de los clientes mucho antes de que comience un ataque activo.

4. Definir una política de concientización de seguridad medible y procesable. Medir la efectividad de un programa de concientización sobre seguridad requiere saber si los empleados, socios comerciales, terceros y otros entienden completamente y siguen las políticas de seguridad de la empresa. El seguimiento de los incidentes cibernéticos y cómo se manejan puede revelar qué tan bien la organización se comunica, capacita y aplica estas políticas con las personas de primera línea, la mayor vulnerabilidad de una organización. Además, una política sólida de concientización sobre la seguridad requiere la colaboración entre la organización y sus proveedores, lo que debe articularse claramente como parte de cualquier acuerdo formalizado.

A medida que la cantidad de datos que las organizaciones consumen y procesan continúa creciendo, y los actores malintencionados encuentran formas más sofisticadas de acceder a esos datos, es muy lógico endurecer las normas de privacidad. Sin embargo, la carga adicional de cumplir constantemente con los requisitos de cumplimiento en constante cambio puede parecer casi imposible para los equipos sobrecargados.

Al seguir estos pasos y usar inteligencia y análisis proactivos, las organizaciones y sus empleados, socios y clientes se mantendrán a la vanguardia, lo cual es bueno para los negocios y para la sociedad.