Fuente: Diario Jurídico
La introducción de la Inteligencia Artificial (IA), los servicios cloud, la domotización y la exposición en redes sociales (de las empresas y de sus empleados), entre muchos otros retos, obligan a las organizaciones embarcadas en la transformación digital a hacer una correcta mediación y gestión de sus riesgos tecnológicos. Es un esfuerzo de tanta envergadura y especialización que necesita de un programa de cumplimiento específico: se trata del compliance tecnológico, en el que firmas TIC y bufetes especializados hemos encontrado un nicho común de oportunidades, trabajando de forma conjunta en tareas como establecer la propiedad de los sistemas operativos, delimitar el acceso por parte de los usuarios, la asignación de claves y política de contraseñas, la gestión de incidencias, uso de los recursos telemáticos y dispositivos fuera y dentro de la empresa, así como las licencias de software y la confidencialidad y protección de datos.
De forma más sistemática, éstas las principales funciones clave del denominado compliance tecnológico:
-Seguridad de la información. Un programa de cumplimiento debe establecer las directrices de gestión de la seguridad de la información, de acuerdo con los requisitos del negocio y las leyes y normativa pertinentes. Debe asimismo definir la organización interna y un marco de gestión para controlar la implementación y operación de la seguridad de la información dentro de la organización.
–Dispositivos móviles y teletrabajo. El compliance tecnológico debe garantizar la seguridad en el uso profesional de dispositivos móviles e implantar medidas para proteger la información accedida, tratada o almacenada en emplazamientos de teletrabajo.
-Recursos humanos. Este programa debe crear mecanismos para que empleados y contratistas entiendan sus responsabilidades con respecto a la seguridad de la información y las apliquen de acuerdo a la normativa interna y externa
-Gestión de activos. Corresponde al compliance identificar los activos de la organización y definir las responsabilidades de protección adecuadas.
-Clasificación de la información. Se trata de asegurar que la información reciba un nivel adecuado de protección de acuerdo con su importancia para la organización y su criticidad ante revelación o modificación no autorizadas.
-Manipulación de soportes y acceso a la información. Implementar las políticas para evitar la revelación, modificación, eliminación o destrucción no autorizadas de la información almacenada en soportes.
-Acceso a la información, sistema y aplicaciones. Asimismo, establecer y documentar la política de control de acceso a los recursos de tratamiento de la información y a la información. Garantizar el acceso de usuarios autorizados y evitar el acceso no autorizado a los sistemas, servicios y aplicaciones.
-Controles criptográficos. Establecer la política para garantizar un uso adecuado y eficaz de la criptografía para proteger la confidencialidad, autenticidad y/o integridad de la información.
-Seguridad física y del entorno. Establecer las medidas adecuadas para preservar la seguridad física y del entorno, previniendo el acceso no autorizado, los daños e interferencias a la información de la organización y a los recursos de tratamiento de la información.
-Seguridad de los equipos y de las operaciones. Definir las medidas para evitar la pérdida, daño, robo o compromiso de los activos y la interrupción de las operaciones de la organización. Establecer los procedimientos y responsabilidades operacionales.
-Protección contra el malware y copias de seguridad. Definir las medidas para asegurar que los recursos de tratamiento de la información y la información están protegidos contra el malware, y establecimiento de política de copias de seguridad.
-Seguridad de las comunicaciones. Definir los procedimientos para asegurar la protección de las redes y mantener la seguridad de la información que se transmite dentro de la organización
No están todas las que son, pero son todas las que están. Todas son funciones clave, en las que la perspectiva tecnológica no es suficiente, sino que debe estar asociada a la jurídica, al cumplimiento de los requisitos legales y contractuales. Se trata de salvaguardar procesos y además documentarlos.
.png)
.png)
.png)
.jpg)
.jpg)
.jpg)
QUIÉNES SOMOS
La Asociación
Junta Directiva
Sedes
Noticias
Artículos de Interés
Canal Ético
ACERCA DEL COMPLIANCE
Qué es
Compliance Officer
Marco Normativo Internacional
Cual es tu nivel de Compliance
FORMACIÓN
Eventos
Cursos Acreditados
Agenda Formativa
Cómo acreditar un curso
CERTIFICACIÓN
Certificación Profesional WCA
Certificación Sistemas de Compliance
SOCIOS
Ventajas de Asociarse
Entidades Asociadas
Profesionales Asociados
Solicitud de Adhesión
LEGAL
Aviso Legal
Política de Privacidad
Política de Cookies
Propiedad Intelectual
Condiciones de Contratación
