Guía para la gestión de los riesgos relacionados con los datos mediante prácticas de gobernanza de datos

La gestión de riesgos de datos es la práctica que aplica una organización mediante mecanismos de gobernanza, procesos, procedimientos y cumplimiento normativo en la adquisición, el almacenamiento, el tratamiento, la transformación y el uso de datos, con el fin de gestionar y eliminar los riesgos asociados a los datos. El análisis de riesgos consiste en examinar los activos de la organización, las posibles amenazas y las vulnerabilidades para determinar los riesgos, y posteriormente aplicar medidas de prevención para gestionarlos.

¿Qué provoca el riesgo de datos?

• Mala gestión de los datos: Las organizaciones deben garantizar que sus datos sean de alta calidad para respaldar las decisiones organizativas. Una buena gestión de los datos logra un equilibrio entre la necesidad de democratizar los datos y la necesidad de conocerlos y utilizarlos.
• Mala gestión de los datos: Es necesario proteger todo el ciclo de vida de los datos a medida que estos pasan de una fase a otra, incluyendo tanto los datos en reposo como los que están en tránsito. Todas las prácticas relacionadas con la adquisición, el almacenamiento, la transformación, la carga y el procesamiento de datos deben gestionarse de forma adecuada.
• Seguridad de los datos insuficiente: Las organizaciones deben mantenerse al día en la protección de su entorno frente a ciberataques y fugas involuntarias de datos internas, mediante parches, formación, un modelo de confianza cero, etc.
• Mala gestión de parches: Los parches del sistema deben mantenerse actualizados y aplicarse a tiempo; si la gestión de parches no se lleva a cabo de forma eficaz y eficiente, puede surgir una ventana de oportunidad para los ciberataques. En la medida de lo posible, la gestión de parches debe basarse en boletines y estar automatizada.

Según el US-CERT, las organizaciones deben implementar un programa de seguridad informática automatizado y basado en el riesgo, que abarque toda la infraestructura, las aplicaciones y los datos, tanto en las instalaciones físicas como en sus implementaciones en la nube. Es poco frecuente que el hardware o el entorno de las aplicaciones sufran daños permanentes o tengan consecuencias impredecibles en fases posteriores; no se puede decir lo mismo de los riesgos relacionados con los datos. Un análisis de riesgos basado en el modelo «Prevenir-Detectar-Responder» debe centrarse en los riesgos relacionados con los datos como eje central de un programa de ciberseguridad de gestión de datos (CDM).

Algunas ventajas de gestionar los riesgos relacionados con los datos

• Reducir los costes para una organización de muchas maneras, incluyendo multas reglamentarias, pérdida de tiempo, retención de clientes y mucho más.
• Reducir el riesgo actuando de forma proactiva en lugar de reactiva con una estrategia para gestionar todos los riesgos.
• Aumentar la agilidad de la organización. La evaluación y gestión de riesgos de datos es una práctica proactiva que respalda la disponibilidad operativa de la organización al permitir reaccionar con rapidez ante los retos.
• Garantizar la continuidad de la organización mediante la capacidad de ofrecer y dar soporte a servicios y productos. Si no se gestionan adecuadamente los riesgos relacionados con los datos, las organizaciones corren el riesgo de fracasar.
• Aumentar la satisfacción del cliente. La satisfacción del cliente se basa en la capacidad de una organización para operar de forma segura protegiendo los datos compartidos necesarios para llevar a cabo su actividad. Las buenas encuestas de satisfacción del cliente y los índices de recomendación neta se basan en la capacidad de la organización para gestionar los riesgos relacionados con los datos.

La ventaja de gestionar adecuadamente el riesgo de los datos compensa con creces los costes asociados. Cuando esta práctica se integra como disciplina dentro de una organización, contribuye significativamente al éxito empresarial. La siguiente guía de gestión del riesgo de los datos ofrece recomendaciones y consejos sobre cómo implementar esta práctica de forma eficaz en su organización.

Cómo implementar la gestión de riesgos de datos mediante la gobernanza

La gestión de riesgos de datos no puede ser una cuestión secundaria en ninguna organización. Para que la gestión de riesgos de datos tenga éxito, es necesario que exista una intención estratégica, el apoyo de la dirección y un cambio cultural. Empiece por crear un equipo con competencias y responsabilidades en materia de riesgos de datos. Elabore una matriz RACI global en relación con la política de gestión de riesgos de datos. Contrate a un delegado de protección de datos (DPO) que se encargue de crear un marco de gestión de riesgos de datos. Incluya en dicho marco metas, objetivos y métricas.

Funciones de gobernanza de datos para reducir el riesgo

Una gestión eficaz de los datos y de los riesgos requiere una adopción generalizada en toda la organización, funciones claramente definidas y estructuras de responsabilidad que reduzcan los riesgos operativos, normativos y de reputación. Al asignar responsabilidades y supervisar todas las fases del ciclo de vida de los datos, las organizaciones pueden gestionar de forma proactiva la calidad, la seguridad y la privacidad de los datos, así como las obligaciones de cumplimiento normativo.

Director de Datos (CDO)

El director de datos (CDO) establece la estrategia de datos y el marco de gobernanza a nivel de toda la empresa. Esta función garantiza la coherencia entre los objetivos empresariales, los requisitos normativos y las prácticas de gestión de datos, lo que reduce los riesgos estratégicos y de cumplimiento.

Propietarios de datos

Los responsables de los datos se encargan de ámbitos específicos de datos (como los datos de clientes, financieros u operativos). Establecen normas de calidad, políticas de acceso y directrices de uso, garantizando que los datos sean adecuados para su finalidad y estén protegidos contra un uso indebido.

Administradores de datos

Los responsables de datos gestionan la calidad diaria de los datos, los metadatos y el cumplimiento de las políticas. Supervisan la exactitud, la coherencia y la integridad de los datos, y elevan los problemas antes de que se conviertan en riesgos sistémicos.

Responsables de datos (equipos de TI/ingeniería)

Los administradores se encargan del entorno técnico: el almacenamiento de datos, la infraestructura, las copias de seguridad y los controles de seguridad. Implementan medidas de protección, como el cifrado, los controles de acceso y los sistemas de supervisión, para proteger contra las violaciones de seguridad y la pérdida de datos.

Responsables de cumplimiento normativo y gestión de riesgos

Estas partes interesadas velan por el cumplimiento de la normativa y las políticas internas. Evalúan el riesgo normativo, llevan a cabo auditorías y orientan las medidas correctoras para minimizar las sanciones legales y económicas.

Equipos de seguridad de la información

Los profesionales de la seguridad se encargan de la detección de amenazas, la evaluación de vulnerabilidades y la respuesta ante incidentes. Su supervisión ayuda a prevenir el acceso no autorizado, la filtración de datos y los riesgos cibernéticos.

Cuando estas funciones están claramente definidas y respaldadas por políticas documentadas y flujos de trabajo de gobernanza, las organizaciones crean un sistema estructurado de controles y contrapesos. Esta responsabilidad por niveles reduce considerablemente los riesgos relacionados con los datos, al tiempo que refuerza la confianza en los activos de datos de la empresa.

Consejos generales para la gestión de riesgos relacionados con los datos

• Identificar riesgos, amenazas y vulnerabilidades. Realizar una evaluación de riesgos del centro de datos.
• Evalúe la probabilidad y el impacto, y realice un análisis del impacto en el negocio. Puede resultar útil recurrir a la ayuda de terceros. Analice las implicaciones financieras y el impacto a lo largo del tiempo para determinar las prioridades y las medidas necesarias para hacer frente a los riesgos relacionados con los datos.
• Definir la gobernanza, las políticas, las normativas y las necesidades de cumplimiento, incluyendo la identificación y adopción de las mejores prácticas para la gestión del riesgo de los datos.
• Evaluar los controles existentes y realizar esta actividad de forma continua en relación con el cambiante panorama de riesgos. Implantar controles en prácticas, procesos e instrucciones de trabajo en toda la organización.
• Ponga a prueba el plan para asegurarse de que funciona; si no es así, ajústelo y redefina cualquier otro aspecto de la gestión del riesgo de datos.
• Supervise el riesgo y proporcione información, utilice herramientas automatizadas en la medida de lo posible y obtenga información de personas de toda la organización.
• Mejora el plan continuamente según sea necesario.

Algunos riesgos potenciales que hay que identificar y gestionar

A continuación se enumeran algunos problemas habituales a los que hay que prestar atención y para cuya gestión conviene adoptar políticas.

Corrupción de datos

Los datos pueden corromperse en cualquier momento, durante su lectura, escritura, transmisión, carga, procesamiento, etc. Asegúrese de identificar la replicación, duplicación, copia de seguridad y recuperación de los datos, y gestione el riesgo relacionado con cada etapa del ciclo de vida de la gestión de datos.

Fallo del dispositivo

Es posible que se produzcan fallos en los dispositivos, tanto en las instalaciones como en la nube, donde residen los datos. Las organizaciones deben conocer a fondo toda la infraestructura de dispositivos informáticos y los datos asociados, y elaborar planes y medidas para gestionar los riesgos relacionados con los datos.

Problemas relacionados con el cumplimiento normativo en materia de datos

Asegúrese de cumplir tanto con las normativas aplicables a clientes y socios como con las específicas del sector y de cada región o país, tales como el Reglamento General de Protección de Datos (RGPD), la Ley de Portabilidad y Responsabilidad del Seguro Médico (HIPAA), los Servicios de Información de Justicia Penal (CJIS), la Ley de Derechos Educativos y Privacidad de la Familia (FERPA), el Reglamento sobre el Tráfico Internacional de Armas (ITAR) y la Ley de Privacidad del Consumidor de California (CCPA). Es necesario gestionar la privacidad y la confianza en los datos, y tener en cuenta los riesgos; cada una de estas normativas hace hincapié en la necesidad de gestionar los riesgos relacionados con los datos.

Persistencia de los datos

La remanencia de datos mediante prácticas de retirada de datos, si no se hace correctamente, puede suponer un riesgo para la organización. Asegúrese de verificar que esto está ocurriendo adecuadamente.

Falta de auditoría de seguridad

La identificación de fallos y debilidades de seguridad puede hacerse con auditorías. Las auditorías de datos son siempre una buena práctica en las organizaciones para gestionar los riesgos.

Escasa formación de los empleados

Las personas que forman parte de una organización deben ser conscientes de las posibles brechas de seguridad y amenazas: malware, phishing, spyware, etc.

Riesgos del almacenamiento en la nube

Es necesario identificar y gestionar los riesgos asociados a los servicios SaaS, PaaS e IaaS en la nube. Aunque muchas organizaciones no utilizan todos los servicios en la nube, deben ser conscientes de cómo los demás servicios pueden afectarles en lo que respecta a la gestión del riesgo de los datos.

Falta de preparación para la respuesta ante incidentes

Es fundamental contar con un plan de respuesta ante incidentes graves para cuando se produzca un problema relacionado con la gestión de datos. Además, este plan debe ensayarse o simularse para garantizar su eficacia.

Amenazas a la seguridad física

La seguridad física debe analizarse y entenderse siempre en relación con las vulnerabilidades humanas o ambientales, incluyendo tanto la seguridad física en las instalaciones como en la nube. Las organizaciones deben comprender cómo abordan la seguridad física tanto su propia empresa como los proveedores, especialmente en entornos de oficina que oscilan entre políticas de teletrabajo y de vuelta a la oficina.

Amenazas de terceros

Es necesario identificar los riesgos relacionados con el software y la infraestructura de terceros. Cualquier proveedor externo está expuesto a una filtración de datos puede afectar a sus clientes. Las filtraciones de datos que dan lugar a que el software sea pirateado y posteriormente instalado en los entornos de sus clientes pueden tener consecuencias duraderas para la organización. Todas las organizaciones deben comprender cómo protegen sus proveedores sus datos, especialmente los datos de sus clientes.

Otras áreas de gestión de datos que hay que tener en cuenta

• No se puede subestimar la importancia de las copias de seguridad, tanto para la organización como para nosotros personalmente. Permiten recuperar los datos en caso de cortes de electricidad, ataques informáticos, desastres naturales, errores humanos, etc. Esto es fundamental para gestionar los riesgos relacionados con los datos.
• La redundancia mejora la disponibilidad de su organización para hacer negocios. La redundancia de datos ayuda a gestionar el riesgo de pérdida de datos por cortes inesperados y esperados que puedan producirse.
• Los riesgos relacionados con las personas en la gestión de los datos deben ser identificados y gestionados. Una táctica clave consiste en formar al personal para que sepa cómo gestionar los riesgos de datos dentro de la organización. Es fundamental asegurarse de que las personas comprendan estos riesgos y sepan cómo actuar cuando sea necesario. Las buenas prácticas que adquieren en el entorno laboral también pueden ayudar a prevenir fugas de datos personales y otros riesgos relacionados con la información personal.

Hoy en día, a medida que las organizaciones adoptan tecnologías y prácticas de Big Data, es fundamental contar con una estrategia de gestión del riesgo de datos para hacer frente a los riesgos asociados. Cada organización debe revisar sus arquitecturas de Big Data e identificar los riesgos asociados a los datos en entornos locales, en la nube y en nubes híbridas. Es importante analizar cuidadosamente los riesgos de migración de datos a la nube y los riesgos de seguridad del almacenamiento en la nube. En algunos casos, será necesario ajustar la arquitectura en la nube para mitigar tanto los riesgos como los costes. La gestión de riesgos en Big Data debe formar parte de una estrategia integral de gestión del riesgo de los datos.

La gobernanza de los datos es necesaria para reducir los riesgos relacionados con los datos

La gestión de los riesgos relacionados con los datos es responsabilidad de todas las áreas de la empresa: líneas de negocio, marketing, ventas, recursos humanos, operaciones, aplicaciones, asuntos jurídicos, etc. Adoptar un enfoque proactivo —identificando los riesgos, incorporando controles y preparándose para actuar— puede marcar una gran diferencia cuando sea necesario. No deje la gestión de los riesgos relacionados con los datos para el final. Forma parte del coste de llevar a cabo la actividad empresarial y debe entenderse como tal. Evite los atajos y adopte un enfoque estratégico y exhaustivo.

Cómo la plataforma Actian Data Intelligence Platform contribuye a la gobernanza de datos y la gestión de riesgos

Actian Data Intelligence Platform está diseñada para ayudar a las organizaciones a unificar, gestionar y comprender sus datos en entornos híbridos. Reúne la gestión de metadatos, la gobernanza, el linaje, la supervisión de la calidad y la automatización en una única plataforma. Esto permite a los equipos ver de dónde proceden los datos, cómo se utilizan y si cumplen los requisitos internos y externos.

A través de su interfaz centralizada, la plataforma ofrece información en tiempo real sobre las estructuras y los flujos de datos, lo que facilita la aplicación de políticas, la resolución de problemas y la colaboración entre departamentos. La plataforma también ayuda a vincular los datos con el contexto empresarial, lo que permite a los equipos utilizarlos de forma más eficaz y responsable. La plataforma de Actian está diseñada para adaptarse a los ecosistemas de datos en constante evolución, lo que permite un uso coherente, inteligente y seguro de los datos en toda la empresa. Solicita tu demostración personalizada.