Gobernanza, gestión de riesgos y cumplimiento normativo (GRC)
A medida que las organizaciones crecen, también lo hace la complejidad de sus operaciones; es decir, aumenta el volumen de información que maneja la empresa. La información almacenada en la empresa puede pertenecer a diversos sectores, cada uno con distintos grados de confidencialidad. Como resultado, las actividades de la organización suelen estar sujetas a la jurisdicción de varios organismos reguladores y de cumplimiento.
Sin mencionar que, a medida que una organización experimenta cambios rápidos en toda su infraestructura, deberá asegurarse de que sus actividades operativas estén alineadas con los objetivos comerciales. Para hacer frente a estos desafíos logísticos, es importante que las organizaciones adopten un enfoque organizado; el concepto unificado que vincula la integridad empresarial, el cumplimiento de las regulaciones y la resiliencia ante los riesgos es gobernanza, riesgo y cumplimiento (GRC).
Dado que estas tres disciplinas comparten características que se superponen, una solución integrada de GRC reduce la duplicación de esfuerzos, lo que puede ayudar a las organizaciones a optimizar sus operaciones, reducir costos y fomentar el análisis entre dominios para obtener resultados de mayor alcance.
Gobernanza
Describe las decisiones ejecutivas que toma una organización para garantizar que sus operaciones avancen hacia un objetivo comercial colectivo. La gobernanza organizacional combina la información de gestión con las estructuras de control y las partes interesadas que influyen, hacen cumplir y supervisan las decisiones clave en materia de políticas.
Los componentes clave que determinan una gobernanza eficaz incluyen evaluaciones internas, gestión de riesgos e informes de supervisión del cumplimiento. Algunos de los marcos más destacados que pueden ayudar a implementar la gobernanza de TI son:
Objetivos de Control para la Información y Tecnologías Relacionadas (COBIT): Creado por ISACA, COBIT está diseñado para que la administración de TI en las empresas integre los desafíos técnicos, los riesgos comerciales y los responsables clave de la toma de decisiones. Diseñado inicialmente para la auditoría de TI, su última versión, COBIT 5, se basa en cinco principios:
Cumplir con los requisitos de las partes interesadas clave
Implementar una cobertura integral de toda la empresa
Unificar varios marcos
Allanar el camino para un enfoque holístico en la gestión de las organizaciones
Separar la gestión de la gobernanza
Biblioteca de Infraestructura de Tecnología de la Información (ITIL): Un marco de gestión de servicios de TI (ITSM) basado en procesos que permite a las empresas aprovechar sus capacidades de ITSM para obtener mejores resultados. ITIL consta de cinco elementos para la gestión de servicios: estrategia de servicio, diseño de servicio, transición de servicio, operación de servicio y mejora continua del servicio.
Comité de Organizaciones Patrocinadoras de la Comisión Treadway (COSO): El marco COSO aborda diversas discrepancias que afectan los controles internos de una organización. Con un mayor énfasis en el aspecto comercial de una empresa, el COSO clasifica los objetivos de control interno en tres categorías: operaciones, presentación de informes y cumplimiento.
Análisis de factores de riesgo de la información (FAIR): FAIR se centra en los aspectos de ciberseguridad de una organización, ayudando a las empresas a tomar medidas cruciales para remediar la presencia de actores malintencionados y las brechas de seguridad.
Integración del modelo de madurez de capacidades (CMMI): Una metodología que tiene como objetivo lograr la mejora de los procesos, sin dejar así lugar a la negligencia operativa ni al funcionamiento desorganizado. El CMMI introduce una escala de calificación que va del uno al cinco para determinar el nivel de madurez de una organización en cuanto a la estabilidad de los procesos, la calidad y la rentabilidad.
Riesgo
Los desafíos existentes o percibidos que una organización debe superar para garantizar un funcionamiento sin contratiempos. Los tipos de riesgos a los que se enfrenta una empresa incluyen:
Riesgo operativo: Las vulnerabilidades sistémicas que afectan las operaciones de una empresa constituyen un riesgo organizacional. Pueden tener su origen tanto en el interior como en el exterior; entre los ejemplos de este último se encuentran las catástrofes naturales o provocadas por el hombre, así como las crisis globales que pueden desestabilizar la cadena de suministro mundial. Entre los factores internos que contribuyen a ello se incluyen políticas organizacionales defectuosas, hardware sin parches, ciberataques, uso de información privilegiada, errores humanos y el uso generalizado de dispositivos defectuosos u otros productos dentro de la empresa.
Riesgo de cumplimiento: Riesgos derivados del incumplimiento de los marcos normativos.
Riesgo financiero: Peligros potenciales que afectan la salud financiera de una organización.
Cumplimiento
Se refiere a la necesidad de que las organizaciones se ajusten a un conjunto de leyes y directrices normativas. El cumplimiento garantiza que las empresas no infrinjan ningún límite ético a costa de alcanzar sus objetivos.
Modelo de capacidad de GRC: el flujo de trabajo ideal
Según la OCEG, una práctica ideal de GRC debe incorporar los siguientes componentes:
Aprender: Adquirir conocimiento sobre el contexto de la organización, sus políticas internas y su cultura, lo cual puede incorporarse para crear estrategias, hojas de ruta y objetivos.
Alinear: Utilizar herramientas efectivas de toma de decisiones para crear estrategias, objetivos y procesos viables que estén en consonancia con los valores, los requisitos, los adversarios y las oportunidades de la empresa.
Ejecución: Llevar a cabo acciones que permitan materializar las hojas de ruta estratégicas, evitando al mismo tiempo fallas operativas mediante el reconocimiento de las acciones deseables y la corrección de aquellas que resulten contraproducentes.
Revisión: Reevaluar la eficacia operativa de los planes y sus respectivas acciones, además de realizar ajustes de rumbo y proponer medidas para aumentar la eficiencia del flujo de trabajo de la organización.
Componentes de una solución de GRC
Una solución de GRC infalible puede aliviar la carga de trabajo de los administradores de red al automatizar tareas rutinarias, como la aplicación de políticas y el monitoreo. Las herramientas de GRC unifican diversas tareas y evitan que el personal tenga que centrar sus esfuerzos en tareas redundantes y repetitivas que se superponen entre diferentes equipos. Las soluciones de GRC también deben proporcionar las funciones necesarias que estén en consonancia con los requisitos de las leyes de cumplimiento y, además, ayudar en la auditoría de entidades, sistemas y proveedores asociados con la organización.
Algunos de los componentes importantes de una solución de GRC incluyen:
Gestión de políticas
Se encarga de la concepción y la aplicación de las regulaciones definidas por la empresa que rigen la actividad de los usuarios y los dispositivos dentro de la red de la organización. Además de administrar el ciclo de vida completo de las políticas de la empresa, este componente también establece canales de comunicación para escalar las violaciones de políticas mediante alertas y notificaciones, junto con paneles de control que rastrean, informan y gestionan los incidentes de violaciones de políticas.
Gestión del cumplimiento
Una evaluación continua para garantizar que una organización cumpla con los estándares de seguridad, así como con los marcos legales y regulatorios, al tiempo que se identifican los nuevos requisitos de cumplimiento y licencias de acuerdo con la infraestructura en constante evolución de la organización.
El primer paso para implementar la gestión del cumplimiento normativo es el mapeo regulatorio, lo cual implica comprender y abordar los requisitos obligatorios que la normativa exige a una organización. Esto puede llevarse a cabo mediante la realización de evaluaciones de riesgo para obtener conclusiones sobre el estado de seguridad de la organización y los problemas a los que se enfrentan los empleados en diferentes áreas de la misma, los cuales constituyen incumplimientos.
Además de los paneles de control y los sistemas de auditoría que administran y reportan actividades anómalas, es necesario capacitar a los usuarios sobre las regulaciones para que puedan incorporar las mejores prácticas en sus operaciones cotidianas.
Gestión de riesgos
El proceso de identificar las amenazas posibles y existentes que ponen en peligro a una organización, así como las medidas de mitigación posteriores adoptadas por esta, constituye la gestión de riesgos. Los cinco pasos que conforman la gestión de riesgos incluyen:
Identificar: Estimar la cantidad de elementos de riesgo existentes o percibidos en una organización. Para identificar vulnerabilidades prácticas y otras amenazas, las empresas pueden aprovechar herramientas y técnicas tales como cuestionarios de análisis de riesgos, evaluaciones de riesgos de ciberseguridad y pruebas de penetración.
Analizar: Determinar el alcance de los riesgos, es decir, centrarse en la gravedad del riesgo y en cómo afecta a las operaciones.
Evaluar: Priorizar los riesgos en función de su frecuencia y de la intensidad del daño que pueden causar al negocio. Existen dos tipos de evaluaciones de riesgo: cualitativa y cuantitativa. Mientras que la evaluación cualitativa de riesgos se ocupa de amenazas que no pueden caracterizarse mediante métricas (como una catástrofe global), la evaluación cuantitativa evalúa riesgos que pueden cuantificarse, como los riesgos financieros, los riesgos de TI, etc.
Abordar el riesgo: Diseñar estrategias y ejecutar las acciones necesarias para mitigar el riesgo. Mediante la implementación de planes de respuesta a incidentes y la gestión de parches, una organización puede eliminar riesgos y, al mismo tiempo, fortalecer su infraestructura de TI.
Monitorear: Monitorear las infraestructuras de TI e identificar indicadores clave antes de que se conviertan en riesgos en toda regla que puedan poner en peligro los activos y procesos críticos para el negocio.
Los riesgos en constante evolución y las superficies de amenaza cada vez más amplias forman parte de los entornos empresariales dinámicos. Al implementar una combinación de análisis de datos impulsado por metadatos y basado en inteligencia artificial (IA) y aprendizaje automático (ML), junto con herramientas de comportamiento como SIEM y UEBA, es posible llevar a cabo de manera eficaz el monitoreo y la generación de informes sobre las amenazas.
Gestión de riesgos de proveedores
Las organizaciones matrices deben intervenir para mejorar la postura de seguridad de las empresas proveedoras y sus soluciones, ya que los atacantes las consideran un vector de amenaza lucrativo para lanzar ataques prolongados a la cadena de suministro. Esto incluye obtener visibilidad sobre las métricas de seguridad de las organizaciones de terceros, tales como el incumplimiento normativo y la gestión de parches; agregar puntuaciones de riesgo para las empresas asociadas; e implementar herramientas que acorten la brecha de comunicación entre la empresa matriz y las empresas de terceros o cuartos, como paneles unificados para rastrear, evaluar y monitorear los objetivos compartidos de seguridad y de negocios.
¿Por qué las organizaciones necesitan GRC?
Para las empresas, la capacidad de prever, resistir y reaccionar ante los adversarios requiere un conocimiento profundo de los puntos débiles y los factores de éxito que afectan a su cadena de suministro. Al ser un componente crítico del GRC, la resiliencia operativa puede lograrse de manera inherente y con mayor eficacia mediante la automatización de procesos clave que identifiquen vulnerabilidades en los flujos de trabajo. Algunos de los principales beneficios del GRC que complementan a una organización resiliente incluyen:
Mayor transparencia
Las soluciones integradas de GRC permiten una mayor visibilidad de los indicadores de riesgo y la propensión al riesgo, gracias a la eliminación de los mecanismos aislados y al intercambio interoperable de conocimientos entre distintos ámbitos. Esto significa que los empleados, los responsables de los procesos y las partes interesadas pueden obtener una mejor visión general de las fortalezas y debilidades de una organización y, en consecuencia, tomar decisiones y establecer políticas bien fundamentadas. Con una mayor transparencia, resulta más sencillo para las organizaciones crear perfiles de riesgo y planes de acción para casos excepcionales, así como definir los factores de riesgo y cumplimiento correspondientes a dichas situaciones.
Protección contra dificultades financieras
El incumplimiento de las obligaciones regulatorias y de licencia puede dar lugar a que las empresas paguen sumas considerables en concepto de multas. Esto, a su vez, afecta el bienestar financiero de las organizaciones. Una encuesta de 2017 realizada por Ponemon y Globalscape muestra que las organizaciones culpables de incumplimiento deben pagar hasta 2,71 veces el costo necesario para lograr un cumplimiento efectivo.
El Reglamento General de Protección de Datos (RGPD) de la UE, considerado una de las regulaciones más estrictas en el ámbito de las tecnologías de la información, puede imponer multas de hasta 20 millones de euros o el 4 % de la facturación global total de una organización del año fiscal anterior en casos de incumplimiento.
Además, el GRC libera a las organizaciones de la carga financiera y laboral al eliminar las tareas repetitivas. El cumplimiento normativo, junto con otras características del GRC, ayuda a las empresas a sortear los riesgos de gastos generales evitables que pueden consumir una parte importante de sus utilidades.
Continuidad del negocio
La capacidad intrínseca de las soluciones de GRC para evaluar los factores adversos que afectan a una empresa a corto, mediano y largo plazo puede garantizar una mayor vida útil de los procesos críticos que se desarrollan en su interior. El GRC brinda a las organizaciones la flexibilidad necesaria para priorizar funciones y activos críticos, y las ayuda a fortalecerlos (total o parcialmente) ante un riesgo operativo inevitable, como una catástrofe externa, por ejemplo, una pandemia. En tales casos, cuando todas las demás operaciones se ven comprometidas, estas operaciones esenciales siguen en funcionamiento.
¿Cómo AD360 satisface las necesidades de GRC de las organizaciones?
La suite AD360 cuenta con funciones integradas que pueden alinearse con las obligaciones de diversos marcos regulatorios, tales como:
Ley de Portabilidad y Responsabilidad del Seguro de Salud (HIPAA)
Una norma regulatoria para organizaciones que almacenan, procesan, transmiten y mantienen información médica protegida. Para que un entorno de AD sea seguro y esté protegido contra el acceso no autorizado, es esencial cumplir con la HIPAA. AD360 llena el vacío que dejan las herramientas nativas en lo que respecta al cumplimiento de la HIPAA al proporcionar un registro de auditoría de principio a fin que ofrece información sobre: Además, AD360 orienta a las organizaciones en el cumplimiento de las disposiciones de la sección 164.308 del marco de la HIPAA.
Los usuarios cuyos intentos recientes de inicio de sesión fallaron.
Los usuarios que han iniciado sesión en los últimos N días.
Las horas reales del último inicio de sesión de los usuarios.
Los usuarios que cuentan con permisos para acceder a servidores de terminales.
Los GPO modificados recientemente.
Las cuentas de usuario que se crearon o modificaron en los últimos N días.
Los usuarios que no han cambiado sus contraseñas recientemente.
Usuarios cuyas contraseñas nunca caducan.
Ley Sarbanes-Oxley (SOX)
Introducida en 2002 por el Congreso de los Estados Unidos, la ley SOX tiene como objetivo frenar las prácticas financieras fraudulentas de las empresas y sus efectos sobre los inversionistas. Los objetivos clave de esta legislación son establecer controles internos confiables, divulgaciones financieras transparentes, infraestructuras de auditoría eficientes y la formulación de políticas entre las empresas. El cumplimiento de la ley SOX en una infraestructura de TI puede lograrse mediante la implementación del sistema adecuado de gestión de identidades y accesos, lo cual facilita la administración de los controles internos de una empresa. AD360 genera informes de Active Directory que pueden clasificarse en secciones relacionadas con el cumplimiento de la ley SOX, tales como: AD360 también ayuda a las organizaciones a cumplir con las disposiciones de la sección 302 de la ley SOX, la cual exige un conjunto de procedimientos internos diseñados para garantizar el cumplimiento financiero.
Políticas y procedimientos de seguridad
Análisis y gestión de riesgos
Recuperación ante desastres
Auditoría
Estándar de Seguridad de Datos de la Industria de Tarjetas de Pago (PCI DSS)
Como una de las políticas regulatorias más importantes del panorama industrial actual, el objetivo central del marco PCI DSS es estandarizar y proteger las prácticas operativas y técnicas relacionadas con la información de las tarjetas de pago. Cualquier empresa que acepte o procese datos de tarjetas de pago debe cumplir con el PCI DSS.
Dado que la ley aborda directamente el aspecto transaccional de una empresa, cumplir con la norma PCI DSS puede brindar una garantía adicional a los clientes respecto a la seguridad de su información relacionada con las tarjetas. El cumplimiento de la norma PCI DSS hace que las organizaciones sean confiables y seguras. Con AD360 al mando, se puede hacer cumplir el acceso restringido a los datos de los titulares de tarjetas mediante la implementación de la autenticación de dos factores y la generación de informes sobre intentos de inicio de sesión, cambios en las políticas de auditoría y cambios en los permisos, entre otras operaciones.
Ley Federal de Gestión de la Seguridad de la Información (FISMA)
Aprobada en 2002, esta ley federal de EE. UU. exige a las agencias federales que protejan sus infraestructuras críticas y sus activos de datos. AD360 protege los activos federales al monitorear el entorno de servidores Windows de la organización y al notificar los cambios mediante alertas por correo electrónico, junto con informes periódicos. AD360 cuenta con un kit de cumplimiento de la FISMA para facilitar el proceso de adhesión.
Reglamento General de Protección de Datos (RGPD)
Un marco regulatorio que deben cumplir las organizaciones que operan desde la Unión Europea o que atienden a clientes que pertenecen a ella. El RGPD se ocupa de proteger los datos personales de los clientes, empleados y clientes potenciales que obran en poder de una empresa. AD360 garantiza que las organizaciones cuenten con las medidas adecuadas para asegurar el cumplimiento del RGPD. Con AD360, las organizaciones pueden: Además, AD360 puede fortalecer la protección de los datos personales de las organizaciones al verificar los intentos de inicio de sesión para detectar accesos no autorizados. Al brindar visibilidad sobre la información de inicio de sesión, las escaladas de privilegios y otras modificaciones en el ciclo de vida del usuario, AD360 aumenta la capacidad de las organizaciones para detectar violaciones de información al tiempo que garantiza el cumplimiento del RGPD.
Ver a los miembros de grupos específicos, así como los detalles de dichos grupos.
Identificar las carpetas compartidas presentes en los servidores y auditar los permisos de dichas carpetas.
Enumerar los derechos de acceso que tienen los usuarios y grupos sobre las carpetas en rutas o ubicaciones específicas.
Ver qué permisos de carpetas y servidores tienen cuentas de usuario específicas.
Enumere los usuarios y grupos que tienen acceso a servidores específicos.
Notifique a las personas correspondientes sobre las solicitudes que se han presentado, revisado o aprobado.
Cree reglas para evaluar y asignar solicitudes a los técnicos adecuados.
Revise las acciones de gestión que deben llevar a cabo los técnicos.
Vea las solicitudes de flujo de trabajo que se crearon y asignaron al servicio de asistencia técnica.
Enumere todas las acciones realizadas por los técnicos del servicio de asistencia técnica.
Ley Gramm-Leach-Bliley (GLBA)
También conocida como la Ley de Modernización de los Servicios Financieros, esta normativa exige a las instituciones financieras —empresas que ofrecen a los consumidores productos o servicios financieros como préstamos, asesoría financiera o de inversión, o seguros— que sean transparentes con sus clientes respecto a sus prácticas de intercambio de información y que protejan los datos confidenciales. Como requisito de cumplimiento obligatorio para toda organización financiera, la GLBA también establece que las empresas deben proteger sus activos contra amenazas previsibles a la seguridad y la integridad de los datos. AD360 ofrece medidas preventivas con monitoreo las 24 horas del día, los 7 días de la semana, y reportes y alertas preconfigurados de fácil visualización.
ISO 27001
Hace hincapié en la necesidad de que las empresas establezcan, implementen, administren y mejoren continuamente un sistema de gestión de la seguridad de la información dentro del contexto de una organización. La norma ISO 27001 cuenta con 11 cláusulas, de las cuales, las cláusulas 4 a 10 definen los requisitos obligatorios que deben cumplirse. ADAudit Plus de AD360 transforma los datos de los registros de eventos de todos sus controladores de dominio de Active Directory (AD), servidores de archivos, servidores Windows y estaciones de trabajo en informes y alertas en tiempo real.
La Ley General de Protección de Datos (LGPD) de Brasil
La LGPD regula la recopilación, el uso y el procesamiento de la información de identificación personal (PII) en Brasil. La LGPD exige a las organizaciones que implementen un plan de respuesta a incidentes que implique la notificación inmediata de los incidentes de seguridad. Con informes personalizables que se pueden generar en diferentes formatos de archivo, ManageEngine AD360 puede mejorar la notificación y la respuesta a incidentes de una organización para facilitar el cumplimiento de la LGPD.
Por ejemplo, una de las características más destacadas de AD360 es el monitoreo de la integridad de los archivos, lo cual permite a los administradores de TI detectar cualquier intento no autorizado por parte de los usuarios de manipular o modificar el contenido de documentos críticos.