La información y los datos digitales son activos críticos que las empresas deben proteger para garantizar la continuidad de sus operaciones y generar confianza con clientes y proveedores. Es por ello, que la ciberseguridad se ha convertido en un aliada fundamental para lograr implementar estrategias integrales que unifiquen herramientas tecnológicas, cumplimiento normativo y capacitación profesional actualizada.
Es así como surgió la segunda edición de Cynthus Expert Series «Ciberseguridad en acción: Proteger. Anticipar. Responder», un espacio que reúne a especialistas del sector, que aportan conocimiento sobre los nuevos desafíos que enfrentan las organizaciones en temas de seguridad y ciberseguridad, tras el avance acelerado de la tecnología y el afianzamiento de la inteligencia artificial (IA) en los procesos y operaciones empresariales.
Te invitamos a consultar la primera edición de Cynthus Expert Series: IA bajo control | Gobierno de la inteligencia artificial, ciberseguridad y continuidad.
Te compartimos la grabación de la sesión 1 de nuestra serie enfocada en ciberseguridad.
Revive la sesión 1 «Proteger: De los riesgos a la protección de datos»
Si no puedes visualizar el webinar da clic aquí
Consulta las respuestas de Esteban San Román a las preguntas pendientes de la audiencia durante la Sesión 1 – Proteger: De los riesgos a la protección de datos.
Da click en desplegar para ver la respuesta.
Jesús Gómez
Buen día a todos, no los salude, sobre todo al gran coach Esteban ¿entonces si mis sistemas los alojo en Azure, pero se filtran virus ahí la responsabilidad es de mi empresa?)
Respuesta: Gracias por tus comentarios Jesús, un gusto que nos pudieras acompañar.
Las leyes de protección de datos fincan la responsabilidad y rendición de cuentas (Accountability) a quienes en primer lugar reciben los datos personales. En tu caso sí, sería tu empresa para empleados y clientes. Son ustedes los que eligen al procesador de la información (en tu caso Azure) y lo único que puedes hacer hacia ellos es exigirles el cumplimiento contractual con acuerdos de nivel de servicio y los servicios que te ofrezcan en el contrato.
Los compromisos legales que adquieres al recibir Datos personales no los puedes transferir ni endosar a un tercero por que el Titular te los confío a ti. No al tercero.
Jesús Huerta
Todas las empresas deben proteger su información como uno de sus activos más valiosos, sin embargo, las empresas pequeñas no cuentan con la capacidad instalada para hacerlo ¿tienes un consejo practico para que las empresas pequeñas y medianas inicien con el gobierno de datos de sus clientes?
Respuesta: Gracias por tu pregunta Jesús,
Esta inquietud que nos compartes es muy válida y común entre muchas empresas con las características que mencionas.
La respuesta cuando no tienes personal propio es que busques el apoyo de un consultor con la experiencia y especializaciones en Ciberseguridad (CISM, CISSP, etc). Es un esquema similar al del CISO virtual que para muchas empresas funciona porque se contrata como un servicio y reduce drásticamente los gastos de buscar a un empleado especializado que tiene que seguir capacitándose.
José Martínez
Al contratar una plataforma de IA, ¿qué cláusulas o controles mínimos debemos exigir al proveedor sobre el uso de nuestros datos, por ejemplo, que no los use para entrenar sus modelos y dónde los almacena? | En la lámina preguntaba quién es responsable de validar las respuestas de la IA. En la práctica, ¿esa responsabilidad debe ser del área de negocio que la usa, de TI o de un comité de gobierno de datos?
Respuesta: Gracias por tus preguntas José,
Sobre la primera, para determinar los controles mínimos te puedes basar en el cumplimiento de la norma ISO 42001 y tomándola como base solicitarle a tu proveedor que la use como referencia en el cumplimiento.
De la segunda pregunta, la responsabilidad recaerá en el área que está a cargo de la introducción y uso de las soluciones de IA (TI en principio) alineada con la dirección general que es quien legalmente tiene que responder en este asunto.
Lizzeth Gutierrez
¿Cómo controlas el uso de la información a distancia con los colaboradores?
Respuesta: Gracias por tu pregunta Lizzeth,
Lo primero que tiene que establecerse con los colaboradores es una política para uso de enlaces remotos (VPNs) para conexiones seguras y que por procedimiento los usuarios remotos accedan a recursos corporativos a través de esa conexión segura, con eso forzas que aunque se encuentren físicamente fuera de las instalaciones todo lo que hagan se realice virtualmente a través de la VPN.
Lucía Sánchez
¿Cuáles son las etapas y herramientas que debe seguir una empresa para la clasificación y etiquetado de información? Mi empresa esta certificada ya en ISO27001:2022
Respuesta: Gracias por tu pregunta Lucía.
Para seguir mejores prácticas en la clasificación de la información puedes recurrir en principio al detalle de los controles 5.12 y 5.13 de Clasificación y etiquetado respectivamente de la norma ISO 27002, puedes también encontrar orientación en la documentación del NIST SP 800-60 que maneja el Gobierno de Estados Unidos para ese particular. Al final, son ustedes los que definen los niveles que mejor apliquen a su organización. No hay una regla definitiva de cómo debe hacerse respecto a las etapas. Los consultores tienen diferentes metodologías.
Respecto a herramientas, hay muchas soluciones GRC en el mercado, personalmente conozco Global Suite, pero hay muchas otras buenas alternativas que te permiten agilizar tu operación.
Melissa Verda
¿Se deben de crear procesos por cada política de seguridad declarada en una organización?
Respuesta: Gracias por tu pregunta Melissa.
No hay una relación uno a uno entre Políticas y procesos. Puedes tener en un solo documento todo tu proceso comercial, por ejemplo y tener políticas de navegación, de correo, de acceso a recursos, etc. para las actividades que se hacen en ese proceso.
Cada organización es única y puede crear tantos documentos como le sean necesarios para caracterizar su propia operación.
Pablo Carro
Anteriormente se podía capacitar con el INAI pero al desaparecer dicho ente, hoy en día ¿como podríamos tener este tipo de adiestramiento para dar cumplimiento al tema de concientización sobre ISO 27701?
Respuesta: Gracias por tu pregunta Pablo.
Puedes encontrar entrenamiento especifico a la norma en muchas empresas. En particular el entrenamiento de PECB lo considero de los más completos de la industria.
Las normas ISO son universales y no exclusivas de algún organismo gubernamental u ONG como era el caso del INAI.
Con gusto te podemos compartir la información de nuestro curso, precisamente el de PECB.
Conoce al ponente de esta CYNTHUS Expert Series
Esteban San Román
Instructor Certificado Cynthus
Especialista en Ciberseguridad y Gobierno de TI
Ha participado y dirigido múltiples proyectos, e impartido más de 300 cursos y seminarios en Norteamérica, Latinoamérica y Europa.
A formado parte del Diseño e Implantación de Infraestructura, integración y endurecimiento de configuraciones en sistemas operativos, tráfico y transacciones aplicativas, migración a tecnologías de nube, así como construcción de infraestructuras resilientes para proteger la Continuidad de operaciones de Negocio en las organizaciones.
Certificaciones
- CISSP • CCSP • CISA • CISM
- CRISK • ITIL
