Embedded Files
La transformación digital modificó profundamente la forma en que las organizaciones producen, almacenan, transmiten y utilizan información. También modificó la naturaleza de los riesgos que deben gestionar.
El fraude ya no necesita necesariamente dinero en efectivo. El acceso ilegítimo puede realizarse desde otra jurisdicción. Una credencial comprometida puede permitir el ingreso a sistemas críticos. Una base de datos puede ser extraída en cuestión de minutos. Y una decisión aparentemente menor, como habilitar un acceso sin controles suficientes, puede convertirse en la puerta de entrada a un incidente con consecuencias económicas, operativas y jurídicas.
En este contexto, hablar de ciberfraude, hacking y robo de datos desde Compliance implica cambiar el enfoque.
No se trata únicamente de preguntarse qué herramientas tecnológicas posee una empresa.
Se trata de determinar cómo está organizada para prevenir y gestionar el riesgo digital.
El riesgo digital como riesgo empresarial
El riesgo digital como riesgo empresarial
La ciberseguridad dejó de ser una cuestión exclusivamente técnica.
El enfoque contemporáneo de gestión de riesgos tiende a integrar la ciberseguridad dentro de la gestión general de la organización. NIST señala que las empresas deben considerar los riesgos de ciberseguridad junto con otras categorías de riesgo empresarial, debido a su potencial impacto sobre las operaciones, los activos, las personas y la reputación.
Esta perspectiva resulta particularmente relevante para Compliance.
Un programa de integridad no puede limitarse a prevenir sobornos, conflictos de intereses, fraude contable u otras conductas tradicionalmente asociadas con el compliance corporativo. La evolución tecnológica obliga a incorporar nuevos escenarios de riesgo.
Entre ellos se encuentran el fraude cometido mediante ingeniería social, el acceso ilegítimo a sistemas, la apropiación de credenciales, la manipulación de información, la extracción de datos y los ataques dirigidos contra sistemas esenciales para la continuidad del negocio.
La pregunta central pasa a ser entonces si la organización posee mecanismos razonables para identificar, prevenir y responder frente a esos riesgos.
Ciberfraude: cuando la tecnología se convierte en instrumento del delito
Ciberfraude: cuando la tecnología se convierte en instrumento del delito
El ciberfraude puede adoptar numerosas modalidades.
Un atacante puede hacerse pasar por un proveedor, un ejecutivo o una entidad financiera. Puede obtener credenciales mediante phishing. Puede utilizar información previamente obtenida para construir una maniobra de ingeniería social. Puede manipular una operación legítima o acceder a una cuenta para ejecutar una transferencia.
En estos casos, el componente tecnológico es evidente.
Pero también existe un componente organizacional.
La eficacia del ataque puede depender de la inexistencia de controles internos, de una deficiente segregación de funciones, de autorizaciones inadecuadas o de la falta de mecanismos de verificación.
Por eso, el análisis de compliance debe desplazarse desde la pregunta “¿quién atacó?” hacia una pregunta adicional:
“¿qué condiciones organizacionales permitieron que el ataque tuviera éxito?”
La diferencia no es menor.
Hacking y acceso ilegítimo: el problema de las barreras de control
Hacking y acceso ilegítimo: el problema de las barreras de control
El hacking suele ser presentado como un fenómeno exclusivamente tecnológico.
Desde una perspectiva jurídica y de compliance, sin embargo, interesa también analizar las condiciones que rodearon el acceso.
Una organización debería conocer cuáles son sus sistemas críticos, qué información contienen, quién puede acceder a ella y bajo qué condiciones.
La gestión de accesos constituye, por lo tanto, una cuestión de control interno.
No basta con otorgar permisos. Es necesario revisar si esos permisos continúan siendo necesarios, si corresponden a las funciones desempeñadas y si existen mecanismos adecuados de monitoreo y revocación.
La ausencia de estas medidas puede transformar una vulnerabilidad técnica en una vulnerabilidad organizacional.
Robo de datos: el activo que la empresa debe proteger
Robo de datos: el activo que la empresa debe proteger
Los datos representan uno de los activos más importantes de las organizaciones contemporáneas.
La pérdida de confidencialidad puede afectar información personal, financiera, comercial y estratégica. NIST destaca que las filtraciones pueden comprometer información de empleados, clientes y operaciones, generando consecuencias sobre la actividad, los ingresos y la reputación.
Por eso, el robo de datos no debería ser tratado únicamente como un incidente de seguridad.
También debe analizarse como un riesgo de negocio y de cumplimiento.
¿Qué información posee la organización?
¿Dónde se encuentra?
¿Quién puede acceder?
¿Con qué finalidad?
¿Qué ocurre cuando un empleado abandona la empresa?
¿Qué controles existen sobre los proveedores?
¿Qué sucede ante una extracción no autorizada?
Estas preguntas permiten transformar la protección de datos de una declaración formal en un verdadero sistema de gestión.
El riesgo también puede estar afuera
El riesgo también puede estar afuera
Uno de los errores más frecuentes consiste en considerar que la empresa controla únicamente aquello que sucede dentro de sus propios sistemas.
La realidad es diferente.
La tercerización tecnológica, los servicios en la nube, las plataformas externas y los proveedores con acceso a información crítica amplían el perímetro de exposición.
Por eso, el due diligence de terceros y la supervisión de la cadena de proveedores adquieren una importancia creciente.
El riesgo puede ingresar a la organización a través de un tercero que tenga credenciales legítimas, acceso remoto o información suficiente para comprometer un sistema.
La propia regulación argentina en materia de tecnología y seguridad de la información contempla la gestión de las relaciones con terceras partes como un componente específico del sistema de gestión del riesgo.
El verdadero examen de Compliance ocurre antes del incidente
El verdadero examen de Compliance ocurre antes del incidente
Una organización no puede impedir absolutamente todos los ataques.
Lo que sí puede hacer es demostrar que conocía sus riesgos, que los evaluó razonablemente y que implementó controles adecuados a su actividad.
Esto cambia radicalmente la función del Compliance Officer.
Ya no se trata solamente de verificar si existe una política.
Se trata de evaluar si la política funciona.
No alcanza con capacitar una vez al personal sobre phishing si luego no existen mecanismos de verificación. No alcanza con establecer controles de acceso si nunca se revisan. No alcanza con contratar un proveedor tecnológico si no se analiza el riesgo que introduce en la organización.
El compliance efectivo exige pasar de la existencia formal del control a su funcionamiento real.
Después del ataque también existe Compliance
Después del ataque también existe Compliance
Cuando el incidente ocurre, la organización debe ser capaz de responder.
La gestión de incidentes debe contemplar mecanismos de detección, contención, investigación, preservación de evidencia, recuperación y aprendizaje institucional. El enfoque actual de NIST incorpora precisamente la respuesta y recuperación dentro de la gestión integral del riesgo de ciberseguridad.
Además, una investigación posterior debería permitir determinar no solamente quién produjo el ataque, sino también qué falló dentro de la organización.
Porque el objetivo de un sistema de compliance no debería ser encontrar un culpable después del incidente.
Debería ser evitar que la misma falla organizacional vuelva a producir el mismo resultado.
Compliance y ciberseguridad: dos lenguajes para un mismo riesgo
Compliance y ciberseguridad: dos lenguajes para un mismo riesgo
La ciberseguridad aporta herramientas para proteger los sistemas.
El compliance aporta una lógica de gobierno, prevención, control, responsabilidad y mejora continua.
Separarlos completamente resulta cada vez menos razonable.
El crecimiento de los delitos informáticos en Argentina confirma, además, que no estamos frente a un riesgo hipotético. La UFECI informó 34.468 reportes de delitos informáticos durante 2024 y un incremento interanual del 21,1 %. Entre las modalidades señaladas aparecen los fraudes en línea, la usurpación de identidad, los accesos ilegítimos y la sustracción de datos personales.
La cuestión, entonces, no es si una organización está expuesta.
Toda organización digital está expuesta en alguna medida.
La cuestión relevante es cómo administra esa exposición.
Porque una empresa puede ser víctima de un ciberdelito sin haber cometido ninguna irregularidad. Pero la manera en que haya identificado sus riesgos, diseñado sus controles, seleccionado a sus terceros, capacitado a su personal y respondido frente al incidente puede convertirse en un elemento decisivo para evaluar la calidad de su gobierno y de su sistema de compliance.
El riesgo digital ya no pertenece exclusivamente al área de sistemas.
Forma parte de la responsabilidad de organizar.
Y allí comienza una de las nuevas fronteras del Compliance.
Page updated
Google Sites
Report abuse