La paradoja de la auditoría «limpia» tiene solución

Todas las normativas a las que debe ajustarse tu organización —incluidas el RGPD, la HIPAA o cualquier otra aplicable a tu sector— se presentan en forma de densos textos jurídicos. Convertir ese texto en un programa de gobernanza operativo implica que alguien asigne manualmente los requisitos a los controles, realice un seguimiento de dicha asignación en una hoja de cálculo y confíe en que esa interpretación se mantenga a medida que cambian tanto la normativa como el entorno. En ese proceso se esconden lagunas. Las auditorías evalúan una situación en un momento concreto. No miden si el programa de gobernanza subyacente sigue siendo realmente válido.

Eso es lo que RSA denomina la «paradoja de la auditoría limpia»: una organización supera la auditoría a pesar de presentar deficiencias en materia de gobernanza y riesgos que la auditoría nunca pone de manifiesto.

Compliance Advisor es la respuesta de RSA: una función basada en inteligencia artificial que vincula las normativas directamente con su programa de gobernanza y realiza un seguimiento continuo del mismo.

Actualmente es compatible con cinco normativas principales: el Reglamento General de Protección de Datos (RGPD), la Política de Seguridad de los Servicios de Información de Justicia Penal (CJIS), la Ley de Portabilidad y Responsabilidad del Seguro Médico (HIPAA), el marco del Instituto Nacional de Estándares y Tecnología (NIST) y la Ley de Protección de la Información Personal (POPIA), desglosadas hasta el nivel de los requisitos, y se irán añadiendo más en futuras versiones.

Para cada requisito, Compliance Advisor realiza un seguimiento de los indicadores clave de rendimiento (KPI) que miden en qué medida tu programa cumple con los procedimientos de dicho requisito, y recomienda qué cambios hay que introducir en los aspectos en los que no se alcanza el nivel exigido, de forma continua, y no como un informe que se genera una sola vez y se archiva. Cada requisito asignado enlaza directamente con el texto normativo correspondiente, de modo que tu equipo puede verificar por sí mismo la correspondencia, en lugar de tener que fiarse de la palabra del proveedor.

De la RSA Gobernanza de la defensa activa El documento (ADG) expone por qué la gobernanza periódica, las revisiones trimestrales y las certificaciones anuales ya no pueden servir como control principal. El acceso cambia constantemente entre los ciclos de revisión, pero estos ciclos siguen siendo los mismos. La distancia entre lo que establece la documentación estática de las políticas de una organización y lo que realmente hacen sus sistemas dinámicos es lo que nuestro documento describe como la «brecha de negligencia»: una exposición que existe en el momento en que cambia el acceso, pero que permanece invisible hasta que llega la siguiente revisión para detectarla. Gobernanza y ciclo de vida de RSA ayuda a las organizaciones a reducir esa brecha.

Compliance Advisor aplica ese mismo enfoque al mapeo de cumplimiento. Una normativa que se ha mapeado una sola vez y que luego se comprueba en un ciclo de revisión presenta el mismo punto ciego. Compliance Advisor lo subsana al ofrecerte una visibilidad continua del rendimiento real de tu programa de gobernanza en relación con ese mapeo, y no solo una instantánea del último ciclo de auditoría.

Ninguna solución de gobernanza cumple todas y cada una de las cláusulas de todas las normativas, y Compliance Advisor no pretende lo contrario. Le muestra con precisión en qué aspectos RSA Governance & Lifecycle cubre un requisito y qué requisitos quedan fuera del ámbito habitual de un programa de IGA, como los requisitos de seguridad física. Al definir claramente qué está cubierto y qué no, su equipo sabrá exactamente qué aspectos aún necesitan una cobertura de control independiente.

Acabar con la «paradoja de la auditoría sin incidencias» no significa esperar a la próxima auditoría para saber cuál es tu situación. Significa saberlo ya, el mismo día en que llega el auditor, y todos los días anteriores y posteriores a ese momento. Ese es el cambio de un programa que parece cumplir con la normativa una vez al año a uno que puede demostrar su funcionamiento en cualquier momento entre medias.

Ver una demostración del RSA Governance & Lifecycle Compliance Advisor para ver la correspondencia con la normativa, el seguimiento de los indicadores clave de rendimiento (KPI) y las recomendaciones en la práctica.

Para conocer el marco completo que explica por qué la gobernanza periódica no da la talla y qué se necesita para subsanar esa deficiencia, Descarga el documento sobre gobernanza de la defensa activa.