Los datos confidenciales proporcionados a las agencias gubernamentales deben protegerse. Eso es obvio. ¿Pero cómo? ¿Y cómo estar seguro de que permanecen protegidos? ¿Cómo pueden los consumidores de datos, y otras partes interesadas, ganar confianza en cómo se gestiona la protección de esos datos?
Aquí es donde aparece la utilidad de los marcos de gobernanza. Se trata de herramientas esenciales para que las agencias gubernamentales garanticen que los datos confidenciales (p. ej., información personal, datos financieros, información de salud) se gestionen correctamente. Estos marcos brindan un conjunto de pautas, procesos y controles que ayudan a los gobiernos a manejar datos confidenciales de manera efectiva y segura, ya sea que se relacionen con la seguridad nacional, la privacidad de los ciudadanos u otras áreas críticas. El gran beneficio de los marcos en este entorno es la coherencia entre muchas fuentes de datos, ya que las agencias gubernamentales suelen ser grandes, extensas y complicadas.
Este análisis cubrirá varias formas en que las agencias gubernamentales aprovechan los marcos y por qué eso es importante para proteger los datos confidenciales que se les confían.
Marco de Ciberseguridad del Instituto Nacional de Estándares y Tecnología
Uno de los mayores riesgos que enfrentan los gobiernos cuando se trata de datos confidenciales es el riesgo de filtraciones de datos y ataques cibernéticos. Por supuesto, esto no es exclusivo del sector público. Donde van los datos, van los atacantes. El perfil de amenazas cambia según la industria: en el entorno gubernamental puede haber amenazas internas, estados nacionales, piratas informáticos y los típicos grupos de ciberdelincuencia. Los ataques a la cadena de suministro que ocurrieron con SolarWinds y Log4J son buenos ejemplos de amenazas para el sector público.
Existen marcos de gobernanza que pueden ayudar al sector público a detectar y responder a posibles amenazas de manera oportuna y eficaz. El marco de seguridad cibernética del Instituto Nacional de Estándares y Tecnología (NIST) es uno de esos ejemplos. Este marco proporciona un conjunto de mejores prácticas para proteger los datos y sistemas confidenciales de las ciberamenazas. Una de las partes más atractivas del marco de seguridad cibernética es cómo se ve en diferentes fases o dominios funcionales para:
- Identificar : identificar y administrar activos que existen en un entorno.
- Proteger : Proteger los activos identificados mediante la implementación de controles de seguridad y la creación de resiliencia contra los ataques.
- Detectar: Detectar intentos de explotar o comprometer un activo.
- Responder : responder a posibles ataques o grupos o actividad sospechosa a través de la actividad de investigación.
- Recuperar : restaurar el entorno a su estado operativo normal.
Cyber Defense Matrix es una herramienta extremadamente útil para aplicar en este marco a través de la lente de diferentes clases de activos, siendo los datos uno de ellos. Si dirige una agencia gubernamental u organización similar, puede realizar este ejercicio con casos de uso particulares en mente. Por ejemplo, ¿cómo se relacionan e interactúan los dispositivos, las aplicaciones, las redes y los usuarios con los datos en estos dominios CSF funcionales? Clasifique sus capacidades en un modelo de madurez al estilo de Objetivos de Control para Tecnologías de la Información y Relacionadas (COBIT) y sea lo más honesto posible. Las ideas serán esclarecedoras.
Gestión de datos
Otro aspecto importante de los marcos de gobierno es la gestión de acceso a datos confidenciales. Esto es especialmente importante para el sector público, ya que las agencias a menudo tienen una gran cantidad de datos personales de los ciudadanos y deben asegurarse de que sólo las personas autorizadas accedan a estos datos. La gestión de acceso está conectada no únicamente a los marcos de cumplimiento de la industria sino también, en algunos casos, a los requisitos reglamentarios como FISMA. Para administrar y proteger adecuadamente los datos confidenciales, las agencias deben aplicar y superponer controles técnicos, como controles de acceso y sistemas de autenticación, y controles no técnicos, como políticas y procedimientos.
Además de gestionar el acceso a datos confidenciales, las agencias también deben asegurarse de que los datos se almacenen y transmitan de forma segura. El marco de gobernanza proporciona las medidas de protección y la orientación sobre cómo hacer que eso suceda. Esto es especialmente importante cuando los datos se transmiten a través de redes o de la nube. Los gobiernos a menudo utilizan el cifrado y otras tecnologías de seguridad para proteger los datos confidenciales en tránsito, y también pueden implementar controles adicionales, como sistemas de monitoreo y detección, para garantizar que los datos permanezcan seguros.
Supervisión de las medidas de gobierno de datos
El papel de la supervisión y la rendición de cuentas a menudo se pasa por alto con respecto al gobierno de datos. Las agencias gubernamentales deben asegurarse de contar con procesos para monitorear y revisar la gestión de datos confidenciales, y deben responsabilizar a las personas, equipos y organizaciones enteras por cualquier incumplimiento, incluso de los controles adecuados. Las organizaciones en este contexto pueden ser otras agencias, contratistas o socios de la industria. Esto puede incluir auditorías y evaluaciones periódicas, así como la implementación de multas y sanciones para aquellos que no cumplan con los marcos de gobernanza. Esto también podría adoptar el enfoque de producir métricas que certifiquen el cumplimiento de ciertos controles y garantizar que se brinde visibilidad a estas métricas a quienes la necesiten.
Además de los aspectos técnicos y operativos de los marcos de gobernanza, también hay consideraciones legales y reglamentarias que deben tenerse en cuenta. Los gobiernos deben asegurarse de cumplir con las leyes y regulaciones pertinentes en lo que respecta al manejo de datos confidenciales, y es posible que deban implementar controles o procedimientos adicionales para cumplir con estos requisitos. Esto puede incluir problemas como la privacidad de los datos, la retención de datos y el intercambio de datos.
Pensamientos finales
En general, los marcos de gobernanza son herramientas esenciales para que las agencias gubernamentales y las entidades del sector público administren datos confidenciales de manera efectiva y segura. Al proporcionar un conjunto de pautas, procesos y controles, estos marcos pueden ayudar a los gobiernos a detectar y responder a posibles amenazas, administrar el acceso a datos confidenciales y garantizar que los datos se almacenen y transmitan de forma segura. Sin embargo, no se trata solo de seguridad, se trata de adherirse a las expectativas establecidas por aquéllos a quienes sirven las agencias gubernamentales: los miembros del público. Al implementar marcos de gobernanza sólidos, los gobiernos pueden proteger a sus ciudadanos y sus propias operaciones de los riesgos asociados con los datos confidenciales.
Autor: Robert Wood
Artículo original aquí
