En una era de crecientes amenazas digitales, cumplir con las normativas y leyes de ciberseguridad es mucho más que marcar un check: es un escudo vital para proteger los activos, la reputación y, a fin de cuentas, la propia supervivencia de la empresa.

¿Cuál es el problema más común al que se enfrentan las empresas hoy en día? ¿Es la fragilidad de la cadena de suministro? ¿La competencia feroz? ¿La falta de liquidez? ¿O es la creciente e implacable oleada de ciberataques?

Las pruebas y los analistas sugieren que suele ser lo segundo. Como las ciber amenazas no muestran signos de desacelerarse, tanto las pequeñas como las grandes organizaciones reconocen cada vez más que la ciberseguridad ya no es opcional.

Es más, los gobiernos y las agencias reguladoras también se han dado cuenta de su importancia, especialmente cuando se trata de organizaciones que operan en sectores críticos para la infraestructura nacional de un país. ¿Cuál es el resultado? Un conjunto cada vez mayor de requisitos de cumplimiento que parecen desalentadores, pero que son esenciales para el buen funcionamiento y la seguridad pública de un país.

Formas de cumplimiento

Para empezar, tenemos que distinguir entre dos tipos de cumplimiento: obligatorio y voluntario, ya que cada uno conlleva su propio conjunto de requisitos.

El cumplimiento obligatorio abarca las normativas aplicadas por organismos estatales o adyacentes y dirigidas a empresas que operan en sectores de infraestructuras críticas, como la sanidad, el transporte y la energía. Por ejemplo, una empresa que trabaje con datos de pacientes en Estados Unidos debe cumplir la Ley de Portabilidad y Responsabilidad del Seguro Médico (HIPAA, sus siglas en inglés), una normativa federal, para mantener la privacidad de los datos de los pacientes más allá de las fronteras estatales.

Por otro lado, el cumplimiento voluntario significa que las empresas solicitan certificaciones y normas específicas que las identifican como expertas en un campo concreto o califican algunos de sus productos como conformes a una norma. Por ejemplo, una empresa que busque credibilidad medioambiental puede solicitar la certificación ISO 14001, que demuestra su compromiso con las prácticas respetuosas con el medio ambiente.

Sin embargo, todas las empresas deben reconocer que el cumplimiento de las normas no es un esfuerzo único. Cada norma, u otra "pizca de cumplimiento", requiere recursos adicionales, ya que estos procesos exigen un seguimiento constante y asignaciones presupuestarias (incluso las certificaciones ISO requieren una recertificación periódica).

Cumplimiento de la ciberseguridad: no sólo para los proveedores de seguridad

Una empresa que no se ajuste al cumplimiento obligatorio puede enfrentarse a cuantiosas multas. Incidentes como las filtraciones de datos o los ataques de ransomware pueden acarrear grandes costes, pero la evidencia de un incumplimiento de las medidas de seguridad obligatorias puede hacer que la factura final se dispare.

La normativa específica en materia de ciberseguridad que debe cumplir una organización depende del tipo de sector en el que opere la empresa y de la importancia que tenga la seguridad de sus datos internos para la privacidad, la seguridad de los datos o los actos sobre infraestructuras críticas. También hay que tener en cuenta que muchas normativas y certificaciones son específicas de cada región.

Además, dependiendo de qué clientes o socios quiera atraer una empresa, es aconsejable solicitar un certificado específico para poder optar a un contrato. Por ejemplo, si una empresa quiere trabajar con el gobierno federal estadounidense, necesita solicitar el certificado FedRAMP, que demuestra su competencia en la protección de datos federales.

En cualquier caso, el cumplimiento de la normativa debe formar parte de los cimientos de cualquier estrategia empresarial. Como los requisitos normativos seguirán aumentando en el futuro, a las empresas bien preparadas les resultará más fácil adaptarse a los cambios. El cumplimiento se mide continuamente, lo que puede ahorrar a las organizaciones importantes recursos y permitir su crecimiento a largo plazo.