El dato se ha convertido en la actualidad en el mayor activo de una compañía y, precisamente por eso, cómo aplicar con éxito el data governance en la empresa se ha erigido en el mayor desafío para los CISO y los CIO de las organizaciones.
Hoy en día, el aumento de la cantidad de datos (se calcula que cada día se generan más de 400 millones de terabytes de datos), la movilidad, el teletrabajo y la ubicuidad del almacenamiento de los datos están creando nuevos retos en las organizaciones para controlar el acceso a los datos, proteger los datos confidenciales, asegurar el cumplimiento y garantizar la productividad de los equipos.
Si analizamos el funcionamiento de una compañía tipo, observamos que se emplean muchas herramientas dispersas para analizar datos y comportamiento de usuarios, con formatos inadecuados para personas. Pese a esa diversidad, resulta vital obtener de manera eficiente información sobre los datos a los que las personas han accedido, con el fin de optimizar los procedimientos y prevenir usos inapropiados.
Sin embargo, los diferentes departamentos y áreas de negocio de la empresa quieren acceder con agilidad a unos datos que se generan en un punto y rápidamente se suben a la nube o se distribuyen por repositorios, archivos locales, estaciones de trabajo y correos electrónicos en toda la organización. Y, por si fuera poco, ante la fuga de talento y rotación en las empresas, aumentan las nuevas contrataciones en la organización y hay que configurar los permisos y accesos a miles de archivos y datos a los empleados desde su incorporación (o desde su marcha), pero vigilando si es necesario que trabajen con ellos o si deberían poder acceder a ellos.
En este contexto, hoy más que nunca, es indispensable diseñar una cuidada estrategia de data governance en las empresas.
¿Qué es el data governance?
La gobernanza de datos o data governance es un enfoque integral y riguroso para gestionar todos los datos que hay en una organización a lo largo de todo su ciclo de vida. Esta gestión de la vida del dato abarca desde la adquisición e ingesta de datos (de diferente tipo y procedencia), hasta su eliminación, pasando por el uso y la gestión (quién y cómo accede a ellos), e incluyendo la protección de los datos (desde el punto de vista del cumplimiento legal y como medida de seguridad ante las ciberamenazas).
Según estimaciones de Gartner, para 2025 el 50 % de los datos (unos 200 zettabytes) se almacenarán en la nube, frente al 25 % de 2015. Y es que la digitalización y el teletrabajo han hecho que, tan sólo una empresa tipo, pueda almacenar y gestionar entre 100 y 150 terabytes de datos. De ahí la obligación de desplegar una correcta estrategia de data governance que, además de velar por la seguridad y protección de los datos, también tenga en cuenta el conjunto de funciones, procesos, políticas y herramientas que garantizan la calidad adecuada de los datos durante todo su ciclo de vida.
Y esa política de data governance debe de tener en cuenta también las necesidades de agilidad de las empresas que demandan tomar decisiones en tiempo real basados en datos certeros y seguros. De ahí la importancia de la visibilidad y trazabilidad de los datos en una organización para saber dónde y cómo se guardan y protegen, pero también cuándo y quién accede a los datos, cómo son utilizados y cuál es la postura de seguridad de la aplicación o sistema donde se encuentran almacenados.
Beneficios de la data governance en tu empresa
La mayoría de las veces las empresas ven el reto de la data governance desde la óptica de negocio de la calidad de los datos y la inteligencia de negocio. Sin embargo, el hecho de compartir datos entre diferentes departamentos de una organización requiere de una visión holística del ciclo de vida de los datos que obliga a implantar una serie de controles para garantizar cuestiones tan importantes como la trazabilidad de los datos, la seguridad, la manipulación, el acceso indebido a datos restringidos, la descarga y fuga de datos, la eliminación de los datos o su borrado accidental…
De esta manera, esa visión global de los datos permite añadir capas adicionales de seguridad en cada etapa. Por ejemplo, la clasificación de datos sensibles es una práctica esencial para salvaguardar la información y cumplir con las regulaciones de privacidad y protección de datos. Además, ayuda a fortalecer la postura de seguridad y reducir el riesgo de incidentes relacionados con la exposición de información confidencial.
Los retos del data governance: errores, ciberseguridad y limitación de recursos en la organización
Los desafíos y retos del data governance están presentes en todas las organizaciones. Los datos se han convertido en la principal ventaja competitiva de las empresas, por lo que tiene sentido invertir en el análisis, el aprendizaje automático, la aplicación de la inteligencia artificial y otras formas de extraer información de los datos que se generan en una organización.
Pero en todos esos procesos se pueden desencadenar errores en la gestión, manipulación, almacenamiento y eliminación de los datos. Además, en tanto que el dato es uno de los activos más valiosos de las organizaciones, también se ha convertido en uno de los reclamos de los ciberdelincuentes. Y es que la seguridad y protección de los datos se ha convertido en uno de los principales retos de la gobernanza de datos. La creciente sofisticación de las técnicas de ataque de los ciberdelincuentes y el constante crecimiento de amenazas de distinta índole, sobre todo con la incorporación de la inteligencia artificial, requieren una comprensión profunda de la evolución de las amenazas a la seguridad de los datos.
Pero los retos de la data governance no se limitan sólo a la protección de los datos y la ciberseguridad, también incluyen la limitación de recursos; la persistencia de silos de datos por tecnologías antiguas y que no son interoperables; la creencia de que la gestión de datos es una cuestión que sólo corresponde al equipo de TI; la fiabilidad e integridad de los datos y, como consecuencia de ello la gestión de permisos y la trazabilidad de los datos.
Profundicemos un poco más sobre estas dos cuestiones.
Gestión de permisos para una mayor protección de los datos
Con la digitalización de las empresas, la consolidación del teletrabajo y la movilidad en el puesto de trabajo, y la deslocalización de los datos, las empresas se enfrentan al reto de reducir los riesgos de seguridad en la protección de datos sin que ello suponga limitaciones en los permisos y acceso a los datos en cualquier momento y desde cualquier lugar.
¿Cómo es posible lograr un equilibrio adecuado entre seguridad y disponibilidad? La respuesta está en disponer de una plataforma para la postura ante la gestión de la seguridad de datos (DSPM) capaz de identificar los datos confidenciales en múltiples entornos y de proporcionar visibilidad sobre dónde, cómo, cuándo y quién maneja los datos en una organización, quién tiene acceso a estos, cómo son utilizados y cuál es la postura de seguridad de la aplicación o sistema donde se encuentran almacenados.
Por ejemplo, con nuestra plataforma Arexdata DSPM, a través del módulo de permission management es posible obtener, analizar y gestionar los permisos de cada carpeta y archivo en sus dominios, detectando situaciones de riesgo, así como realizar auditorías completas de usuarios y los datos a los que acceden, brindando un único punto de vista de su AD y Azure AD.
Adicionalmente, el módulo file audit proporciona, desde una única plataforma, una vista unificada de los eventos y actividad de sus datos y archivos con independencia de su ubicación (repositorios locales, cloud, bases de datos y endpoints), así como la generación de reportes periódicos automatizados, en combinación con un sistema de alarmas proactivas frente a amenazas internas o externas.
Trazabilidad de los datos
En el caso de nuestra plataforma DSPM es posible evaluar el estado actual de la seguridad de los datos, identificar posibles riesgos y vulnerabilidades, aplicar controles de seguridad para mitigar estos riesgos y supervisar y actualizar periódicamente la postura de seguridad para garantizar que sigue siendo eficaz. Como resultado, permite a las empresas mantener la confidencialidad, integridad y disponibilidad de los datos sensibles al tiempo que pueden rastrear y registrar el origen, el acceso y los cambios realizados a los datos, disponiendo de un historial detallado del ciclo de vida del dato.
Además, la trazabilidad de los datos está concebida desde un enfoque holístico, que garantice el cumplimiento normativo y la integridad de los datos, a la vez que se respeta la privacidad de los empleados, evitando la invasión de su privacidad y enfocándose en proteger los intereses legítimos de la organización.
Así, la monitorización de aplicaciones y del uso de recursos permite supervisar qué aplicaciones se están utilizando, cuánto tiempo se emplea en cada una y cómo se utilizan; el registro en línea de la actividad de los usuarios en sus estaciones de trabajo (incluyendo el acceso a aplicaciones, sitios web y archivos) posibilita bloquear o restringir el acceso a ciertas aplicaciones o sitios web no autorizados; y el sistema de alertas de actividad sospechosa proporciona la capacidad de generar alertas automáticas cuando se detecta actividad inusual o sospechosa en el puesto de trabajo, lo que contribuye a aumentar la seguridad y la productividad.
4 ejemplos de uso de data governance
Como hemos visto hasta ahora, la puesta en marcha de una estrategia de data governance afecta a todo tipo de organizaciones independientemente de su tamaño o sector de actividad. Analicemos tres sectores concretos y los retos de la data governance:
1. Hospitales
Por ejemplo, la gran cantidad de información personal y médica que se almacena en el sector salud hace que sea crítico extremar el control sobre la forma en que los datos son recogidos, almacenados y tratados. Los datos sensibles en este ámbito abarcan desde analíticas y tratamientos e historiales clínicos hasta información económica, de aseguradoras y datos demográficos de los pacientes.
Por eso, este sector se ha convertido en uno de los más susceptibles de ser atacados, poniendo en riesgo no sólo la institución atacada sino también la seguridad física y emocional de los pacientes. Y a ello hay que sumar los daños reputacionales y multas a los que se pueden ver expuestas las compañías.
2. Entidades de seguros
Un daño que también se produce en el sector de los seguros donde la protección de la información del cliente es fundamental ya que la recopilación y uso indebido de datos pueden desembocar en problemas de reputación, multas y pérdida de confianza por parte de los clientes. Además, en el sector asegurador se da la circunstancia de que los sistemas de información suelen ser complejos y, en ocasiones, heredados, por lo que la integración de datos entre sistemas es un desafío, lo que lleva a la falta de visibilidad y coherencia en la información. Y, en el caso de un ciberataque, la falta de resiliencia pone en peligro la continuidad del negocio ya que la recuperación de los datos y sistemas puede llevar tiempo y afectar en la operativa.
3. Sector Hotelero
En el caso del sector hotelero las empresas se enfrentan a grandes amenazas de seguridad, lo que las convierte en un objetivo natural para los ciberdelincuentes debido al valor y al volumen de información personal identificable que poseen estas organizaciones. Esto, unido a la gran cantidad de trabajadores, ofrece amplias oportunidades para que los intrusos se infiltren en el sistema de reservas y capturen datos críticos de los clientes. Los hoteles en su operativa diaria acumulan vastas cantidades de datos personales, desde datos de tarjetas de crédito hasta información de contacto y detalles específicos de reservas. La confianza de los huéspedes en la seguridad y privacidad de sus datos es esencial para la reputación y el éxito continuo de cualquier establecimiento hotelero.
Para conocer más casos de uso (fintech, deporte, administración pública…) y sobre cómo implantar una correcta estrategia de gobernanza de datos contacte con nuestros expertos para ver cómo nuestra solución Arexdata DSPM para hoteles se adapta mejor a las necesidades de su organización para proteger su activo más valioso: los datos.
4. Entidades deportivas
Los clubes y entidades deportivas son otro sector donde el data governance está adquiriendo una mayor presencia ante la digitalización de los datos para el análisis de rendimiento de los atletas pero también para la gestión diaria del club. Se calcula que sólo en un partido de fútbol se generan unos 1,4 millones de sets de datos para sacar todo tipo de estadísticas de los jugadores. El volumen y el carácter sensible de los datos (asociados a la salud de los deportistas) ya obligaría a las entidades deportivas a establecer una política de data governance para asegurar la protección de datos.
Pero es que a esos datos de los partidos, se suman todos los datos asociados con las altas y bajas de jugadores, los traspasos, sus gestiones… de forma que las entidades deportivas manejan a diario información confidencial, sensible y personal de los jugadores. Y, por si no fuera suficiente, el club también genera una gran cantidad de datos de su relación con proveedores, competiciones, patrocinadores, empleados, clientes, socios y fans… Pensemos en la cantidad de puntos de interacción que hoy en día tiene un seguidor que accede al estadio para ver a su equipo. Desde la compra de entradas online hasta el pago con tarjeta de comida, refrescos o souvenirs, sin olvidar las interacciones con las redes sociales del club, la cantidad de datos que se generan obliga a las entidades deportivas, en tanto que son personas jurídicas, a definir una estrategia integral y rigurosa para recopilar, gestionar y proteger todos los datos que va a manejar a lo largo de cada temporada.
