Las auditorías de conformidad no tienen por qué ser caóticas.

La epidemia de filtraciones de datos, unida a las demandas de los consumidores de un mayor control sobre la forma en que las empresas gestionan sus datos personales, ha dado lugar a un entorno normativo en constante evolución centrado en obligar a las organizaciones a implantar determinados controles de seguridad y en exigirles responsabilidades en caso de filtraciones de datos. Estas son solo algunas de las normas reglamentarias y del sector que deben cumplir las organizaciones:

• La ley estadounidense sobre transferencia y responsabilidad de los seguros médicos de 1996 (Health Insurance Portability and Accountability Act o HIPAA) es una ley federal que protege la información médica confidencial de los pacientes para evitar que se divulgue sin su consentimiento ni conocimiento.
• El estándar sobre seguridad de los datos del sector de las tarjetas de pago (Payment Card Industry Data Security Standard o PCI DSS) es un conjunto de normas de seguridad exigido por las principales marcas de tarjetas de crédito. Cualquier empresa que acepte, procese, almacene o transmita información sobre tarjetas de crédito debe cumplir con el PCI DSS.
• La ley Sarbanes-Oxley (Sarbanes-Oxley Act o SOX) exige un equilibrio de poderes en las organizaciones para asegurar que la información de las empresas sea precisa y transparente, y que los accionistas de las empresas y el público general estén protegidos de los errores contables y las prácticas fraudulentas.

Cualquiera que trabaje en el ámbito del GRC (gobernanza, riesgo y conformidad) conoce el asunto. Aunque los riesgos de una organización son interdependientes y los controles de seguridad se comparten entre departamentos, la conformidad suele planificarse y gestionarse en silos. Además de aumentar el riesgo de incumplir la normativa (o todavía peor, sufrir una filtración), este enfoque de la conformidad en silos provoca una especie de prisa desesperada cuando se acercan las auditorías anuales. El personal del GRC dedica mucho tiempo y energía en buscar la documentación de apoyo y correr para cumplir con los plazos hasta el punto de que cumplir con los plazos y pasar la auditoría resulta ser más importante que los propios controles de seguridad.

Sin embargo, la conformidad no es algo que deba darse en un momento puntual, sino que las organizaciones deben mantenerla durante todo el año. Además, muchos de los controles exigidos por los marcos de conformidad son buenas prácticas de seguridad que las organizaciones deberían seguir de todas formas para reducir el riesgo de sufrir una filtración de datos.

Debido a que cada uno de los usuarios de una red de empresa es un potencial factor de riesgo, resulta esencial para las organizaciones proteger las credenciales de los usuarios y aplicar un acceso de confianza cero a las redes de trabajo para cumplir con el PCI DSS, la HIPAA, la SOX, el RGPD y otros marcos de conformidad. Como la mayoría de las organizaciones deben cumplir con varios marcos, es fundamental automatizar todos los procesos de conformidad posibles para evitar que el personal de TI y de GRC, ya sobrecargados, tengan que soportar cargas adicionales.

La plataforma Enterprise Password Management (EPM) mejor valorada de Keeper simplifica el seguimiento y los informes de conformidad al ofrecer a los administradores de TI un control y visibilidad completos sobre el uso que sus empleados hacen de las contraseñas y sobre los accesos a la red de trabajo de confianza cero y basados en roles a través de sus entornos de datos. Keeper es compatible con los sólidos controles internos a través de la administración delegada, las políticas de aplicación, el seguimiento y supervisión de eventos con registros de auditoría personalizables y los informes de eventos.

Dado que los secretos de la red de TI desbloquean el acceso a sistemas y datos altamente privilegiados, asegurar los secretos es tan crítico para prevenir los ciberataques como asegurar las contraseñas de los usuarios finales. Sin embargo, la divulgación de secretos y las contraseñas incrustadas y cifradas en el código fuente hace que la gestión de los secretos sea incluso más compleja que la gestión de las contraseñas de los usuarios.

Integrado directamente en la plataforma EPM de Keeper, así como en Keeper Connection Manager, Keeper Secrets Manager es una plataforma de conocimiento cero basada en la nube y completamente gestionada que protege secretos de infraestructura tales como claves de API, contraseñas de bases de datos, claves de acceso, certificados y otro tipo de datos confidenciales.

Con Keeper Secrets Manager, todos los servidores, canalizaciones CI/CD, entornos de desarrollador y el código fuente extraen los secretos desde un punto final seguro de la API. Cada secreto se cifra con una clave AES de 256 bits, la cual se cifra con otra clave de aplicación AES-256. El dispositivo cliente recupera el texto cifrado desde la nube de Keeper y los secretos se descifran y utilizan localmente en el dispositivo, no en los servidores de Keeper.