Plan de acción para la responsabilidad corporativa de la información

La empresa Iron Mountain invita a las compañías a que se comprometan en la adopción de programas internos que garanticen la responsabilidad corporativa de la información. Para ayudarlas, un grupo de expertos y líderes de opinión en gestión de la información, PwC, el Instituto de Empresa (IE), la firma de consultoría IPL, los expertos en sostenibilidad y responsabilidad corporativa akzente, Research In Motion, y la Sociedad para la Gestión de la Información y de los Datos (IRMS), se han unido a Iron Mountain para crear un plan de acción sencillo de acción:

1 – Haz de la gestión de la información un asunto respaldado por la dirección: asegúrate de que los directivos de la empresa entienden claramente el impacto real que puede tener una brecha en la seguridad de los datos. Con demasiada frecuencia las empresas sólo actúan de forma reactiva para responder a una brecha de seguridad ya existente en sus datos.

Acción: garantiza que los riesgos implícitos en la gestión de la información se traten de forma regular en la agenda de las reuniones de la dirección.

2 – Empezar por las personas: involucra a tu gente. Es fundamental entender cómo los empleados usan la información; ayúdales a entender cómo protegerla y obtén su compromiso. Impulsa una cultura de la responsabilidad de la información y capacita a tus empleados para que puedan valorar los riesgos implícitos en la gestión de datos y archivos y mantenerlos a salvo.

Acción: pide a sus empleados que contribuyan a crear una lista de reglas de oro para proteger la información y crea un canal de comunicación confidencial para que puedan exponer sus preocupaciones o dudas.

3 – Sé realista, los recursos son limitados, así que concéntrate en hacer bien lo básico: no hace falta hacer grandes inversiones en tecnología para reducir los riesgos. El mayor retorno de la inversión provendrá de una mejor formación y comunicación. Incluso un pequeño paso en la dirección correcta es mucho mejor que ninguna acción.

Acción: implementa unos primeros planes de acción sencillos y fácilmente realizables. Asegúrate de que sus archivos en papel están custodiados en una habitación cerrada o considere la posibilidad de externalizar la custodia documental; conserva tus cintas de copia de seguridad fuera de su oficina y encripta lo que sea preciso.

4 – Entienda cómo funciona su negocio y cómo fluye la información a lo largo y ancho de su empresa: observa cómo se crea, recibe, procesa, almacena y se destruye la información en tu negocio. ¿Quién es responsable de cada una de estas fases? ¿Cómo se protege?

Acción: monta un equipo interdepartamental para identificar el “viaje” que hace la información desde su creación hasta su destrucción segura y pon énfasis en los principales riesgos y vulnerabilidades. Pide a este equipo que haga un informe para la dirección.

5 – Identifica cuál es la información que más te importa y qué está dispuesto a hacer para protegerla: no toda la información tiene el mismo valor; tiene que ser capaz de reconocer qué información podría perjudicar a su negocio si se perdiera o fuera filtrada.

Acción: imagina cuál sería el impacto de perder o filtrar esa información para entender el riesgo potencial y piensa en las consecuencias para tu negocio.

6 – Pon en marcha un enfoque unificado para una gestión del riesgo continuada: incluye unas líneas claras de responsabilidad, así como un control centralizado para descubrir interdependencias y puntos débiles entre departamentos.

Acción: nombra a alguien que tenga la responsabilidad global de tu información.

7 – Crea políticas y procedimientos y comprueba su funcionamiento de forma constante: las políticas por sí solas no son suficientes; hay que entenderlas e implementarlas.

Acción: pon en funcionamiento un programa de recompensas a los empleados. Solicita un análisis gratuito de terceros y haz referencia a estándares de buenas prácticas como PCIDSS e ISO27001.

8 – Consigue ayuda: la gestión correcta de la información y de la documentación es compleja, y cada vez lo es más, a medida que aumenta el volumen y la velocidad de creación de la información, ya sea estructurada o no estructurada. Hay recursos que pueden ser de ayuda.

Acción: si no tienes el conocimiento dentro de su empresa, considera la posibilidad de contratar a una empresa profesional externa y pregunta cómo podrían dar respuesta a sus necesidades.