Actualmente, en la organización, tenemos diferentes políticas y programas para garantizar la seguridad de la información que van: desde la creación de Share Point sites donde tengamos la información, la clasificación de la misma, el límite de acceso, hasta la creación de espacios físicos donde, por la naturaleza de la información, se garantice la integridad y seguridad de la misma.

Considero firmemente que la concientización es el elemento clave para los ataques de seguridad a una empresa. El entrenamiento constante y los simulacros que nos ayuden a verificar que los colaboradores han aprendido realmente qué cuidar y cómo hacerlo en su dia a día.

Paola Serna L

Medidas Técnicas:

1. Autenticación Multifactor (MFA): Implementar MFA asegura que los usuarios verifiquen su identidad usando múltiples métodos, como contraseñas y códigos de verificación enviados a sus teléfonos móviles. Esto agrega una capa adicional de seguridad contra accesos no autorizados.

2. Soluciones SIEM (Security Information and Event Management): Utilizar una solución SIEM permite a la organización monitorear, detectar y responder a incidentes de seguridad en tiempo real. Estas herramientas recopilan y analizan datos de múltiples fuentes para identificar patrones sospechosos.

3. Actualización y Parches Regulares: Mantener todos los sistemas y software actualizados con los últimos parches de seguridad para proteger contra vulnerabilidades conocidas.

4. Firewalls y Sistemas de Detección de Intrusiones (IDS): Implementar firewalls avanzados y IDS para monitorear y bloquear tráfico sospechoso. Los IDS pueden alertar sobre intentos de intrusión en tiempo real, permitiendo una respuesta rápida.

5. Cifrado de Datos: Cifrar datos sensibles tanto en tránsito como en reposo para proteger la información en caso de que sea interceptada o robada.

Medidas Organizativas:

1. Capacitación y Concientización del Personal: Educar regularmente a los empleados sobre las mejores prácticas de ciberseguridad y cómo reconocer intentos de phishing y otras formas de ingeniería social. Simulaciones de phishing y capacitaciones periódicas pueden aumentar significativamente la resistencia.

2. Políticas de Seguridad Estrictas: Desarrollar y aplicar políticas claras sobre el uso de contraseñas, acceso a datos y manejo de información confidencial. Asegúrate de que estas políticas sean comprendidas y seguidas por todos los empleados.

3. Planes de Respuesta a Incidentes: Establecer y probar regularmente un plan de respuesta a incidentes. Esto debe incluir procedimientos específicos para detectar, contener y mitigar ciberataques, así como la recuperación de sistemas afectados.

4. Evaluaciones de Riesgo y Auditorías: Realizar evaluaciones de riesgo y auditorías de seguridad periódicas para identificar y remediar vulnerabilidades. Las pruebas de penetración pueden ayudar a evaluar la efectividad de las medidas de seguridad actuales.

Medidas Administrativas:

1. Gobernanza de Datos: Implementar un programa robusto de gobernanza de datos para asegurar que los datos sean gestionados y protegidos adecuadamente en toda la organización.

2. Cumplimiento Normativo: Asegurarse de cumplir con todas las regulaciones de protección de datos relevantes, como el RGPD, CCPA, etc. Esto no solo ayuda a evitar multas, sino que también fortalece la confianza de los clientes.

3. Seguros de Ciberseguridad: Contratar un seguro de ciberseguridad puede ayudar a mitigar las pérdidas financieras en caso de un ataque cibernético.

La temática que yo propondría sería la importancia de utilizar normativas internacionales ISO (o de cualquier clase) para obtener claridad en cuanto a objetivos, procesos y, en especial, para dejar sentada la base para la instauración de un DPO para la compañía, que se encargue del cumplimiento del programa de privacidad.

Adicional podría sugerir capacitaciones sobre prácticas de privacidad y protección de datos.

1. Revisar y actualizar políticas: Asegurarte de que cumplan con las regulaciones actuales y se alineen con las mejores prácticas.

2. Diseñar procedimientos de gestión de datos: Incluir manejo de incidentes de seguridad y facilitar el ejercicio de los derechos de los titulares de datos.

3. Capacitar al personal: Desarrollar programas de capacitación en privacidad, ciberseguridad, y cumplimiento normativo.

4. Asesorar y auditar: Proporcionar asesoramiento legal continuo y realizar auditorías de cumplimiento para mejorar las políticas.

Temáticas clave para capacitaciones:

• Ciberseguridad

• Cumplimiento regulatorio

• Manejo de brechas de seguridad

• Derechos de los titulares de datos

• Ética en la privacidad

En cuanto a las capacitaciones, considero relevantes los temas como el reconocimiento de phishing y otras amenazas cibernéticas, la gestión segura de contraseñas, el manejo adecuado de información confidencial, la encriptación de datos, y el cumplimiento con normativas de privacidad internacionales. Es esencial que estas capacitaciones se realicen de manera continua y se adapten a las necesidades y riesgos específicos de la organización.

Respecto de la capacitación, es importante incluir en ella las posibles repercusiones que puede tener el incumplimiento de las norma para cada uno de los colaboradores de la empresa a título personal, ya que esto ayudaría a que los empleados tengan un mayor cuidado con el manejo de la información crítica

Algunas medidas que observó se implementan en mi firma de consultores tributarios, la protección contra ataques cibernéticos es crucial debido a la naturaleza altamente sensible de los datos fiscales y financieros que maneja son los siguientes

1. Implementación de Políticas de Seguridad de la Información:

2. Cifrado de datos:

3. Control y Gestión de Contraseñas:

4. Gestión de Accesos y Permisos:

5. Monitoreo y Auditoría de la Red:

6. Capacitación Continua al Personal:

7. Copia de Seguridad (Copias de seguridad):

8. Actualización y parches de seguridad:

9. Segmentación de la Red:

10. Política de Uso de Dispositivos:

11. Evaluaciones de Riesgos y Auditorías de Seguridad:

Planes de Respuesta ante Incidentes:

13. Contratación de Seguros de Ciberseguridad:

14. Protección en la Nube:

Implementar estas medidas de manera efectiva garantizará que la firma de consultores tributarios minimice las vulnerabilidades y esté preparada para responder ante cualquier incidente de ciberseguridad. Además, es importante mantener estas políticas y procedimientos bajo revisión constante y adaptarlos a las amenazas emergentes.

Y la otra pregunta Para robustecer aún más la capacidad de la firma para resistir ciberataques, te recomendamos considerar las siguientes medidas:

Segmentación de Redes por Privilegios Implementar redes separadas para áreas críticas (ejemplo: red financiera) y restringir su acceso sólo a usuarios autorizados, minimizando el riesgo de que un ataque afecte áreas claves.

Para mejorar el tema educativo en el entorno laboral en relación con la privacidad y protección de datos, es crucial implementar un programa de capacitación continua, personalizado y actualizado. La clave está en crear conciencia entre los empleados sobre la importancia de la seguridad de la información y proporcionarles las herramientas necesarias para identificar, prevenir y actuar ante posibles riesgos.

1. Capacitaciones Periódicas y Continuas:

2. Gamificación y simulaciones:

3. Evaluaciones Continuas y Retroalimentación:

4. Accesibilidad a Recursos Educativos:

5. Campañas de Concientización:

Temáticas Clave a Incluir en el Pr

1. Normativas y Regulaciones sobre Protección de Datos:

   • GDPR, Ley 81 de 2019 (Panamá).

   • Derechos de los titulares de datos.

2. Protección de Datos desde el Diseño y por Defecto (Privacidad por Diseño):

   • Capacitar sobre cómo integrar la protección de datos en el diseño de nuevos proyectos, sistemas o productos.

3. Reconocimiento y Prevención de Amenazas Cibernéticas:

   • Phishing y ataques de ingeniería social.

   • Ransomware y malware.

4. Buenas Prácticas en el Manejo de Datos:

   • Clasificación y manejo de información confidencial

   • Gestión del ciclo de vida de los datos

5. Seguridad en el Uso de Dispositivos y Redes

   • Seguridad en dispositivos móviles y portátiles

   • Uso de redes seguras

6. Autenticación y Gestión de Contraseñas

7. Políticas de Almacenamiento y Transferencia de Datos

   • Almacenamiento en la nube y local

   • Transferencia segura de información

8. Protección contra Fugas de Datos (DLP)

9. Respuesta ante Incidentes de Seguridad

10. Privacidad y Protección de Datos en el Contexto Internacional:

    • Transferencias internacionales de datos

Estas temáticas y estrategias no solo elevarán el nivel de conciencia y conocimiento sobre privacidad y ciberseguridad en la organización, sino que también contribuirán a minimizar riesgos y fomentar una cultura sólida de protección

Las capacitaciones deberían estar enfocadas en buenas practicas para el manejo de datos, plan de respuesta a incidentes, gestión segura de contraseñas, recopilación y almacenamiento de datos, etc

Ademas, falta un levantamiento de información y comprender como estan usando los recursos tecnológicos y equipos los empleados para identificar espacios de mejoras, brechas y malas practicas.

Se debe fortalecer la capacitación del personal en temas de las responsabilidades que demanda la Ley y las consecuencias que tiene está con relación al manejo de información de terceros.

2-Manejar el principio de confidencialidad de datos y disminuir riesgos de divulgación.

Con base en mi experiencia en la mitigación de ciberataques y en la implementación de medidas de seguridad, podría aportar significativamente al programa de privacidad de mi entorno laboral mediante:

1. Diagnóstico inicial de riesgos: Realizar un análisis de las prácticas actuales de manejo de información para identificar vulnerabilidades y áreas de mejora en cuanto a la protección de datos personales y confidenciales.

2. Diseño de políticas claras: Participar en la redacción o actualización de políticas de privacidad que cumplan con las normativas legales aplicables (como el RGPD, CCPA, u otras según la jurisdicción), asegurando que sean comprensibles y aplicables para todos los empleados.

3. Implementación de controles de seguridad: Colaborar en la selección e implementación de herramientas tecnológicas como cifrado de datos, controles de acceso y monitoreo de tráfico para prevenir accesos no autorizados.

4. Procedimientos de respuesta a incidentes: Diseñar o mejorar un plan de respuesta ante incidentes de privacidad, incluyendo la notificación oportuna a las partes interesadas y las autoridades regulatorias.

5. Cultura organizacional: Promover una cultura organizacional orientada a la privacidad y la protección de la información, integrando buenas prácticas en los procesos del día a día.

Temáticas relevantes para mejorar las capacitaciones en el entorno laboral

Para fortalecer las competencias del equipo en materia de seguridad y privacidad, considero clave incluir los siguientes temas en las capacitaciones:

1. Protección de datos personales: Explicar los conceptos básicos de la privacidad, la importancia de proteger los datos personales y las consecuencias legales de su incumplimiento.

2. Reconocimiento de ciberataques: Enseñar al personal a identificar amenazas comunes como phishing, ransomware y suplantación de identidad.

3. Políticas internas de seguridad: Capacitar sobre el uso adecuado de contraseñas, la protección de dispositivos y el manejo seguro de información confidencial.

4. Normativas y cumplimiento legal: Sensibilizar al equipo sobre las leyes y regulaciones aplicables, así como sus obligaciones en el tratamiento de datos.

5. Gestión de incidentes de seguridad: Entrenar a los empleados en la detección temprana de incidentes y los pasos iniciales a seguir para mitigar su impacto.

6. Uso responsable de la tecnología: Promover buenas prácticas para evitar riesgos asociados con el uso de redes públicas, dispositivos personales y software no autorizado.

Al trabajar en estas áreas, no solo se mejora la resiliencia de la organización frente a ataques cibernéticos, sino que también se asegura un cumplimiento sólido con los estándares legales y éticos de privacidad.

Temáticas relevantes para capacitaciones Aunque las capacitaciones en mi entorno laboral son amplias y regulares, creo que sería beneficioso incluir o reforzar los siguientes temas: Prevención de ataques de ingeniería social: Incorporar ejercicios prácticos que ayuden a los colaboradores a reconocer intentos de phishing, vishing y otras tácticas de manipulación. Gestión de datos sensibles: Capacitar al personal sobre cómo identificar, clasificar y proteger información sensible según su nivel de criticidad. Protección en entornos remotos: Con el aumento del trabajo remoto, sería importante reforzar las medidas de seguridad para acceder a datos fuera de la oficina, como el uso adecuado de VPN y almacenamiento seguro. Impacto del cumplimiento normativo: Explicar de manera clara y práctica las consecuencias legales y reputacionales que puede enfrentar la organización si no cumple con las leyes de protección de datos. Gestión de incidentes de privacidad: Incluir simulaciones sobre cómo actuar ante posibles brechas de datos, asegurando una respuesta coordinada y oportuna. Aunque estamos bien cubiertos gracias a la naturaleza de nuestra organización, el fortalecimiento continuo del programa y las capacitaciones nos garantiza mantenernos a la vanguardia en la protección de la privacidad y la seguridad de la información.

Por otra parte, es importante el contar con un equipo de informática que se encuentre brindando apoyo constante y resolviendo las dudas y las problemáticas del día a día, a efecto de tener una actualización sobre las prácticas delictivas.

Participar en las distintas actividades, para cumplir con los rigurosos requisitos de la norma, que son posibles gracias a la alineación de toda la organización, a una gestión responsable comprometida con los criterios de ASG, (Ambiente, Social y de Gobernanza), impactando directamente el criterio social, salvaguardando la seguridad de datos de usuarios, clientes y colaboradores.

Estar pendientes de las actualizaciones de los modos operandi de los delincuentes y recomendar cambios en  políticas existentes, logrando adecuar entre ellas, las políticas de seguridad de la información, alineando toda la gestión del Banco a una gestión responsable, comprometida con los criterios de ASG.”

 RITA RUEDA

• que se organice un equipo multidisciplinario de prevención y respuesta, que cuente con la participación de un Alto directivo, de un delegado del área legal y uno del área de IT

• Que se evalúe la legislación aplicable, y si hay medidas obligatorias que se deben tomar

• hacer una política de protección de datos y plan de contingencias

• Que se efectúe una campaña de capacitación del personal

• Que se realicen auditorías calendarizadas

Tematicas a aplicar:

1. Con soporte del equipo de auditoria y/o SOX, realizar revisiones peridicas de como se esta manejando el concepto de privacidad y con sus feedback, poder realizar los ajustes necesarios conforme a la necesidad de la empresa y la regulacion.

2. Capacitacion trimestrar al todo el personal para que en su subconciente tenga tan claro como su edad, que es la privacidad y como debe mantenerla tanto a nivel personal como profesional.

Haría recomendaciones conforme a los hallazgos que surjan de dicha verificación.

Apelaría al desarrollo de un programa de capacitaciones en materia de ciberseguridad y protección de datos, a fines de que las personas puedan entender la relevancia del tema y el porqué de los esfuerzos llevados a cabo para el reforzamiento de una cultura de protección de datos personales.

Las temáticas con las que propondría iniciar o reforzar es mediante la capacitación en los tipos de ataques de las que puede ser objeto la empresa a fin de que los trabajadores tengan la preparación necesaria que les permita detectar cuando terceros ajenos a la organización intentan acceder a nuestro sistema por medio de engaño como el Phishing.

Una vez que conozca a detalle la normativa puedo revisar las políticas de privacidad actuales e identificar puntos de mejora.

Además puedo proponer capacitaciones para que el personal completo conozca las políticas actualizadas y reforzar prácticas preventivas como tener contraseñas seguras y realizar verificación de direcciones de correos antes de abrirlos o compartir material sensible de clientes o la empresa.

Considero relevante la capacitación continua y las campañas de concientización, realizando auditorias periódicas y hackeos éticos para revisar el grado de vulnerabilidad del personal en la entidad

Y las temáticas que considero relevante para mejorar e implementar las capacitaciones en mi entorno laboral seria: El manejo de datos personales y como mantener en el tiempo la cultura de privacidad y protección de datos.

• Capacitación constante al personal:
  Entrenar a los colaboradores para detectar phishing, correos sospechosos y prácticas inseguras. Esto ayuda a evitar que un error humano sea la puerta de entrada.

• Actualización y parcheo permanente:
  Mantener todos los sistemas, aplicaciones y antivirus al día con las últimas actualizaciones para cerrar vulnerabilidades conocidas.

• Segmentación de la red:
  Separar la red interna en segmentos para limitar la propagación de ataques si un área se ve comprometida.

• Respaldo periódico y seguro de datos:
  Guardar copias en ubicaciones seguras para poder restaurar la información en caso de ransomware o pérdida.

Otras medidas útiles para fortalecer la capacidad de resistencia:

• Implementar soluciones SIEM y monitoreo 24/7:
  Para detectar rápidamente actividades sospechosas y responder con agilidad.

• Simulacros de ataques (phishing y ransomware):
  Para probar la preparación del personal y mejorar protocolos.

• Políticas estrictas de control de acceso:
  Asignar permisos mínimos necesarios para cada usuario y revisar regularmente esos accesos.

• Cifrado de datos en tránsito y en reposo:
  Proteger la información sensible ante accesos no autorizados.

• Plan de respuesta a incidentes:
  Tener un protocolo claro para actuar rápido ante cualquier brecha, minimizando daños.

• Diagnóstico inicial:
  Participar en la evaluación de la situación actual, identificando qué datos personales se manejan, cómo se almacenan y quiénes acceden a ellos.

• Revisión y actualización de políticas:
  Ayudar a redactar o actualizar la política de privacidad y los procedimientos relacionados, asegurando que estén alineados con la legislación vigente (local e internacional si aplica).

• Diseño de controles internos:
  Proponer controles administrativos, técnicos y organizativos para proteger los datos (ejemplo: controles de acceso, encriptación, auditorías internas).

• Capacitación y concientización:
  Colaborar en la planificación y ejecución de programas de formación para todo el personal, adaptados a distintos roles y niveles.

• Gestión de incidentes:
  Ayudar a definir protocolos claros para detectar, reportar y responder a incidentes de privacidad o brechas de seguridad.

• Monitoreo y mejora continua:
  Participar en la revisión periódica del programa para identificar mejoras, novedades regulatorias y cambios en el entorno tecnológico.

Temáticas relevantes para capacitaciones en privacidad y protección de datos:

• Conceptos básicos de protección de datos:
  Derechos de los titulares, principios de tratamiento, bases legales.

• Política de privacidad de la empresa:
  Qué dice, cómo se aplica, obligaciones de los empleados.

• Identificación y manejo de datos personales:
  Clasificación de datos sensibles, tratamiento adecuado.

• Seguridad de la información:
  Buenas prácticas para proteger datos, manejo seguro de contraseñas, uso correcto de dispositivos y redes.

• Riesgos comunes y cómo evitarlos:
  Phishing, ingeniería social, malware, manejo de información en redes sociales.

• Procedimientos ante incidentes:
  Cómo actuar ante una brecha de datos o pérdida de información.

• Legislación y regulaciones aplicables:
  Leyes locales y normas internacionales que impactan la empresa.

Para las capacitaciones, sugeriría abordar:

1. Gestión de brechas de seguridad (detección, contención y reporte)

2. Evaluaciones de impacto y mapeo de riesgos

3. Principios de privacidad desde el diseño

4. Buenas prácticas en canales digitales (envío y almacenamiento seguro)

5. Consentimiento y derechos de los titulares según la Ley 81 de Panamá y estándares internacionales.

Puedo colaborar identificando los procesos que manejan datos personales, evaluando los riesgos asociados y proponiendo mejoras en las políticas de protección de datos.

También puedo participar en la elaboración de procedimientos para el tratamiento, almacenamiento y eliminación de la información, y en la difusión de buenas prácticas entre los equipos.

Considero que es importante abordar temas como protección de datos personales, prevención de ataques de ingeniería social, gestión segura de contraseñas, uso responsable de dispositivos y redes, y normativa aplicable en privacidad y ciberseguridad.

Estos contenidos fortalecen la cultura organizacional y la capacidad de prevención ante incidentes.

La Misión Multidimensional Integrada de Estabilización de las Naciones Unidas en la República Centroafricana (MINUSCA) reconoce la relevancia crítica de la ciberseguridad dentro de sus operaciones. La unidad de Ciberseguridad tiene como función principal asegurar que todos los sistemas empleados por el personal cumplan rigurosamente con las reglas y regulaciones establecidas por la Oficina de Ciberseguridad, ubicada en New York, las cuales rigen a todas las agencias y misiones de las Naciones Unidas. Este trabajo de supervisión y verificación es fundamental para salvaguardar la integridad, confidencialidad y disponibilidad de la información, tanto privada como oficial, que circula en la organización.

La necesidad de talleres presenciales dinámicos

Aunque la unidad de Ciberseguridad cumple un rol técnico y normativo indispensable, es igualmente importante extender su labor hacia la formación directa del personal. Un desafío frecuente es que muchas personas desconocen las implicaciones reales de sus acciones cotidianas en torno al manejo de datos y uso de sistemas digitales. Esto puede derivar en errores involuntarios, brechas de seguridad o incluso incidentes graves que comprometan la misión en su conjunto.

Por esta razón, propongo que la unidad de Ciberseguridad organice talleres presenciales, diseñados de manera dinámica y participativa, para todo el personal. Estos espacios de aprendizaje no deben limitarse a la mera transmisión de reglas, sino que deben incorporar ejemplos prácticos, simulaciones y estudios de caso que permitan a las personas comprender de manera vivencial cómo sus acciones pueden influir en la seguridad de la información.

·       Dinámicas y simulaciones: Ejercicios prácticos sobre ataques comunes, reconocimiento de correos fraudulentos, gestión segura de contraseñas y manejo correcto de dispositivos electrónicos.

·       Estudios de caso: Discusión sobre incidentes reales, sus causas y consecuencias, para fomentar la reflexión y la toma de conciencia.

·       Espacios interactivos: Preguntas, debates y resolución de dudas en tiempo real para facilitar la apropiación de conocimientos y el compromiso personal.

Implicaciones de manejar datos sin precaución

El mal manejo de datos privados y oficiales puede desencadenar consecuencias graves, entre ellas:

·       Pérdida de información confidencial: Lo que puede poner en riesgo la seguridad de personal y operaciones.

·       Vulnerabilidad frente a amenazas externas: Ataques cibernéticos, robo de identidad y manipulación de información.

·       Sanciones administrativas y legales: El incumplimiento de las normativas internacionales puede acarrear penalizaciones significativas.

·       Daño reputacional: Un incidente puede afectar la imagen de la misión y la confianza depositada por la comunidad internacional.

Carla Lopez

·       Identificación de los datos y activos de información, tanto tangibles como intangibles, que resultan críticos para la organización.

·       Asignación de un presupuesto adecuado que permita invertir en herramientas, formación y controles de privacidad.

·       Reunir a las partes involucradas en un comité interdisciplinario para fortalecer la coordinación.

·       Contribuiría en el reconocimiento y gestión de los riesgos asociados, proponiendo medidas de mitigación y evaluaciones de impacto.

·       Creación de procesos claros, con la debida asignación de responsabilidades.

·       Capacitación continua de los colaboradores para reforzar la cultura de privacidad y el entendimiento de su rol dentro de la organización.

·       Mantenimiento y actualización periódica del software y sistemas, como medida preventiva frente a posibles vulnerabilidades.

Considero fundamental que las capacitaciones aborden el rol que desempeña cada persona dentro de la empresa, destacando la importancia de sus responsabilidades en la protección de datos y fomentando que los colaboradores se sientan parte activa del proceso. De igual modo,  es clave contar con recursos y responsables dedicados para garantizar el seguimiento y cumplimiento de estas actividades.

A nivel de contenido, resultan especialmente relevantes las buenas prácticas en el manejo de datos personales, la normativa básica de protección de datos aplicable a la organización y la simulación de incidentes para entrenar la respuesta adecuada. De esta manera, la capacitación no solo transmite conocimiento, sino que fortalece el compromiso colectivo hacia una cultura de privacidad sostenible.

• Evaluaciones periódicas de riesgos y de impacto vinculados a la protección de datos personales.

• Formación y concientización continua del personal, especialmente sobre ciberseguridad y gestión de datos.

• Sistemas de gestión de seguridad de la información basados en estándares internacionales como ISO/IEC 27001 y el marco normativo correspondiente.

• Medidas técnicas como backups frecuentes, controles de acceso, cifrado de datos sensibles y monitoreo constante de redes.

Considerando que mi organización actualmente se encuentra implementando un departamento denominado Gobierno de Datos, el cual maneja un flujo alto de información, recomendaría que el personal que se encuentra realizando la recopilación de datos y activando tablas de reportes realice un acercamiento más formal a las áreas clave de la organización, así como a las áreas administrativas y operativas con el fin de comprender las responsabilidades de cada área y el flujo de información que generan.

¿Qué temáticas considera relevantes para mejorar o implementar las capacitaciones en su entorno laboral?

Considero que se deberían realizar capacitaciones más recurrentes en lo que respecta a:

·        Privacidad de datos

·        Uso adecuado del Sistema de Gestión Empresarial

·        Finanzas

·        Tecnologías de la información

·        Seguridad y protección de datos

​

Mi colaboración en el programa de privacidad se centraría en ser un agente activo de la "Cultura de Privacidad" y un punto de contacto para la gestión de datos en mi área.

​Acciones de Colaboración Clave:

1. ​Garantizar la "Privacidad por Diseño" en mi Área:

   • ​Al participar en el desarrollo o adquisición de nuevas herramientas, sistemas o procesos, me aseguraría de que se evalúen las implicaciones de privacidad desde el inicio.

   • ​Consultaría al equipo de privacidad o legal antes de implementar cualquier proceso que recoja, use o comparta datos personales, garantizando que se apliquen los principios de minimización de datos (solo recolectar lo necesario) y anonimización/seudonimización cuando sea posible.

     
     

2. ​Ser el Guardián de Datos (Data Custodian) de mi Equipo:

   • ​Ayudaría a mapear y clasificar los datos personales que mi equipo maneja (ej. datos de clientes, empleados, proveedores) y dónde se almacenan (inventario de activos de información).

   • ​Aseguraría la correcta aplicación de políticas en el día a día, como la eliminación segura de información que ya no es necesaria (Principio de Limitación de Conservación) y el cumplimiento de las restricciones de acceso definidas.

3. ​Promover la Concienciación Continua:

   • ​Reforzaría los mensajes de privacidad con mis compañeros, actuando como un "Embajador de Privacidad". Por ejemplo, recordando la importancia de usar contraseñas robustas, bloquear la pantalla al ausentarse, o ser cautelosos con los correos electrónicos sospechosos.

   • ​Reportaría inmediatamente cualquier indicio de violación de la privacidad o la seguridad (como un correo enviado al destinatario equivocado o un documento extraviado).

4. ​Colaborar en la Respuesta a Solicitudes de Derechos (ARCO/Derechos del Titular):

   • ​Si un cliente o empleado ejerce su derecho a acceder, rectificar o eliminar sus datos personales, mi colaboración sería clave para localizar y procesar esa información en los sistemas que maneja mi área, asegurando que la respuesta sea completa y oportuna, de acuerdo con la ley aplicable.

​2. ¿Qué temáticas considera relevantes para mejorar o implementar las capacitaciones en su entorno laboral?

​Para mejorar la resiliencia y el programa de privacidad, las capacitaciones deben ser continuas, prácticas y centrarse en la intersección entre ciberseguridad y privacidad para combatir la vulnerabilidad humana.

Metodología de Mejora: Las capacitaciones deben realizarse al menos una vez al trimestre, con formato corto e interactivo (ej. micro-learning), e incluir evaluaciones periódicas y simulacros para medir el nivel de conciencia y cumplimiento.

Ingeniería Social y Phishing Avanzado

Enfoque: Más allá de reconocer el correo genérico, la capacitación debe incluir la simulación de ataques sofisticados (Spear Phishing, Whaling o Vishing - llamadas fraudulentas) que utilizan información real de la empresa para ser más creíbles.

Protección de Datos en el Teletrabajo (Trabajo Híbrido)

Enfoque: Capacitar sobre el uso seguro de redes Wi-Fi domésticas, la separación entre dispositivos personales y corporativos (BYOD), la prohibición de discutir información confidencial en espacios públicos (acuerdo de confidencialidad), y cómo manejar la documentación física y digital en casa.

Gestión de Contraseñas y Autenticación Multifactor (MFA)

Enfoque: Reforzar las mejores prácticas (longitud, complejidad, unicidad de contraseñas) y, fundamentalmente, la obligatoriedad y el uso correcto de la MFA para todos los sistemas sensibles, explicando por qué es la defensa más efectiva contra el robo de credenciales.

Manejo de Información Confidencial y Clasificada

Enfoque: Enseñar a los empleados cómo clasificar la información (pública, interna, confidencial, restringida) y los procedimientos para compartirla de forma segura (ej. uso de cifrado, no usar servicios de almacenamiento personal, el riesgo de "CC" y "CCO" en correos).

Respuesta a Incidentes y Detección de Brechas de Privacidad

Enfoque: Capacitar a los empleados para reconocer un incidente (ej. ransomware, pérdida de un dispositivo, correo enviado a la persona equivocada) y, lo más importante, qué pasos deben seguir inmediatamente después (a quién notificar y cómo, sin intentar "arreglar" el problema por sí mismos).

Gestión de Consentimiento: Colaborar en la auditoría de nuevas unidades de negocio para asegurar que el intercambio de datos con socios comerciales sea notificado y consentido por los titulares.

Capacitación del Personal: Impulsar programas de concientización como medida organizativa clave para mitigar riesgos de ingeniería social y phishing.

Protocolos de Respuesta: Participar en el armado de planes de contingencia que prioricen la notificación oportuna de incidentes a la autoridad de aplicación antes de que se inicie un proceso de oficio.

Mi participación cotidiana permite identificar riesgos reales en los procesos operativos y fortalecer la cultura de privacidad dentro de la organización, actuando como primera línea de defensa frente a posibles brechas de datos.

Para que esta colaboración sea efectiva, sería necesario implementar capacitaciones periódicas orientadas a nuestro "día a día". Entre las temáticas más relevantes se encuentran la protección de datos personales y financieros, la confidencialidad y secreto bancario y el correcto uso de sistemas, credenciales y accesos, reforzando el principio de minimización y el acceso solo a la información necesaria.

Asimismo, es clave capacitar al personal en la detección de ataques de phishing e ingeniería social, buenas prácticas en el uso del correo electrónico y gestión de incidentes de seguridad. Estas capacitaciones permiten reducir el riesgo de errores humanos, mejorar la respuesta temprana ante incidentes y demostrar diligencia y compromiso de la organización frente a autoridades, clientes y otros grupos de interés.

Me parece que solamente planteando ejemplos y metodología básica de prevención, se puede hacer una gran diferencia.

Saludos.

• Institucionalización de la Responsabilidad Proactiva (Accountability): Podría liderar la creación de un inventario detallado de flujos de datos. En una oficina que gestiona activos patrimoniales y familiares, es vital documentar qué datos tratamos, para qué fin y quiénes tienen acceso, asegurando que existan bases legales sólidas (contratos, consentimientos o interés legítimo) para cada tratamiento.

• Gestión de Terceros y Debida Diligencia: Colaboraría en la revisión de contratos con proveedores y bancos para incluir cláusulas robustas de protección de datos y niveles de servicio de seguridad (SLA), asegurando que el estándar de privacidad de la organización se extienda a quienes nos prestan servicios.

• Diseño de Protocolos de Respuesta: Ayudaría a redactar el 'Manual de Respuesta ante Incidentes' desde una perspectiva jurídica, definiendo los plazos y formas de notificación a la autoridad de control y a los afectados, minimizando así riesgos sancionatorios y daños reputacionales".

2. ¿Qué temáticas considera relevantes para mejorar o implementar las capacitaciones en su entorno laboral?

"Considero que para que una capacitación sea efectiva y reduzca el riesgo del 'eslabón más débil', debe centrarse en:

• Ingeniería Social Avanzada (Phishing y Fraude del CEO): Dado que manejamos transacciones financieras, es crítico que todo el personal sepa identificar correos o mensajes que suplantan la identidad de directivos o proveedores para solicitar transferencias o información sensible.

• Gestión Segura de la Información en el Teletrabajo: Temas como el uso de redes VPN, la prohibición de usar dispositivos personales para datos corporativos y la gestión de contraseñas robustas (MFA).

• Tratamiento de Datos Sensibles: Capacitar sobre la importancia de la confidencialidad en datos patrimoniales y de salud, explicando las consecuencias legales tanto para la empresa como para el empleado en caso de una filtración.

• Cultura de Reporte Inmediato: Fomentar que los empleados reporten errores (como enviar un correo por error a quien no correspondía) de inmediato y sin miedo a represalias, para que el área de Compliance pueda mitigar el daño antes de que escale

También es fundamental abordar el uso seguro de dispositivos y de internet, la correcta gestión de accesos (contraseñas y permisos), y la forma de identificar y reportar incidentes de seguridad. A esto se suma la preparación ante situaciones críticas, como la continuidad del servicio y la recuperación frente a ataques.

Finalmente, las capacitaciones deben adaptarse al rol de cada empleado, incluir ejemplos reales o simulaciones, y actualizarse constantemente para responder a nuevas amenazas como el ransomware o el uso malicioso de tecnologías emergentes.

En síntesis, el objetivo es crear una cultura organizacional donde todos comprendan que la privacidad es una responsabilidad compartida.

En cuanto a las capacitaciones, más que algo teórico, deberían enfocarse en lo que realmente pasa en el trabajo diario. Por ejemplo, entender cómo clasificar la información (qué es confidencial o sensible), cómo manejar correctamente datos personales de clientes, y reconocer riesgos comunes como phishing o ingeniería social. También es clave reforzar buenas prácticas en el uso de correos, contraseñas y accesos a sistemas, así como tener claro qué hacer y a quién reportar en caso de un incidente.

Otro punto importante, considerando cómo trabajamos hoy, es incluir temas de seguridad en teletrabajo o uso de dispositivos fuera de la oficina, donde el riesgo aumenta. Y, en general, reforzar la confidencialidad como parte de la ética profesional, no solo como una obligación.

Al final, la clave está en que el programa no se quede en políticas, sino que realmente genere cultura. Cuando la gente entiende el “por qué” y el impacto de manejar mal la información, el nivel de cumplimiento mejora muchísimo.

En mi entorno laboral, podría colaborar en la mejora del programa de privacidad mediante la actualización de las políticas de privacidad y la implementación de controles básicos en el manejo de datos de clientes. En el caso de Café & Aroma, ya contamos con una pasarela de pago segura con un banco local y métodos como Visa y Mastercard, lo cual fortalece la protección de la información financiera; sin embargo, es importante complementar esto con buenas prácticas internas y control del uso de datos.

En cuanto a las capacitaciones, considero clave enfocarlas en la concientización sobre el manejo de datos personales, identificación de riesgos como phishing y el uso adecuado de herramientas digitales, con el fin de proteger la información y generar mayor confianza en los clientes.

Además, puedo aportar identificando situaciones de riesgo, como correos sospechosos o accesos inusuales, y reportándolos oportunamente al área de IT. También es importante fomentar entre los compañeros la responsabilidad de reconocer las plataformas oficiales de la empresa para evitar caer en páginas falsas o fraudes.

En cuanto a las capacitaciones, aunque ya se realizan, considero que deberían ser más frecuentes y actualizadas constantemente. Por ejemplo, podrían incluir breves reseñas de casos reales o noticias recientes, incluso a nivel nacional, para que los colaboradores comprendan mejor cómo ocurren estos ataques en la práctica. Casos como ciberataques a instituciones o filtraciones de datos ayudan a crear mayor conciencia sobre los riesgos reales.

También sería útil reforzar temas como:

Cómo identificar correos fraudulentos

Qué tipo de información pueden solicitarnos y en qué contexto

Cómo reconocer páginas o aplicaciones falsas

Y qué hacer inmediatamente ante una situación sospechosa

Considero que mientras más actualizada y cercana a la realidad sea la capacitación, mayor será el nivel de alerta de los colaboradores.

En general, la combinación de herramientas tecnológicas y una cultura de seguridad bien reforzada es clave para proteger la información y prevenir incidentes.

En cuanto a las capacitaciones, considero importante enfocarlas en temas prácticos como el manejo correcto de datos personales, seguridad de la información, detección de incidentes y qué hacer ante una brecha. También incluir formación más específica por áreas, para que cada equipo entienda su responsabilidad en privacidad.

Considerando el tipo de datos que manejamos, existen algunos temas importantes a tratar; primero, el reconocimiento de ataques como phishing, dado que el factor humano es el punto más vulnerable y cualquier colaborador puede ser el punto de entrada de un incidente; segundo, el manejo adecuado de datos sensibles en el día a día, especialmente para el equipo de ventas que visita médicos y recopila información en campo; y tercero, protocolos de reporte y respuesta ante incidentes, para que toda la organización sepa qué hacer y a quién acudir cuando algo irregular ocurra, sin esperar a que el problema escale.

1. Fortalecimiento de la Dimensión Organizativa y de Cumplimiento

• Apoyo en la Gestión de Roles: Puedes colaborar identificando o actuando como un Punto de Contacto para interactuar con las autoridades de protección de datos o los equipos de respuesta a incidentes.

• Documentación y Accountability: Ayuda en la elaboración y actualización del Registro de Brechas de Datos Personales, documentando las circunstancias de cualquier incidente, sus consecuencias y las medidas correctivas tomadas. También puedes participar en la realización de Evaluaciones de Impacto de Privacidad (PIA) para nuevos proyectos que manejen datos sensibles.

• Promoción de la Capacitación: Impulsa y participa en actividades periódicas de concientización y formación para que todos los empleados adquieran habilidades para identificar riesgos como la ingeniería social o el phishing.

2. Implementación de Buenas Prácticas Técnicas y de Comportamiento

• Adopción de Modelos de Confianza Cero (Zero Trust): Colabora promoviendo la verificación permanente de cada acceso y dispositivo, eliminando la confianza implícita dentro de la red corporativa.

• Uso Seguro de Herramientas de IA y Desarrollo: Verifica la procedencia de las extensiones de IDE (como VS Code) y evita el uso de bots de IA anónimos o desconocidos, ya que han sido vectores utilizados para la exfiltración de miles de repositorios internos y datos sensibles.

• Higiene Digital: Asegura la implementación de autenticación multifactor (MFA), el uso de criptografía según las guías oficiales y la gestión segura de contraseñas para evitar vulnerabilidades conocidas.

3. Gestión de Riesgos de Terceros (Cadena de Suministro)

• Vigilancia de Proveedores: Gran parte de las filtraciones recientes no ocurrieron en sus sistemas internos, sino a través de proveedores externos de cobranza o servicios tecnológicos. Se puede colaborar revisando que los contratos con terceros incluyan cláusulas de seguridad robustas y que los aliados tecnológicos cumplan con estándares de protección de datos.

4. Cultura de Respuesta a Incidentes

• Detección y Reporte Temprano: Colabora conociendo y difundiendo el protocolo interno de reporte para que, ante cualquier anomalía, la organización pueda actuar "sin dilación indebida". La rapidez en la notificación es crucial para mitigar riesgos patrimoniales y reputacionales tras un ataque.

Estas acciones ayudan a que el programa de privacidad sea dinámico y capaz de adaptarse a un panorama de amenazas que evoluciona continuamente hacia ataques más sofisticados basados en inteligencia artificial y compromiso de la cadena de suministro

Para mejorar o implementar las capacitaciones en el entorno laboral, las fuentes destacan que el objetivo principal debe ser fomentar la adquisición de conocimientos y habilidades para identificar riesgos y evaluar el impacto de las prácticas de gestión de ciberseguridad en las operaciones. De acuerdo con la normativa vigente y las tendencias de amenazas actuales, las temáticas clave para estas capacitaciones son:

1. Ingeniería Social y Fraude Avanzado

• Identificación de modalidades de engaño: Es crucial capacitar al personal para detectar ataques de phishing, vishing (fraude por voz) y smishing (mensajes de texto), los cuales son utilizados frecuentemente para robar datos personales que luego se emplean en suplantaciones de identidad.

• Business Email Compromise (BEC): Se debe instruir sobre técnicas sofisticadas donde atacantes roban credenciales para suplantar a directivos o proveedores y solicitar pagos fraudulentos.

• Amenazas emergentes con IA: Las capacitaciones deben incluir la detección de deepfakes (clonación de voz e imagen) y el uso de códigos QR falsos para el robo de información.

2. Higiene Digital y Control de Acceso

• Gestión de Credenciales: Es fundamental enseñar el uso de contraseñas seguras y únicas, así como el cumplimiento de las guías técnicas sobre su almacenamiento seguro.

• Autenticación Multifactor (MFA): Se debe promover el uso obligatorio de soluciones de autenticación de múltiples factores o de autenticación continua para proteger el acceso a servicios críticos.

• Modelo Zero Trust: Capacitar en el enfoque de "confianza cero", donde se requiere verificar permanentemente cada acceso y dispositivo, eliminando la confianza implícita dentro de las redes de la empresa.

3. Seguridad en la Cadena de Suministro y para Desarrolladores

• Riesgos de Terceros: Dado que muchos ataques recientes han ocurrido a través de proveedores externos ), el personal debe entender la importancia de evaluar la seguridad de los aliados tecnológicos.

• Entornos de Desarrollo Seguros: Para equipos técnicos, es vital capacitar sobre la seguridad en las extensiones de IDE (como VS Code) y el uso de paquetes de software, ya que se han detectado gusanos maliciosos que comprometen repositorios internos a través de estos vectores.

4. Uso Seguro de la Inteligencia Artificial (IA)

• Herramientas y Agentes Maliciosos: Se debe alertar sobre el peligro de descargar falsas herramientas de IA (como versiones fraudulentas de ChatGPT o Claude) que ocultan troyanos bancarios y spyware.

• Integridad de Modelos de IA: Es relevante capacitar sobre ataques específicos contra sistemas de IA, como el envenenamiento de datos (data poisoning) y ejemplos adversarios diseñados para causar errores en los modelos.

5. Respuesta a Incidentes y Resiliencia

• Notificación de Incidentes: El personal debe conocer los protocolos para reportar incidentes significativos sin dilación indebida, facilitando la gestión de brechas de datos y la mitigación de daños reputacionales.

• Seguridad Física y de Procesos: La formación debe cubrir medidas de protección física de la infraestructura y protocolos de continuidad del negocio, incluyendo la gestión de copias de seguridad (backups) y recuperación ante desastres.

Finalmente, las organizaciones deben realizar estas actividades de formación de manera periódica, asegurando que incluso los órganos de administración reciban capacitación específica para supervisar la gestión de riesgos de la entidad