Encuesta sobre Cumplimiento IT

Principales conclusiones de la Encuesta sobre Cumplimiento IT de Hornetsecurity 2023

• El 78,8% de las organizaciones están más preocupadas ahora por las cuestiones de cumplimiento que hace cinco años.
• El 57,2% de las organizaciones cree que la carga del cumplimiento recae en el departamento de IT.
• El 59,1% de los encuestados afirma que el cumplimiento de los requisitos de IT afecta a las actividades cotidianas de los departamentos de IT.
• El 21,6% de las organizaciones afirma utilizar herramientas de automatización para verificar los requisitos de cumplimiento de IT.
• El 33,3% de los encuestados afirma que la falta de herramientas de informes y auditoría es la principal razón por la que la nube no es una solución fiable de almacenamiento de datos para su organización.
• El 81,7% de los encuestados cree que obtendría beneficios de «moderados» a «enormes» con una nueva herramienta de gestión del cumplimiento en Microsoft 365.
• El 27,6% de las PYMEs emplean a un responsable de cumplimiento.
• El 35,3% de las grandes organizaciones (1.000 empleados o más) han recibido sanciones por incumplimiento, la mayoría ubicadas de Europa.

4 de cada 5 organizaciones están más preocupadas ahora por los problemas de cumplimiento que hace cinco años

La principal conclusión de nuestra encuesta revela un cambio significativo en la forma de pensar y la actitud de las organizaciones con respecto al cumplimiento IT respecto a la última media década. Casi 4 de cada 5 organizaciones están más preocupadas ahora por las cuestiones de cumplimiento que hace cinco años.

Hoy en día, las estrictas leyes y normativas de cumplimiento informático dejan muy poco margen para los errores. El resultado de la encuesta subraya la evolución del panorama normativo y la importancia cada vez mayor de la protección, la privacidad y la gobernanza de los datos.

Los resultados de la encuesta implican que las organizaciones son muy conscientes de las posibles amenazas a la seguridad, como el phishing, que acechan en el mundo digital. Pero, lo que es más importante, de los riesgos potenciales asociados al incumplimiento. Varios factores desempeñan un papel decisivo en la mayor concienciación actual sobre el cumplimiento de la normativa.

En primer lugar, las leyes y normativas de cumplimiento informático se han vuelto más rigurosas y extensas. Los gobiernos y los organismos oficiales sectoriales han hecho hincapié en la necesidad de salvaguardar la información crítica y proteger los derechos de privacidad. Como está bien documentado, una posible vulneración de datos supone un gran riesgo para dicha información, de ahí que los gobiernos y organismos oficiales hayan introducido normativas como GDPR, CCPA, HIPAA y muchas más.

En segundo lugar, no han faltado las vulneraciones de datos y los ataques de ciberseguridad de gran repercusión en organizaciones públicas y privadas. Lo más perjudicial es que estos ataques han captado la atención del público y han puesto de relieve las consecuencias de ser víctima de un acto de este tipo. Desde daños financieros a daños a la reputación, una vulneración de datos que resulte en violaciones de la privacidad de los clientes puede ser muy costosa para las organizaciones.

---

5 de cada 10 encuestados creen que el cumplimiento de estos esquemas es «muy importante».

Según nuestra encuesta, la mayoría de los encuestados está de acuerdo en que el cumplimiento de esquemas es importante. Mientras que la gran mayoría lo considera «muy importante», con un 53,4%, el 28,8% cree que es «extremadamente importante«. Pero no todos los encuestados comparten esta preocupación. Según la encuesta, sólo el 11,5% de los encuestados cree que el cumplimiento de las IT es «moderadamente importante», el 4,8% lo considera «escasamente importante» y sólo el 1,4% responde «nada importante«.

El resultado de la encuesta subraya el creciente reconocimiento de la importancia de estos esquemas. Dado que estos ofrecen un enfoque completo y estructurado de las mejores prácticas y medidas de protección de datos, las empresas y organizaciones pueden utilizar las hojas de ruta para implementar funciones y controles de seguridad, políticas y mejores prácticas para proteger información crítica.

En palabras de Paul Koziarz, Presidente y Director General de Cumplimiento Normativo de CSI: «Además, sin un marco de cumplimiento, algunas organizaciones podrían no aplicar ninguna práctica de seguridad en absoluto (o al menos hasta que no les quede más remedio). Las organizaciones deben desafiarse constantemente a sí mismas para mantenerse en pleno cumplimiento y buscar formas de ir más allá para garantizar los más altos niveles de seguridad.»

El hecho de que más de la mitad de los encuestados considere que el cumplimiento de dichos esquemas es, como mínimo, importante, demuestra una voluntad y apertura a la adopción y aplicación generalizadas de los marcos de cumplimiento establecidos.

En conjunto, el resultado subraya el creciente reconocimiento del papel crucial que desempeñan los esquemas de cumplimiento para garantizar la seguridad de los datos, la privacidad y la gestión general de riesgos en las organizaciones.

---

6 de cada 10 encuestados afirman que el esfuerzo por hacer frente a los requisitos de cumplimiento afecta a las actividades cotidianas del departamento de IT.

Según nuestra encuesta sobre cumplimiento, una mayoría significativa de los encuestados percibe que sus esfuerzos por satisfacer los requisitos de cumplimiento informático repercuten directamente en las actividades cotidianas de sus departamentos informáticos. El resultado pone de manifiesto la creciente influencia que ejercen las obligaciones de cumplimiento en los aspectos operativos de las organizaciones modernas.

¿Cuáles son las razones? Las actuales iniciativas de cumplimiento obligan a las empresas y organizaciones a promulgar políticas y controles de cumplimiento para adherirse a los requisitos normativos gubernamentales. Además, generan gastos administrativos adicionales y agotan los recursos del departamento de IT. Lo que esto provoca es que se reduzcan recursos de las actividades cotidianas de IT.

Como tales, las organizaciones admiten los retos a los que se enfrentan los departamentos de IT para lograr un equilibrio entre el cumplimiento y el funcionamiento eficaz. Nuestra encuesta reveló que el 57,2% de las organizaciones cree que la carga del cumplimiento de la normativa informática recae por completo en sus departamentos de IT.

Cumplir los requisitos de cumplimiento informático también requiere una amplia documentación y mantenimiento de registros. Además, es necesario mantener registros precisos y pruebas del cumplimiento de la normativa. Si estas tareas se dejan en manos de los departamentos de IT, se desvía la atención de tareas fundamentales. Por otra parte, el aumento de la carga administrativa de los departamentos de IT dificulta la innovación, la resolución de problemas, el desarrollo y la prestación oportuna de asistencia a clientes y usuarios.

Pero los problemas no acaban ahí. Los esfuerzos de cumplimiento suelen requerir una supervisión y evaluación continuas. Garantizar el cumplimiento supone un esfuerzo continuo que exige adoptar estrategias para agilizar el proceso.

---

Sólo 2 de cada 10 encuestados utilizan procesos de automatización para verificar la conformidad informática

Los resultados de nuestra encuesta indican que sólo 2 de cada 10 (21,6%) encuestados utilizan actualmente procesos automatizados para verificar el cumplimiento. Nuestra encuesta también indica que 4 de cada 10 (38,5%) de los encuestados utilizan procesos manuales para verificar el cumplimiento de IT, mientras que sólo el 15,9% no tiene ningún proceso para verificar el cumplimiento de IT. Este hallazgo pone de relieve un área potencial de mejora en el aprovechamiento de la tecnología para agilizar las actividades de cumplimiento y mejorar la eficiencia.

Al comparar los procesos manuales y automatizados para la verificación del cumplimiento, hay un ganador obvio: el segundo. La automatización agiliza todo el proceso de verificación del cumplimiento informático de principio a fin. Además, la automatización minimiza los errores humanos, reduce los esfuerzos manuales y mejora la precisión y la coherencia.

Las herramientas de automatización para la verificación del cumplimiento informático ofrecen funciones de seguimiento y supervisión. Estas herramientas pueden realizar comprobaciones y auditorías e identificar posibles áreas no conformes que mejorar. Por desgracia, la escasa adopción de estas herramientas supone un obstáculo activo para las empresas y organizaciones. La baja adopción también sugiere que la mayoría de los encuestados confían en los métodos de verificación manual. Por tanto, una solución obvia sería utilizar herramientas de automatización para lograr una mayor eficacia.

Si la automatización ahorra tiempo, los medios manuales sólo cuestan a las organizaciones a corto y largo plazo. Además, los medios de verificación manuales pueden consumir muchos recursos y ser propensos a incoherencias y errores. Por último, los procesos manuales suelen requerir personal dedicado a realizar auditorías, comprobaciones y redactar informes de cumplimiento.

---

1 de cada 3 encuestados afirma que «la falta de herramientas eficaces de información y auditoría» es la principal razón por la que no pueden utilizar el cloud para almacenar datos

Nuestra encuesta indica que 1 de cada 3 encuestados identificó la «falta de herramientas eficaces de informes y auditoría» como la razón principal que les impide utilizar la nube como solución de almacenamiento para sus datos. Este hallazgo arroja luz sobre una preocupación significativa a la que se enfrentan las organizaciones a la hora de considerar la adopción de la nube y pone de relieve la importancia de contar con sólidas capacidades de generación de informes y auditoría en los entornos cloud.

El resultado es preocupante, sobre todo si se tiene en cuenta nuestra encuesta anterior, según la cual el 93% del sector IT adoptará la tecnología cloud en un plazo de cinco años.

Esto no es ninguna sorpresa, teniendo en cuenta que el almacenamiento en la nube es intrínsecamente beneficioso, ya que ofrece accesibilidad remota y escalabilidad y es rentable para las organizaciones. Sin embargo, puede que ahora mismo no sea la mejor opción a la hora de confiar sus datos más sensibles a los proveedores cloud. Para garantizar el cumplimiento de la normativa en este entorno, las organizaciones deben disponer de herramientas adecuadas de información y auditoría, algo que, según nuestra encuesta, no ofrecen los proveedores de servicios cloud.

Sin herramientas adecuadas de auditoría y elaboración de informes, las organizaciones carecen de visibilidad sobre cómo se manejan, procesan y acceden a sus datos en la nube. Además, la protección de datos es otro motivo de preocupación cuando se almacenan datos sensibles en la nube. Ante posibles vulneraciones de datos e incidentes de seguridad, la falta de herramientas de auditoría hace imposible identificar las amenazas y rastrear sus orígenes.

En pocas palabras, no hay forma de investigar posibles violaciones e incidentes, lo que significa que las organizaciones dudan cada vez más a la hora de confiar sus datos más sensibles a los proveedores de servicios cloud. Para hacer frente a estas preocupaciones, los proveedores de servicios cloud deben integrar herramientas de auditoría y elaboración de informes de terceros o desarrollar las suyas propias. De este modo, las organizaciones podrán saber cómo se manejan, acceden, utilizan y modifican sus datos. Además, los proveedores de servicios cloud deben implantar funciones de seguridad que protejan los datos de las organizaciones.

---

4 de cada 5 encuestados afirman que su organización obtendría beneficios entre «moderados» y «enormes» con el uso de herramientas de gestión del cumplimiento más sencillas en Microsoft 365

Los resultados de la encuesta revelan un hallazgo convincente: 4 de cada 5 encuestados creen que su organización experimentaría un beneficio de «moderado» a «enorme» al utilizar herramientas de gestión de cumplimiento más sencillas en Microsoft 365. Este hallazgo pone de relieve el valor percibido y el impacto potencial que estas herramientas pueden tener en la mejora de los esfuerzos de cumplimiento dentro de las organizaciones.

Microsoft 365 es uno de los servicios basados en la nube más populares que las empresas y organizaciones utilizan para mejorar la colaboración y la productividad. Lo utilizan millones de empresas de todo el mundo con efectos diversos. Algunas lo utilizan para compartir documentos, mientras que otras lo utilizan a una escala mucho mayor. Pero Microsoft 365 sí admite la gestión del cumplimiento de IT.

Las herramientas de cumplimiento más populares dentro de la suite Microsoft 365 incluyen el Administrador de Cumplimiento, Auditoría, DLP, eDiscovery y Gestión de Riesgos Internos, entre otros. Nuestra encuesta reveló que el 39,2% de los encuestados no utiliza ninguna herramienta de cumplimiento disponible en la suite Microsoft 365. Por otro lado, el 35,4% utiliza Compliance Manager, el 33,1% utiliza Auditoría, el 28,7% utiliza varias funciones de DLP, el 24,9% utiliza la herramienta eDiscovery, el 16,6% utiliza Insider Risk Management. En último lugar el 2,2% respondió «otros».

Profundizando en las herramientas de cumplimiento nativas de Microsoft, el 51,9% señaló la «falta de conocimientos internos» como el mayor problema para su organización a la hora de utilizar estas herramientas. Un porcentaje ligeramente menor de encuestados, el 43,6 %, señaló la «complejidad» como el mayor problema. Los resultados ponen de manifiesto la necesidad de herramientas de cumplimiento más nuevas y sencillas en Microsoft 365.

Una ventaja que podrían tener las herramientas de cumplimiento más fáciles de usar en Microsoft 365 es la capacidad de agilizar y automatizar los procesos de cumplimiento.

---

1 de cada 4 PYMEs emplea a un responsable de cumplimiento

Nuestra encuesta también recogía información sobre los encuestados, como sus años de experiencia en IT, dónde tienen su sede y el tamaño de la empresa. La encuesta reveló que la mayoría de los encuestados (68,3%) eran empresas de 1 a 50 empleados. Las PYMEs (pequeñas y medianas empresas) se definen como empresas de 1 a 50 empleados. Nuestra encuesta reveló que 1 de cada 4 (27,6%) PYMES emplea a un responsable de seguridad informática dedicado al cumplimiento informático. Por otro lado, 1 de cada 4 (24,5%) grandes empresas no emplea a un responsable dedicado al cumplimiento.

Este hallazgo reveló que el cumplimiento de los reglamentos y normas de IT es un aspecto crítico de las operaciones empresariales, independientemente del tamaño de la organización. Las PYMES, en particular, pueden enfrentarse a retos únicos a la hora de gestionar el cumplimiento, ya que a menudo disponen de recursos, personal y experiencia limitados dedicados a esta función.

A pesar de todo, contratar a un responsable de cumplimiento puede beneficiar a las PYMEs de muchas maneras. En primer lugar, los responsables de cumplimiento son personas con conocimientos actualizados y experiencia en las normas del sector y las mejores prácticas en materia de cumplimiento informático. Además, la función de los responsables de cumplimiento es garantizar que las organizaciones apliquen los requisitos pertinentes aplicables a su sector y las medidas para satisfacerlos.

Los responsables de cumplimiento también se encargan de desarrollar políticas y procedimientos de cumplimiento exclusivos para las necesidades de la organización. Desde los controles internos hasta la realización de evaluaciones de riesgos, los responsables de cumplimiento se están convirtiendo en funciones cruciales en la empresa moderna. En consecuencia, la contratación de un responsable de cumplimiento es una necesidad para las empresas de todos los tamaños.

---

Las grandes empresas tienen más probabilidades de ser sancionadas por incumplimiento de la normativa

Nuestra encuesta sobre el cumplimiento de IT de 2023 reveló que las grandes empresas tienen muchas más probabilidades de recibir sanciones por incumplimiento, entiendiendo por grandes empresas a partir de 1.000 empleados. Según los resultados de nuestra encuesta, el 35,3% de las grandes empresas han sido sancionadas por incumplimiento. En cambio, las PYMEs (1-50 empleados) sólo fueron sancionadas en un 2,8%.

Varios factores contribuyen a la mayor probabilidad de sanciones por incumplimiento entre las grandes empresas. En primer lugar, las grandes organizaciones suelen manejar un mayor volumen de datos y realizan operaciones empresariales más complejas. Con mayores recursos, base de clientes y alcance de mercado, las grandes empresas suelen tener más obligaciones normativas. Cumplir con estas obligaciones puede ser todo un reto y requerir grandes esfuerzos y recursos en materia de cumplimiento.

En segundo lugar, las empresas más grandes tienen más probabilidades de meterse en problemas por incumplimiento debido a la mayor escala de sus operaciones. Las empresas más grandes manejan más operaciones, procesos y, lo que es más importante, sistemas y datos, lo que significa que es más probable que se produzcan errores e incumplimientos que en las empresas más pequeñas. Estos errores y fallos pueden deberse a problemas de comunicación y errores, mala coordinación o supervisión con proveedores externos.

Por último, las organizaciones y empresas más grandes están sujetas a un escrutinio más estrecho por parte de los gobiernos y los organismos reguladores del sector. Las organizaciones más grandes tienen una mayor influencia en el mercado y pueden afectar a los consumidores y a las partes interesadas mucho más que las empresas más pequeñas (PYMEs). La disparidad en la probabilidad de sanciones por incumplimiento entre organizaciones más grandes y pequeñas es de esperar, dada la escala de negocio que procesan este tipo de entidades.

---

Las empresas europeas tienen más probabilidades de ser sancionadas por incumplimiento que sus homólogas norteamericanas.

Nuestra encuesta también profundizó en la naturaleza de las sanciones por incumplimiento en función de la ubicación geográfica de los encuestados. Nuestros resultados mostraron que las empresas europeas tienen más probabilidades de ser sancionadas por incumplimiento, con un 5,2% de ellas ya sancionadas, frente al 2,9% de las empresas norteamericanas. Los resultados de la encuesta mostraron un hallazgo notable que pone de relieve la diferencia en el panorama normativo y la consiguiente aplicación o cumplimiento de la normativa entre las dos regiones.

Aunque no por una diferencia significativa, varios factores contribuyen a la mayor probabilidad de sanciones por incumplimiento para las empresas y organizaciones europeas. El factor más significativo es la aplicación de normas estrictas de protección de datos en la Unión Europea. Por ejemplo, el Reglamento General de Protección de Datos (RGPD) es un marco de protección de datos bien establecido, y la mayoría de las empresas de la Unión Europea deben adherirse a él.

En segundo lugar, los organismos reguladores europeos han adoptado un enfoque proactivo para hacer cumplir estas normas de conformidad, demostrando un firme compromiso para que las entidades rindan cuentas en caso de violación de datos personales.

---

Las empresas norteamericanas confían más en la conformidad de sus organizaciones que sus homólogas europeas.

Según los resultados de nuestra encuesta, las empresas norteamericanas están más seguras de que sus organizaciones cumplen la normativa que sus homólogas europeas, pero sólo por una estrecha diferencia. Los resultados de la encuesta muestran que el 92,7% de las empresas norteamericanas confían en que cumplen la normativa, frente al 87% de las europeas.

Un factor clave incide en la mayor confianza entre los encuestados norteamericanos. América del Norte tiene un panorama regulatorio más unificado, especialmente Estados Unidos, por ser un solo país. En cambio, Europa tiene leyes y reglamentos específicos para cada país en materia de protección de datos. A menudo, ciertas normativas se aplican a países o regiones específicas de Europa. En otros casos, las leyes y normativas de protección de datos de un país no se aplican en otro. Este enfoque dificulta a las entidades europeas el cumplimiento de los requisitos normativos.

En segundo lugar, se percibe que la normativa europea es más estricta que la norteamericana. Esto podría disminuir el nivel de confianza entre las entidades europeas. Sin embargo, cabe mencionar que los niveles de confianza no reflejan el estado real de cumplimiento entre las organizaciones de ambos continentes. Además, las entidades norteamericanas podrían no llegar a cumplir la normativa basándose únicamente en unos niveles de confianza más elevados.

Para saber realmente si estas entidades cumplen las normas, deben evaluar continuamente sus medidas de cumplimiento y asegurarse de que las prácticas pueden prevenir los riesgos que conducen a vulneraciones de datos e incidentes de seguridad.

---

Acerca de los entrevistados en la Encuesta de Cumplimiento 2023 de Hornetsecurity

En cuanto a los años de experiencia en IT, el 51,9% de los encuestados respondió con «21 años o más», el 16,3% con «16-19 años de experiencia», el 13,95% con «11-15 años de experiencia», el 11,1% con «6-10 años de experiencia» y sólo el 6,7% con «1-5 años de experiencia».

Nuestra encuesta también pedía a los entrevsitados información precisa sobre el tamaño de su empresa (número de empleados). La mayoría, el 68,3%, eran empresas de 1 a 50 empleados, mientras que sólo el 8,2% eran empresas de más de 1.000 empleados. Según la encuesta, el 13,5% eran empresas de 51 a 200 empleados, el 6,2% de 201 a 500 y sólo el 3,8% de 501 a 999 empleados.

Por último, en nuestra encuesta también preguntamos a los participantes dónde residían. Europa fue la región dominante, con un 55,3%, Norteamérica, con un 32,7%, Australia y Asia, con un 3,4% y un 2,9% respectivamente, África, con un 2,4%, Sudamérica, con un 2,4% y Oriente Medio, con un 1%.