En alguna reunión de directorio de los últimos años, alguien dijo algo parecido a esto: "Ya tenemos al equipo de ciberseguridad encargado de los datos, así que el tema de gobierno de datos está cubierto." O la variante inversa: "Hemos contratado un Data Officer para gestionar la información, así que la seguridad de los datos también queda bajo su responsabilidad."
Ambas frases son erróneas. Y el costo de ese error no es teórico: se traduce en brechas de gobernanza reales, en datos que nadie protege porque todos asumen que alguien más lo hace, y en decisiones de inversión mal distribuidas entre dos dominios que se parecen en la superficie pero que operan con lógicas completamente distintas.
Esta semana voy a desarmar la confusión. Hoy empiezo por el nivel más alto: qué es cada cosa, por qué se confunden y cuál es el costo real de no distinguirlas.
Dos disciplinas, dos preguntas distintas
La forma más directa de separar ambos conceptos es por la pregunta que cada uno responde.
El gobierno de datos responde a: ¿qué datos tiene la organización, quién es responsable de cada conjunto de datos, con qué calidad se mantienen, cómo se clasifican, durante cuánto tiempo se retienen y de qué forma se usan para generar valor? Es una disciplina de gestión de activos de información: su foco es la disponibilidad, la calidad, la privacidad y el ciclo de vida del dato como recurso estratégico del negocio.
La ciberseguridad responde a: ¿cómo se protegen esos datos, los sistemas que los alojan y las redes que los transportan frente a amenazas internas y externas? Es una disciplina de gestión de riesgos tecnológicos: su foco es la confidencialidad, la integridad y la disponibilidad de la información frente a actores adversarios, fallos técnicos y errores humanos.
Son complementarias, se necesitan mutuamente y comparten vocabulario. Pero no son lo mismo. El gobierno de datos sin ciberseguridad sabe qué datos tiene la organización y quién los posee, pero no los protege. La ciberseguridad sin gobierno de datos protege sistemas sin saber qué información crítica contienen ni quién debería tener acceso a ella. Las dos brechas son costosas; la combinación de ambas es una receta para el incidente que nadie puede contener porque nadie tiene el mapa completo.
¿Por qué la alta gerencia los confunde?
La confusión no es arbitraria. Tiene razones estructurales que vale la pena entender porque son las mismas razones que perpetúan el problema.
La primera razón es que ambas disciplinas hablan de "datos" y "información" como objetos centrales de su trabajo. Para un directivo sin formación específica en ninguna de las dos, escuchar que tanto el Data Officer como el CISO trabajan con datos genera la inferencia natural de que hacen lo mismo. La terminología compartida oculta las diferencias de foco, metodología y objetivo.
La segunda razón es que en muchas organizaciones de la región, especialmente las medianas, ninguna de las dos disciplinas tiene un rol formal dedicado. El gobierno de datos lo hace "alguien de TI" o "el área de calidad" o "el equipo de BI" según quién tenga más cercanía al problema en ese momento. La ciberseguridad la maneja el IT Manager, el encargado de infraestructura o un proveedor externo. Cuando ninguna tiene un dueño claro, la confusión entre ambas no genera fricción visible, hasta que genera un incidente.
La tercera razón es la más estructural: la alta gerencia frecuentemente recibe reportes consolidados de "gestión de la información" que mezclan indicadores de gobierno de datos (calidad, disponibilidad, cumplimiento normativo de datos) con indicadores de ciberseguridad (incidentes, vulnerabilidades, cobertura de controles). Cuando los dos dominios llegan mezclados en el mismo reporte, la conclusión natural es que son el mismo dominio.
Las consecuencias concretas de no distinguirlos
Cuando una organización no distingue claramente entre gobierno de datos y ciberseguridad, hay consecuencias predecibles que no siempre son visibles hasta que ya tienen costo.
Los datos críticos quedan sin clasificar y sin custodio. Si nadie sabe qué datos son sensibles, quién los posee y qué nivel de protección requieren, la ciberseguridad no puede priorizar correctamente qué activos proteger primero. En el caso del ransomware de TechCorp Latam, parte de la dificultad para evaluar el daño fue precisamente esa: no había un inventario claro de qué datos estaban en qué servidores, quién era responsable de cada conjunto y cuál era su criticidad para el negocio. La respuesta al incidente tuvo que hacerse sin ese mapa.
Los controles de acceso quedan mal calibrados. El gobierno de datos define quién debería tener acceso a qué información según su rol y sus responsabilidades. Sin esa definición, el equipo de ciberseguridad implementa controles de acceso genéricos que no reflejan la realidad del negocio. El resultado es el patrón que describimos la semana pasada: accesos privilegiados acumulados sin revisión, cuentas con permisos que ya no corresponden al rol actual del usuario, principio de mínimo privilegio imposible de aplicar porque nadie ha definido qué privilegios mínimos son los correctos para cada función.
El cumplimiento normativo queda en tierra de nadie. Regulaciones como la Ley 19.628 en Chile sobre protección de datos personales, o marcos internacionales como GDPR, requieren tanto gobierno de datos (¿qué datos personales tenemos y cómo los usamos?) como ciberseguridad (¿cómo los protegemos?). Cuando los dos dominios están confundidos en una sola responsabilidad no claramente definida, el cumplimiento normativo tiende a ser parcial: bueno en documentación, débil en implementación técnica, o viceversa.
¿Qué necesita cada disciplina para funcionar bien?
El gobierno de datos necesita un dueño con autoridad sobre la definición de qué datos son críticos, cómo se clasifican, quién puede acceder a ellos y durante cuánto tiempo se retienen. Ese rol puede llamarse Chief Data Officer, Data Steward o simplemente el gerente funcional con mandato explícito sobre los datos de su área. Lo que no puede ser es un rol implícito que nadie ha nombrado formalmente.
La ciberseguridad necesita ese inventario de datos clasificados para poder priorizar correctamente qué activos proteger, con qué nivel de control y bajo qué marco, sea CIS Controls, NIST CSF 2.0 o ISO 27001. Sin la clasificación de datos que provee el gobierno de datos, la ciberseguridad opera con un mapa incompleto del territorio que tiene que defender.
La intersección entre ambas disciplinas, que es real y necesaria, es el punto donde la clasificación de datos informa las políticas de control de acceso, donde los requisitos de retención de datos determinan la arquitectura de los backups, y donde las obligaciones de notificación ante incidentes conectan la respuesta técnica del equipo de ciberseguridad con las obligaciones legales que el área de gobierno de datos necesita cumplir.
Esta semana voy a desarrollar cada una de esas dimensiones. Mañana: qué es realmente el gobierno de datos, cuáles son sus componentes concretos y dónde termina su responsabilidad. El miércoles: dónde empieza la ciberseguridad y qué pasa cuando nadie define ese límite. El jueves: el caso de TechCorp Latam. El viernes: cómo construir la conversación correcta entre el Data Officer y el CISO.
Esta semana: gobierno de datos vs. ciberseguridad
Suscríbete al newsletter Cybersecurity Insights en LinkedIn para recibir cada entrega de la semana directamente.
#GobiernoDeDatos #Ciberseguridad #DataGovernance #CIO #ITManager #Fortinet #Cisco #WatchGuard #ISO27001 #NISTCSF #GestiónDeRiesgos #Directorio #CyberLeadership #Chile #Estrategia
Comentarios
Publicar un comentario