1. ¿Basta con cumplir la ley?

1.1. ¿De qué va este tema?

«Nosotros cumplimos la ley». Ya, lo fácil es decirlo. Pero.

1. ¿Cómo lo sabes?

2. ¿Quién se encarga?

3. ¿Y si depende de otros?

Vamos a ver qué significa cumplir en el trabajo diario: reconocer obligaciones, tomar decisiones justificadas y organizar quién actúa y quién comprueba.

Este tema tiene una dedicación estimada de unas 9 horas.

1.2. Clases

1.2.1. De la obligación al buen gobierno

1. El ámbito de la ley:

   1. Estamos todos en la misma galaxia (sociedad) 😀

   2. Esta charla (1h) está más centrada en lo penal/criminal, pero es fantástica:

2. ¿A qué nos obliga ley? ¿Que es actuar legalmente?

   1. ¿Evitar multas? ¿Cumplir un contrato? ¿Respetar los protocolos internos?

   2. Cumplir significa (generalmente):

      • Prevenir. Planificar adecuadamente

      • Detectar. Monitorear lo que ocurre

      • Responder. Resolver (o comunicar)

   3. El documento (el papelito) es una cosa y no garantiza que se cumpla. Pero al menos define roles, responsables, procesos, y un marco común (norma) de cumplimiento.

3. ¿De dónde sale la obligación? Hay jerarquías y orígenes diferentes

   Fuente	Qué significa	Ejemplo
   Norma jurídica	Exigencia del ordenamiento dentro de su ámbito de aplicación.	Una administración pública debe aplicar las medidas de seguridad exigidas por el ENS a los sistemas que prestan servicios electrónicos incluidos en su ámbito.
   Contrato	Compromiso pactado entre las partes, dentro de la legalidad.	El contrato con un proveedor cloud establece que el acceso de los administradores debe realizarse mediante cuentas individuales y autenticación multifactor.
   Norma técnica	Referencia de requisitos o recomendaciones técnicas o de gestión.	La empresa adopta ISO/IEC 27001 como marco para implantar su sistema de gestión de seguridad de la información y realizar auditorías internas periódicas.
   Política interna	Regla aprobada por la organización para orientar sus actuaciones.	La política de seguridad de la empresa prohíbe instalar software en los equipos corporativos sin autorización previa del departamento de TI.
   Compromiso voluntario	Compromiso asumido por decisión propia; hay que concretar su alcance.	La empresa publica en su web que notificará a sus clientes los incidentes de seguridad que puedan afectar a sus datos, aunque ese compromiso vaya más allá de lo exigido en determinados casos por la normativa aplicable.

   1. Una misma medida puede tener varias fuentes: un contrato exige cuentas individuales y la política interna desarrolla cómo crearlas y revisarlas.

   2. Una norma técnica no es automáticamente una ley. Puede adquirir relevancia obligatoria si una disposición o un contrato incorpora sus requisitos.

   3. «Voluntario» describe cómo se asumió un compromiso. No significa que, una vez asumido, siempre se pueda ignorar sin consecuencias.

   4. Un contrato o una orden interna tampoco convierten en lícito lo prohibido.

4. Dos referencias que utilizaremos: ENS y NIS2.

   1. El Esquema Nacional de Seguridad (ENS). Regulado por el Real Decreto 311/2022. Relaciona organización, personas y medidas de seguridad.

      • ¿A quien aplica? Organismos públicos (y proveedores). (ENS Art. 2)

      • Una cosa es la ley, y otra las guías (por ejemplo del CCN ) o las instrucciones técnicas para cumplir ENS.

   2. NIS2 es la Directiva (UE) 2022/2555. Trabajaremos sus ideas de gobierno, gestión de riesgos y seguridad de proveedores.

      • ¿A quien aplica? Depende del sector, de su tamaño, de su actividad, de su impacto, de …. No afecta por igual

      • Es normativa europea, por lo tanto también depende de si, por ejemplo en España, hay una normativa específia.

   3. Una buena práctica técnica no garantiza que cumpla la ley (o la normativa o una política interna).

   4. Legalidad (cumplir la normativa) y la ética (lo que consideres bueno o malo): se parecen pero no son idénticos

      1. La legalidad establece obligaciones y límites (para todos y de forma transparente)

      2. La ética profesional ayuda a valorar cómo actuar o analizar el margen de decisión.

      3. Un buen gobierno organiza cómo se decide y cómo se responde por las decisiones:

         Principios de actuación

         Principio	Significado	Ejemplo
         Diligencia	Informarse y comprobar.	No elegir un servicio de copias sin preguntar cómo se recuperan los datos.
         Lealtad	Actuar en interés de la organización.	No favorecer el contrato a mi primo, a costa de los intereses de mi empresa.
         Transparencia	Dar información suficiente y veraz a quien corresponda.	No equivale a publicar contraseñas, datos personales o detalles sensibles.
         Rendición de cuentas	Explicar la decisión, sus razones y sus resultados.	«Lo decidí yo» no explica por qué era una opción adecuada.

   5. Un conflicto de interés es eso que pasa tanto (confundir lo personal con lo profesional)

      • Si una oferta es de mi primo, el conflicto puede existir aunque la oferta sea buena y no se haya cometido ninguna irregularidad (y no tiene porqué estar mal)

      • No pasa nada si lo dices porque, si los criterios son profesionales, no tiene porque importar. Pero ocultarlo impide la comprobación (y es generalmente sospechoso).

   6. Si algo falla, primero identificamos los hechos.

      1. Antes de llegar a la responsabilidad (o al chivo expiatorio 🙃) hay que determinar los hechos.

      2. ¿Qué se exigía, de dónde procedía, quién debía actuar y qué ocurrió?

      3. Los hechos pueden tener consecuencias legales, contractuales, internas o reputacionales.

      4. Lo más grave (generalmente y en empresas serias) es la pérdida de confianza

      5. Para asignar la responsabilidad influyen el rol, las decisiones y el marco aplicable. No tan sencillo (ni fácil)

Para hacer

1. Identifica la fuente indicada en cada afirmación: «lo firmamos con el cliente», «lo aprobó la dirección», «lo establece un real decreto» y «hemos decidido adoptar esta norma ISO». ¿Podrían coincidir varias fuentes?

2. Un proveedor dice: «El ENS es obligatorio para toda empresa que use ordenadores». ¿Es así?

3. El contrato exige cuentas individuales, pero el equipo usa una cuenta compartida. Propón una actuación para prevenirlo, otra para detectarlo y otra para responder si ya está ocurriendo.

4. Debes comparar ofertas de soporte y una pertenece a tu hermana. Es la más barata. ¿Desaparece el conflicto? Explica cómo organizarías la decisión.

5. Un comercial promete «cero incidentes» porque no ha habido ninguno este año. ¿Qué problema de diligencia y transparencia encuentras? Reformula el mensaje.

6. Tras un fallo, la empresa propone publicar todos los registros técnicos para demostrar transparencia. ¿Cómo rendirías cuentas sin divulgar información que deba estar protegida?

1.2.2. Cultura, políticas y estructura

1. ¿De qué sirve una regla si nadie la sigue? ¿O sino tiene consecuencias?

2. La cultura se reconoce en lo cotidiano:

   1. Exigimos seguridad, pero queremos acabar cuanto antes, saltándonos los protocolos.

   2. Te dan la chapa del PowerPoint en el «onboarding», pero ves al jefe (o a la jefa) haciendo lo contrario (ya no te digo a los de RRHH).

   3. Una buena comprobación es preguntar y comunicar problemas (y analizar la respuesta)

   4. Por otra parte, hay procedimientos que no son viables (por recursos, por limitaciones técnicas, por …). Mejor decirlo de una.

3. Sólo existe lo que se documenta (lo que se mide). Cada documento suele tener un ámbito (y objetivo) diferente:

   Documento	Pregunta que responde	Ejemplo
   Código ético	¿Qué principios orientan nuestra conducta?	Una administración pública debe aplicar las medidas de seguridad exigidas por el ENS a los sistemas que prestan servicios electrónicos incluidos en su ámbito.
   Política	¿Qué criterio y compromiso adopta la organización?	El acceso se limita a personas autorizadas según su función.
   Procedimiento	¿Quién hace qué, cuándo y en qué orden?	El responsable solicita el alta, se autoriza, el equipo técnico la ejecuta comprueba que los permisos coinciden con lo autorizado.
   Instrucción	¿Cómo se ejecuta una tarea concreta?	Pasos para crear una cuenta de usuario y asignarle un perfil en el sistema.
   Registro	¿Qué constancia queda de lo realizado?	Solicitud y autorización, perfil concedido, fecha de alta y comprobación.

   1. Los nombres pueden variar entre organizaciones. Lo importante es que esas preguntas tengan respuesta y los documentos sean coherentes.

   2. El registro debe reflejar lo ocurrido: marcar «hecho» sin comprobarlo produce una apariencia de control, no una evidencia fiable.

   3. La política de seguridad del ENS (artículo 12) ofrece un ejemplo concreto: incluye objetivos, marco legal y funciones. No es una lista de comandos ni sustituye todas las demás políticas de cumplimiento de una entidad.

4. Quién decide, ejecuta y comprueba. Una matriz sencilla ayuda a detectar huecos mejor que un organigrama con nombres pero sin tareas.

   Ejemplo de reparto para una baja

   Tarea	Función asignada	Constancia
   Comunicar la salida y su fecha efectiva	Área que gestiona la relación laboral o contractual	Aviso de baja
   Confirmar los accesos afectados	Responsable del servicio, con apoyo técnico	Relación de cuentas y permisos
   Retirar accesos	Equipo de administración de sistemas	Registro de ejecución
   Revisar el resultado y las excepciones	Función de supervisión designada	Comprobación y acciones pendientes

   1. Este es un ejemplo organizativo, no un reparto legal universal de cargos. La dirección debe aprobar el modelo y proporcionar recursos para aplicarlo.

   2. Para una tarea debe saberse quién tiene capacidad de decidir y a quién consultar si hay un problema. «Lo lleva informática» resulta demasiado vago.

   3. La organización de la seguridad en el ENS distingue responsables de información, servicio, seguridad y sistema. Sus funciones no son intercambiables.

5. Aprobar una regla es solo el comienzo.

   1. Comunicar: dónde está la versión vigente y a quién se aplica.

   2. Formar: practicar lo que cada persona debe hacer. Quien solicita un acceso y quien lo configura necesitan conocimientos distintos.

   3. Supervisar: comprobar muestras de actuaciones y tratar las desviaciones.

   4. Revisar: corregir reglas confusas, recursos insuficientes y fallos repetidos.

   5. Escuchar: disponer de vías para consultas e incidencias. Un buzón de soporte no equivale por sí solo a un sistema interno de información regulado legalmente. La obligación de este último se determina según el ámbito aplicable.

6. En NIS2, el artículo 20, Gobernanza, relaciona aprobación de medidas, supervisión y formación de los órganos de dirección de las entidades de su ámbito. La idea organizativa es importante: la dirección también participa.

Para hacer

1. Una persona deja la empresa el viernes. Personal lo sabe, pero sistemas recibe el aviso el martes. ¿Qué conexión falta? Propón una mejora comprobable.

2. La política de accesos está aprobada, pero nadie sabe localizarla. ¿Qué actuaciones faltan antes de afirmar que está implantada?

3. Consulta el artículo 20 de NIS2. Identifica tres acciones relacionadas con la dirección. ¿Bastaría con comprar una herramienta de seguridad?

4. Clasifica: «respetamos la confidencialidad»; «solo se conceden accesos autorizados»; «el responsable solicita y el técnico ejecuta»; «abre la consola y selecciona el perfil»; «alta ejecutada y comprobada el día indicado».

5. Escribe una regla de dos frases para las bajas de acceso y un procedimiento de cuatro pasos que permita aplicarla. Usa los mismos papeles del ejemplo.

6. ¿Qué información guardarías para comprobar una baja? ¿Necesitas guardar también la contraseña del usuario?

1.2.3. Responsable de cumplimiento y terceros

1. ¿Quién se encarga? ¿Y si lo hace otra empresa?

2. La función de cumplimiento (y su responsable):

   1. Identifica y coordina el seguimiento de obligaciones, asesora sobre reglas y procedimientos, promueve formación y supervisa su aplicación.

   2. Informa de incumplimientos y propone mejoras a quienes pueden decidir. Necesita acceso a información, competencias, tiempo y recursos.

   3. Su autonomía permite señalar problemas incluso cuando afectan a quien solicita un trabajo. Sin acceso a dirección, un informe puede quedarse sin respuesta.

   4. No hace todas las tareas ni asume automáticamente todas las responsabilidades. La dirección decide y aporta recursos; las áreas ejecutan sus obligaciones.

3. Cumplimiento, seguridad y sistemas: funciones relacionadas, no sinónimos (ENS Art 13)

   1. La función de cumplimiento puede revisar si existe un proceso adecuado de bajas y si se está siguiendo.

   2. La función de seguridad supervisa los requisitos y medidas de seguridad.

   3. La función de sistemas concreta su implementación y operación diaria.

   4. Muchas veces la función viene de la misma persona, pero los roles son diferentes.

4. No toda organización tiene que crear un puesto denominado «compliance officer». Depende del ámbito, el contexto y los requisitos.

5. ¿Quien vigila al que vigila?

   1. Una máxima en los sistemas de seguridad (no puede depender de una sola persona o sistema)

   2. Aunque sea una organizacion pequeña, siempre mejor una segunda revisión

   3. Y, muchas veces es ideal contratar asesoramiento (y auditorias) externas.

6. ¿Y si dependo de otros? Relaciones con terceros.

   1. Por ejemplos proveedores (administran nuestro servidor), agentes (actúa en nuestro nombre) y subcontratas (hacen parte de nuestro trabajo a un cliente).

   2. Diligencia debida (el sentido común):

      • ¿Qué va a hacer y de qué dependemos?

      • ¿A qué información, sistemas o instalaciones accederá?

      • ¿Qué capacidad y evidencias aporta para cumplir lo acordado?

      • ¿Intervienen otras empresas y cómo se controlan esas relaciones?

   3. Depende del servicio. No es lo mismo comprar papel que contratar acceso remoto de administración a servidores. Sus consecuencias son muy diferentes.

   4. La normativa influye (mucho). Por ejemplo NIS2 incluye la seguridad de la cadena de suministro (NIS2 art. 21.2.d), o vulnerabilidades de proveedores (NIS2 art. 3). ENS contempla la cadena de suministros (ENS art 2.3).

7. La relación tiene un principio, un seguimiento y un final.

   Ejemplo: soporte remoto de servidores

   Momento	Qué concretar	Cómo comprobarlo
   Antes	Servicio, personas autorizadas, permisos, confidencialidad, contacto para incidentes y condiciones de subcontratación.	Oferta contrastada, compromisos contractuales y prueba del acceso acordado.
   Durante	Altas y bajas, cambios, incidencias y cumplimiento del servicio.	Cuentas nominales, registros pertinentes, revisión de incidencias y de cambios de personal o subcontratas.
   Al terminar	Retirada de accesos, devolución o eliminación de información según obligaciones aplicables y continuidad del servicio.	Comprobación de accesos revocados, entrega de documentación y constancia del tratamiento acordado de la información.

   1. Conviene saber a quién avisar y quién decide si un incidente requiere interrumpir un acceso. «Ya nos llamaremos» no define un procedimiento.

   2. Una certificación aporta información, pero hay que comprobar qué entidad, servicio o sistema cubre, con qué alcance y vigencia. Un logotipo en una oferta no demuestra que el servicio contratado quede cubierto.

   3. Tampoco una firma de confidencialidad sustituye las medidas de seguridad: hacen falta compromisos, ejecución y seguimiento.

Para hacer

1. «Ahora que tenemos responsable de cumplimiento, dirección ya no tiene que revisar nada». ¿Qué confusión contiene la frase?

2. El técnico crea sus propios permisos de administrador y firma que son necesarios. ¿Qué separarías o someterías a revisión?

3. Se pide al responsable de cumplimiento que compruebe las bajas, pero no puede consultar registros ni informar a dirección. ¿Qué le falta para actuar?

4. Compara una compra de material de oficina con un contrato de administración remota. Propón tres comprobaciones adicionales para el segundo y explica por qué.

5. El proveedor anuncia una certificación de su centro de datos, pero contratas soporte de tus servidores. ¿Qué preguntarías antes de considerarla suficiente?

6. El contrato termina mañana. Prepara una lista de cinco comprobaciones para cerrar la relación sin dejar accesos abiertos ni interrumpir el servicio.

Contratar no es dejar de supervisar. La organización necesita comprobar que lo acordado sigue funcionando durante toda la relación.

1.2.4. Del compromiso a la práctica

¿Cómo sabemos que lo que decimos se cumple?

1. Sigue el recorrido completo, recuperando el ejemplo de los accesos:

   1. Obligación: el contrato exige acceso limitado al personal autorizado.

   2. Decisión: la dirección asigna recursos y responsabilidades para cumplirlo.

   3. Regla: cada cuenta debe tener una persona, una autorización y un alcance.

   4. Actuación: se conceden los permisos aprobados y se retiran cuando dejan de ser necesarios.

   5. Comprobación y evidencia: alguien revisa que lo ejecutado coincide con lo autorizado; quedan registros fiables y se corrigen las diferencias.

2. Busca el eslabón que falta.

   • Si no sabemos qué exige el contrato, falta identificar la obligación.

   • Si existe una política pero nadie retira accesos, falta ejecución o asignación.

   • Si se retiran pero nadie lo comprueba, no sabemos si el resultado es correcto.

   • Si se conserva un registro sin relación con las cuentas reales, la evidencia no permite sostener la conclusión.

   El glosario del ENS define trazabilidad en relación con atribuir las actuaciones a una entidad. Las cuentas nominales y registros adecuados ayudan a ello. También necesitamos poder explicar por qué se autorizó cada actuación.

Para hacer

Una empresa declara que controla el acceso de sus proveedores. Sin embargo, todos usan la cuenta «soporte», nadie conserva las autorizaciones y la cuenta Sigue funcionando después de terminar el contrato. El equipo dice que «nunca ha pasado nada». No dispones de más información.

1. Identifica tres contradicciones entre la declaración y los hechos.

2. Propón una regla, un reparto de tareas y una comprobación que permitan corregirlas.

3. ¿Qué información pedirías antes de afirmar que se ha incumplido una ley?

4. ¿Por qué «nunca ha pasado nada» no demuestra que el control funcione?

Para comprobar

1. No hay identificación individual, no se puede comprobar la autorización y el acceso continúa sin la relación contractual que lo justificaba.

2. Regla: acceso nominal, autorizado y limitado al servicio. El responsable del servicio confirma la necesidad; sistemas ejecuta altas y bajas; supervisión contrasta cuentas con autorizaciones y fechas de finalización. La retirada debe coordinarse con la continuidad del servicio.

3. Actividad, sistemas afectados, ámbito normativo, contratos y políticas. Podemos diagnosticar debilidades con los hechos dados, pero no inventar una infracción legal concreta ni atribuir responsabilidades sin fundamento.

4. Puede no haberse detectado un uso indebido. La ausencia de incidentes conocidos no sustituye la comprobación del control.

En el siguiente tema, /cursos/sistema_cumplimiento_riesgos, organizaremos este recorrido como un sistema: obligaciones, riesgos, controles y documentación.

Test de autoevaluación

Disponible el 31 de Octubre (o antes)

Actividad final integradora

Disponible el 31 de Octubre (o antes)

—