La disciplina de gobernanza, gestión de riesgos y cumplimiento (GRC) en seguridad de la información determina cómo una organización protege su información, verifica la eficacia de dicha protección y demuestra su cumplimiento ante terceros. Por lo general, un equipo de GRC no configura cortafuegos ni escribe código; su función consiste en establecer directrices, evaluar riesgos y recopilar evidencias.
Esto es fundamental porque las herramientas de seguridad por sí solas no generan confianza. Los clientes solicitan pruebas, los organismos reguladores exigen rigor y los líderes necesitan saber qué riesgos requieren inversión. GRC transforma el trabajo técnico en decisiones y registros fiables.
Cada letra de las siglas GRC responde a una pregunta distinta:
En conjunto, generan garantías (assurance), es decir, la confianza fundamentada de que existen controles y de que estos funcionan correctamente. A continuación, relacionamos cada área con los entregables que suele generar:
El equipo de GRC rara vez ejecuta directamente el trabajo que supervisa; depende de otros equipos para llevarlo a cabo, por lo que las relaciones son fundamentales para su labor.
Tomemos como ejemplo las revisiones de acceso, en las que los gerentes confirman qué usuarios aún requieren acceso a determinados sistemas. GRC define el requisito y supervisa su cumplimiento. TI ejecuta el proceso y extrae las listas de usuarios. Ingeniería ajusta los accesos en sus propios sistemas. Los departamentos legal y de privacidad asesoran sobre las obligaciones relativas a los datos. Posteriormente, Auditoría Interna verifica que el proceso se haya realizado. El departamento de compras incorpora a proveedores que requieren someterse al mismo nivel de escrutinio. Así es como se distribuyen las responsabilidades para este control específico: