¿Para qué me sirve esta actividad? 📚
Esta actividad te ayudará a centralizar, identificar y evaluar todas las leyes, regulaciones, normativas de industria y acuerdos comerciales con clientes o proveedores que obligan a tu empresa a mantener la continuidad de sus operaciones y la protección de su información.
Esta matriz tiene como finalidad principal definir el marco normativo al que está sujeta tu organización y registrar la evidencia objetiva de cómo estás cumpliendo con cada una de esas obligaciones.
Además, puede demostrar a auditores que tu SGCN no opera de forma aislada, sino que respeta el marco legal aplicable de tu país o sector (como leyes de protección de datos, regulaciones financieras o normativas de protección civil) y los Acuerdos de Nivel de Servicio (SLA) firmados con tus clientes.
¿Qué tengo que hacer? 🚀
💡Esta actividad requiere revisar el entorno legal y comercial en el que opera tu negocio, por lo que es de suma importancia asegurar que esté correctamente alineado al contexto real de tu organización.
Nuestro template corresponde a una matriz donde debes documentar los requisitos aplicables a la realidad geográfica, sectorial y operativa de tu empresa. Al trabajarlo, te recomendamos primero leerlo en su totalidad para así comprender la información que deberás documentar posteriormente. Y para completarlo de forma adecuada, te recomendamos considerar lo siguiente:
Identificación de requisitos legales y regulatorios.
Incluye leyes, reglamentos, normas sectoriales, obligaciones regulatorias, contratos, acuerdos de confidencialidad, acuerdos de procesamiento de datos, acuerdos de nivel de servicio u otros compromisos relevantes.
Recuerda que el listado mostrado en el template no es limitativo. Si una regulación o contrato aplicable a tu organización no aparece ahí, debes ingresarlo manualmente.
Inclusión de requisitos contractuales (clientes y proveedores).
Revisa los contratos u órdenes de servicio vigentes con tus clientes más importantes.
Si tus clientes te exigen requisitos de continuidad, recomendamos registrarlos como un requisito contractual en esta matriz, como por ejemplo:
Disponibilidad del servicio del 99.9%.
Contar con un Plan de Recuperación ante Desastres (DRP).
Restablecer el servicio en menos de 4 horas.
Incluye también las obligaciones de continuidad pactadas con tus proveedores clave (SLA de soporte de nube, data centers, etcétera).
Completa el emisor, autoridad o contraparte.
Para requisitos legales o regulatorios, identifica el organismo, autoridad o entidad que emitió la norma.
Para contratos, acuerdos o documentos privados, indica la contraparte contractual o las partes firmantes, según corresponda.
Esto permite conocer con quién debes dirigirte, en caso de que se requiera realizar algún acercamiento, contacto o comunicación con dichas partes.
Identifica el artículo, cláusula, control o requisito específico.
Indica el número de artículo, cláusula contractual, capítulo, sección, control o apartado aplicable.
Si una norma o contrato completo aplica a tu empresa, puedes indicarlo de forma clara, por ejemplo: “Aplicación general” o “Todo es aplicable”.
Evita registrar únicamente el nombre de una ley sin identificar qué obligación concreta debe cumplirse.
Evidencia de cumplimiento.
Para cada ley o contrato registrado, debes indicar en la columna "Evidencia de cumplimiento" el cómo demuestra tu empresa que está acatando dicha obligación internamente y con apoyo de la implementación del SGCN. Por ejemplo:
(Legal): Si una ley exige contar con planes de emergencia y evacuación, tu evidencia documental principal será el Plan de Continuidad.
(Contractual): Si un cliente exige un RTO de 4 horas para tu plataforma, tu evidencia principal será el Análisis de Impacto en el Negocio (BIA), tu Plan de Recuperación ante Desastres y/o la Prueba de Continuidad correspondiente a dicha plataforma, donde se demuestre la restauración en ese tiempo.
Periodicidad de actualización.
Si bien este documento debe construirse durante el diseño e implementación del SGCN, se recomienda revisar y actualizar cada vez que se promulgue una nueva ley relevante para tu industria, cambie la regulación nacional o se firmen contratos con clientes que incluyan nuevos compromisos de continuidad o ciberseguridad.
Completa el versionado del documento.
Al finalizar, completa la información de código de documento, elaboración, aprobación, fecha y clasificación de la información.
Considera clasificar este documento como información confidencial u organizacional, ya que puede incluir obligaciones regulatorias, contratos y evidencias internas.
Nuestro template ya está estructurado con campos para registrar requisitos, autoridades, cláusulas y evidencias de cumplimiento, pero recuerda que es de suma importante ajustarlo al contexto real de tu empresa.
💡Los pasos a seguir para terminar la actividad dentro de la plataforma son los siguientes:
Una vez que nuestro equipo haya aprobado la actividad, debes subir el documento final en versión PDF (no editable).
Posteriormente, debes subir la evidencia de su aprobación.
Recomendamos que esta evidencia sea a través de una minuta de sesión de comité (en ese caso, debes subir el documento en PDF de la minuta), o con una captura de pantalla de la respuesta explícita de quién o quiénes lo aprobaron.
Esto debe realizarse por algún medio de comunicación interno de la empresa, como Slack, Teams o el correo electrónico organizacional.
O también puedes utilizar la funcionalidad de aprobación que tiene la plataforma Hackmetrix.
Y por último, debes subir la evidencia de su comunicación.
Al igual que la aprobación, la comunicación del documento puede ser por cualquier medio formal interno de la empresa. Y para esto, debes subir una captura de pantalla donde se muestre que el documento fue comunicado a todos los colaboradores interesados.
O también puedes utilizar la funcionalidad de comunicación que tiene la plataforma Hackmetrix.
Recomendaciones ✅
Involucra al equipo jurídico o de cumplimiento legal desde el inicio; ellos conocen con precisión la legislación vigente aplicable a tu modelo de negocio.
Asegúrate de que los tiempos de recuperación, SLAs y disponibilidad, etcétera, comprometidos en tus contratos comerciales coincidan o estén alineados con lo declarado en el resto de procedimientos de continuidad.
Incluye leyes que tengan un impacto real en tus operaciones, y para las cuales cuentes con alguna evidencia de cumplimiento verificable.
Designa un responsable para monitorear cambios legales, regulatorios o contractuales que puedan afectar el alcance del SGCN.
Cuando exista una brecha de cumplimiento, vincúlala con el análisis de riesgos, el plan de tratamiento o la acción correctiva correspondiente.
¡Califica este artículo 👇, esto nos ayudará a mejorar nuestro contenido para ti! También puedes contactarnos por correo electrónico o a través de la plataforma, y te brindaremos la atención que necesites.