LA EXPOSICIÓN DE DATOS DE FACEBOOK OFRECE UNA LECCIÓN CRÍTICA PARA LOS AUDITORES INTERNOS

Estándar

Los blogs del Auditor Interno reflejan las opiniones y opiniones personales de los autores. Estas opiniones pueden diferir de las políticas y declaraciones oficiales del Instituto de Auditores Internos y sus comités y de las opiniones respaldadas por los empleadores de los blogueros o los editores del Auditor Interno.

08 de abril de 2019

Facebook, una vez que el favorito de los medios sociales que no podían hacer nada mal a los ojos de los usuarios e inversores, se vio afectado recientemente por otro revés. Los investigadores de una empresa de ciberseguridad descubrieron que la información de los usuarios de Facebook está disponible en los servidores de computación en la nube que ejecuta  Amazon . com .

La revelación se produce un año después de que Facebook fue criticado por el escándalo de Cambridge Analytica, donde un desarrollador de aplicaciones compartió datos de millones de usuarios de Facebook con una consultora política. A pesar de las seguridades del CEO de Facebook, Mark Zuckerberg, de que la compañía haría más para proteger los datos de los usuarios, siguen faltando errores como el de Amazon.

Desde una perspectiva de auditoría interna, los problemas de Facebook ofrecen una lección clara y convincente: los datos, una vez vistos únicamente como un activo que debe aprovecharse, ahora también deben verse como una posible responsabilidad o riesgo. La demanda está creciendo para una mayor protección de los datos, o más precisamente, para proteger la información de identificación personal que hace que dicha información sea un tesoro para los vendedores, minoristas, campañas políticas y otros que quieran influir en lo que el público piensa y hace.

Más gobiernos están considerando la legislación que requiere que los agregadores de datos protejan los datos y garanticen la privacidad. Una encuesta reciente del IBM Institute of Business Value deja claro que el público también está exigiendo responsabilidad.

Tres cuartas partes de los encuestados en la encuesta de IBM dijeron que no confían a las empresas con sus datos. Además, el 87 por ciento dijo que los gobiernos deberían regular las compañías que administran datos personales, y el 40 por ciento dijo que los ejecutivos de nivel C deberían ser multados o encarcelados por no hacerlo (consulte “La ansiedad por los datos del consumidor” ).

En resumen, los datos han adquirido un personaje de Dr. Jekyll y Mr. Hyde. La minería y el análisis de datos es un paso fundamental en las decisiones estratégicas de negocios. Ayuda a las empresas y organizaciones a construir modelos basados ​​en información histórica para predecir el comportamiento futuro. Pero una mala gestión de los datos y el hecho de no entender lo que nos dice es un riesgo. Ese riesgo se vuelve más claro y complejo cuando no proteger los datos daña la reputación de la organización. De hecho, el 70 por ciento de los jefes de auditoría que respondieron a la  encuesta de Auditoría Interna El Pulso de la Auditoría Interna 2019 de The IIA  mencionaron los daños a la reputación de una violación de datos como su mayor preocupación de seguridad cibernética.

Los auditores internos deben cultivar y mantener un profundo entendimiento de cómo sus organizaciones recopilan, administran, protegen, usan y comparten datos. También deben controlar las prácticas actuales y pasadas sobre el uso y almacenamiento de datos. Sin duda, la lista de áreas donde la auditoría interna puede proporcionar seguridad sobre los datos es significativa.

El cumplimiento . Las nuevas regulaciones de protección de datos, desde la Regulación de protección de datos global en Europa hasta la nueva Ley de privacidad del consumidor de California que entrará en vigencia el próximo año, están creando rápidamente una compleja red de riesgos de cumplimiento relacionados con la protección de datos. La auditoría interna debe estar al tanto de estas regulaciones, así como de cualquier nueva regulación potencial, y proporcionar información y previsión sobre los pasos que las organizaciones deben tomar para cumplir.

Operacional. Las políticas y los procesos que abordan cómo se recopilan, administran y protegen los datos ofrecen muchas oportunidades para brindar seguridad. Un área clave relacionada con la protección de datos es cómo se comparte interna y externamente. Para muchas organizaciones, las políticas y los procesos diseñados para proteger los datos son secundarios a los diseñados para monetizarlos, lo que aumenta el riesgo de violaciones de datos.

Estratégico. Los tableros y las suites C toman decisiones estratégicas de negocios basadas en muchos factores, incluido el análisis de datos. La auditoría interna debe proporcionar seguridad sobre la exactitud de los datos y sobre el proceso de análisis en sí.

Cultura. Este es uno de los aspectos más difíciles y menos obvios del riesgo de datos. La auditoría interna debe comprender cómo el enfoque de una organización y las decisiones que se toman sobre los datos influyen en las operaciones diarias. Además, los auditores deben comprender la capacidad de la organización para adaptarse a las necesidades cambiantes de datos. La cultura a menudo se define como “cómo hacemos las cosas aquí”. Si “cómo hacemos las cosas” no tiene en cuenta la necesidad de proteger los datos, también tenemos un problema cultural.

Una encuesta de Gartner realizada en 2018 encontró que más del 87 por ciento de las organizaciones están clasificadas como con bajo nivel de inteligencia empresarial y analítica. Esto no solo crea obstáculos para las organizaciones que desean aumentar el valor de sus activos de datos y explotar tecnologías analíticas emergentes, sino que también sugiere que existe poca comprensión de las implicaciones legales y éticas del uso de datos.

Claramente, hay mucho que la auditoría interna puede ofrecer en relación con los datos. Los CAE deben hablar con franqueza ante las juntas y la administración ejecutiva sobre el valor de la garantía en cada una de las áreas que se describen aquí y estar preparados para brindar esa seguridad cuando surja la oportunidad.

SOBRE EL AUTOR

Richard F. Chambers, CIA, QIAL, CGAP, CCSA, CRMA, es presidente y CEO de The IIA. En Chambers on the Profession , comparte sus reflexiones e ideas personales en base a sus 40 años de experiencia en la profesión de auditoría interna.