¿Qué son las regulaciones específicas de la industria?

Específico de la industria regulaciones, como HIPAA y PCI DSS, además de la GDPR intersectorial, son normas de protección de datos. La mayoría se aplican a sectores específicos, como la atención médica y las finanzas. El objetivo principal es proteger los datos sensibles; las leyes variarán según los requisitos de la industria.

• HIPAA (Ley de Portabilidad y Responsabilidad del Seguro Médico): Específico para la industria de la salud; diseñado para la protección de datos de salud del paciente.
• PCI DSS (Estándar de seguridad de datos de la industria de tarjetas de pago): Un estándar de la industria de tarjetas para cualquier empresa que acepte tarjetas; diseñado para la protección de los datos del titular de la tarjeta durante las transacciones.
• RGPD (Reglamento General de Protección de Datos): Aplicable a todos los estados miembros de la UE y rige la recopilación y el procesamiento de datos. También se aplica a los miembros no pertenecientes a la UE del EEE (Noruega, Islandia y Liechtenstein).

El cumplimiento normativo es una guía para tus marcos de seguridad. Debes cumplir con los requisitos reglamentarios de ciberseguridad implementando controles de seguridad y pensando en tus políticas. 

Es vital que cumplas con las regulaciones para evitar amenazas de ciberseguridad, como violaciones de datos, y posteriormente evitar las implicaciones financieras y de reputación.

• HIPAA: Para la industria de la atención médica y se centra en la protección de la información de salud del paciente, siendo la privacidad y la confidencialidad los dos aspectos centrales.
• PCI DSS: Un estándar de la industria de tarjetas que exige a los proveedores proteger los datos de los titulares de tarjetas durante las transacciones; lo necesita para prevenir el fraude y para la seguridad de los datos. Esta norma se aplica a todas las entidades que manejan datos de titulares de tarjetas.

Conoce las diferencias entre estos dos para asegurarte de que te concentras en lo que se aplica a tu industria y modelo de negocio.

Cumplir con HIPAA o GDPR no cubre PCI DSS: una clínica o tienda online que acepta tarjetas también debe cumplirlo, ya que se aplica a toda entidad que almacena, procesa o transmite datos de titulares de tarjetas (PCI SSC).

Cumplimiento de HIPAA para SaaS significa proteger el procesamiento y almacenamiento de datos PHI en sus aplicaciones basadas en la nube. Esto incluye:

• Cifrado de datos
• Controles de acceso
• Pistas de auditoría
• Acuerdos de asociados comerciales con clientes

Puede empezar por examinar las funciones de personalización de su proveedor SaaS y implementando los controles de seguridad necesarios.

PCI-DSS exige mantener un entorno seguro al manejar información de tarjetas de pago, y su intención es prevenir el fraude. PCI DSS es un estándar de la industria más que una ley: el PCI Security Standards Council, que lo respalda, fue fundado en 2006 por American Express, Discover, JCB International, Mastercard y Visa (PCI SSC). el estándar fue creado por compañías de tarjetas de crédito y le exige lo siguiente:

• Segura su red: Protege los datos almacenados y cambia tu configuración predeterminada. También necesitas instalar firewalls.
• Proteger los datos del titular de la tarjeta: La seguridad de los datos del titular de la tarjeta abarca cifrar datos durante la transmisión y evitar el almacenamiento de ciertos datos sensibles; las desviaciones de estas prácticas pueden resultar en incumplimiento.
• Mantén la seguridad: Usa software antivirus y mantén tus sistemas y aplicaciones actualizados.
• Control de acceso: Establezca parámetros de acceso de usuario y asigne identificaciones únicas a cada persona dentro de la nube.
• Monitoreo y pruebas: Pruebe sus medidas de seguridad y realice un seguimiento del acceso para evitar infracciones.
• Política de seguridad: Elabore una política de seguridad y revísela con frecuencia para realizar cambios.

Siga estos pasos para el cumplimiento del RGPD de SaaS:

• Minimización: Recopile solo los datos personales necesarios y solo almacénelos durante el tiempo que los necesite.
• Consentimiento: Tenga una base legal, como el consentimiento o un contrato, antes de recopilar o procesar datos (GDPR Article 6).
• Derechos del interesado: Dar acceso a los individuos a sus datos y permitirles rectificarlos y borrarlos si lo desean.
• Protección de datos por diseño: Considerar la privacidad durante la fase de diseño de su producto.
• Notificación de violación de datos: Informe las infracciones a su autoridad de control en un plazo de 72 horas a menos que sea poco probable que pongan en riesgo a las personas, e implemente medidas para minimizar sus efectos.

Independientemente de dónde opere en la UE, el RGPD es obligatorio. Los países vecinos, como el Reino Unido y Suiza, también tienen sus propias leyes que cumplir.