El 73% de las organizaciones desconoce la cuantía de las multas a las que se expone si incumple el GDPR, según Trend Micro

El GDPR es un intento único por actualizar y armonizar las leyes de privacidad de datos de los 28 estados miembros de la UE y adecuarlas a la era digital, pero las empresas siguen sin careciendo de una orientación específica sobre cómo “se deben proteger los datos de todos en todas las transacciones”, lo que genera incertidumbre respecto a cuál es el mejor enfoque y cómo comenzar.

En el caso de España, los consejos de administración no están tratando el GDPR con la seriedad requerida, lo que conlleva a que haya un exceso de confianza en lo que respecta al cumplimiento. Esta es la principal conclusión que se extrae del último estudio que Opinium Research ha realizado para Trend Micro, y en el que se ha encuestado a más de 1.000 responsables de la toma de decisiones de TI de empresas de todo el mundo.

La investigación pone de manifiesto que existe un buen conocimiento de los principios sobre los que se sustenta el GDPR, con el 100% de los directivos españoles encuestados sabiendo que debe cumplir con la regulación, y prácticamente la mayoría asegura haber leído sus requisitos (95%). Además, el 82% de las empresas nacionales está convencida de que sus datos están tan seguros cómo es posible, frente al 79% de la media global.

A pesar del alto grado de concienciación percibida, existe cierta confusión sobre lo que constituyen los 'datos personales' que se necesitan proteger. De los participantes en el estudio en España, el 68% no sabía que la fecha de nacimiento de un cliente se debe considerar como un dato personal, lo que contrasta con que solo una cuarta parte (24%) de los líderes empresariales españoles no clasificaría las bases de datos de email marketing como datos personales; incrementándose la proporción a tres de cada diez (29%) en el caso de una dirección postal; y a casi uno de cada diez (15%) si hablamos de la dirección del correo electrónico de un cliente. Con esta información sin proteger, las empresas están poniendo en bandeja a los hackers los motivos para cometer robos de identidad. Por tanto, cualquier organización que no esté protegiendo correctamente su información corre el riesgo de ser multada.

Por tanto, las compañías de España confían más en sus defensas que sus homólogas de otros países, y también se toman la delantera en su capacidad para identificar datos personales. Según la media global que arroja el estudio, seis de cada diez empresas (64%) no considerarían la fecha de nacimiento de un cliente como dato personal, lo que les coloca 4 puntos por detrás de España. Además, cuatro de cada diez (42%) no clasificarían las bases de datos de email marketing como datos personales, es decir, 18 puntos por detrás de los líderes empresariales españoles.

Por su parte, el 90% de las compañías participantes en el estudio afirma contar con un proceso formal para notificar a la autoridad de protección de datos un incidente de seguridad dentro del plazo de las 72 horas que marca la nueva ley. Sin embargo, el 25% de las que han confirmado disponer de este protocolo dice que evita notificar a los clientes la existencia de una brecha de seguridad.

David Sancho, responsable de investigación y José Battat, director general de Trend Micro Iberia.

Cuando se trata de sanciones, las empresas españolas podrían recibir una sorpresa. Tres cuartos (73%) desconocen la cuantía de la multa a la que se podrían enfrentar, y solo una cuarta parte (27%) reconoce que podrían ver sacrificada entre el 2% y el 4% de su facturación anual global. Si bien el promedio mundial no parece mucho más prometedor, pues la investigación apunta a que el 66% de los encuestados no parece estar preocupado por la cantidad con la que podría ser sancionado, mientras que un tercio (33%) conoce las multas que conlleva la nueva ley.

En España el 20% de las empresas afirma que una multa “no les importaría o no les causaría demasiado inconveniente”, pero estas actitudes pueden cambiar una vez que estén al tanto de las verdaderas consecuencias financieras de una infracción, llegando a provocar incluso el cierre del negocio.

Cuando se les preguntó cuál sería el mayor impacto en caso de incumplimiento, el 82% de las organizaciones en España cree que la reputación y el daño al valor de la marca son el mayor obstáculo en caso de incumplimiento, y algo más de la mitad (52%) aseguró que tendría un mayor impacto entre los clientes existentes. El 30% afirmó temer que las perspectivas de nuevo negocio se vieran afectadas, mientras que 17% considera que la multa tendría el mayor impacto.

“La falta de conocimiento en lo que rodea al GDPR que han demostrado las organizaciones en este estudio es asombrosa. Las fechas de nacimiento, las direcciones de email, las bases de datos de marketing y las direcciones postales son información crítica de los clientes, y es preocupante que todavía existan tantas compañías españolas no lo sepan, a pesar de que se muestren tan confiadas”, explica David Sancho, responsable de Investigación de Trend Micro en Iberia. “Si las empresas no protegen esta información, no están respetando una normativa inminente, ni a sus clientes, por tanto, indudablemente no están listos para cumplir con el GDPR”.

Pero la confusión no termina aquí. Trend Micro preguntó a las empresas españolas sobre quién debería rendir cuentas ante una pérdida de datos de la UE por parte de un proveedor de servicios estadounidense. Solo una cuarta parte (25%) de los directivos entrevistados ha sabido identificar correctamente que la responsabilidad recae en ambas partes, un porcentaje mejor que la media global (14%). El 43% de las organizaciones de nuestro país piensa que la multa recaerá en el propietario de la información de la UE, mientras que algo más de una cuarta parte (28%) cree que solo el proveedor de servicios de EE UU tendría la culpa.

Llama la atención también que las empresas en España tampoco están seguras de quién debería hacerse cargo de garantizar el cumplimiento de la regulación. De los encuestados, el 22% cree que el CEO debe ser responsable de liderar el cumplimiento del GDPR, mientras que el 12% de los participantes considera que debe ser el CISO y su equipo de seguridad quienes deberían tomar la iniciativa. Sin embargo, solo el 12% de esas organizaciones cuenta realmente con un alto ejecutivo involucrado en el proceso de GDPR, lo que marca una diferencia de 9 puntos por debajo de la media (21%). No obstante, la mayoría de las empresas españolas (66%) tiene al departamento de TI liderando este proceso, mientras que solo el 19% tiene a un miembro de la junta directiva involucrado.

"A tan solo escasos seis meses de que entre en vigor, el GDPR debería ser la mayor preocupación de los consejos de dirección. Pero las conclusiones que se extraen de este estudio sugieren que todavía se trata de un proyecto faraónico en los consejos de administración. Si las organizaciones no toman en serio el reglamento, podrían estar expuestas una multa que supone una parte importante de los ingresos globales. Ahora, la tarea de los directivos de nivel C es ver el GDPR como una cuestión más de negocio que de un problema de seguridad, antes de que llegue a esa etapa”, señala Sancho.

"Prepararse para el GDPR supone una tarea tremenda que abarca desde invertir en tecnologías innovadoras y de última generación hasta implementar políticas de notificación y protección de datos. Pero esta preparación no servirá de nada si las empresas no entienden a qué datos se aplica esta ley y qué partes son las responsables. En este sentido, todavía hay una brecha educativa en toda la industria, y es necesario abordarla, y eso que España es el país que más esfuerzos y recursos ha destinado a la formación y concienciación de los empleados (56%) de todos los participantes en el estudio a nivel mundial”, continua el responsable de investigación de Trend Micro en Iberia.

Con amenazas que llegan a diario bajo diferentes tipos y formas, las organizaciones no solo carecen de experiencia y conocimiento para combatirlas, sino que también se necesita tecnología intergeneracional. El GDPR establece que las empresas deben implementar tecnologías de vanguardia para combatir los riesgos a los que se enfrentan. En este sentido, de todos los países participantes en esta investigación, España es el que lidera la implementación de nuevas políticas de protección de datos (46%), así como de tecnologías avanzadas para identificar intrusos en las redes como medida de precaución (45%), situándose once puntos por encima de la media mundial. Por su parte, el 35% ha optado por desplegar tecnologías de cifrado y el 34% ha invertido en soluciones de prevención de fugas de datos (DLP).

El compromiso de Trend Micro con el cumplimiento del GDPR comienza con su seguridad intergeneracional XGen, que protege los datos personales a través de toda la empresa. Esta tecnología está optimizada para todos los entornos en los que se pueden almacenar datos, ya sea física y virtualmente, en la nube o en contenedores. XGen es una estrategia y una plataforma que abarca a todas las soluciones de Trend Micro, permitiéndolas estar conectadas a alertas y reportando brechas de datos en el mismo momento en que se producen. Este enfoque proporciona a las empresas las herramientas más modernas que el GDPR exige.

“La protección se ha convertido en una prioridad y la seguridad de la información debe contar con procedimientos para detectar un problema, saber manejar y controlar una brecha, remediar las consecuencias de esa violación e informar a las partes interesadas sobre el problema y su respectiva solución. Este nuevo enfoque del tratamiento de datos derivado de la nueva normativa europea requerirá que las compañías tengan una organización interna específica y medidas adaptadas para responder a las directivas impuestas por la ley”, concluye David Sancho.