LecturaQué es GRC y quién lo hace en una organización
Cuando se habla de ciberseguridad, casi siempre se piensa en firewalls, antivirus y analistas mirando alertas. Pero alguien tiene que decidir qué se protege primero, cuánto dinero se invierte, qué reglas cumplen los empleados y cómo se demuestra ante un cliente o un regulador que la empresa hace las cosas bien. Ese trabajo tiene nombre: GRC.
Tres palabras, una disciplina
GRC son las siglas de gobierno, riesgo y cumplimiento (en inglés, governance, risk and compliance).
- Gobierno: es la dirección. Define quién decide, con qué objetivos y con qué reglas: estrategia, políticas aprobadas por la gerencia, roles y rendición de cuentas.
- Riesgo: es la priorización. Como nadie puede protegerlo todo al máximo, hay que identificar qué podría salir mal, qué tan probable es, cuánto dolería y qué se hará al respecto.
- Cumplimiento: es la demostración. Verificar que la organización cumple sus políticas, sus contratos y las leyes que le aplican, como la Ley 8968 en Costa Rica, y que puede probarlo con evidencia.
El gobierno fija el rumbo, la gestión de riesgos dice dónde poner el esfuerzo y el cumplimiento comprueba que lo decidido realmente ocurre.
De dónde viene
GRC no nació en tecnología, sino en finanzas y auditoría. Tras varios escándalos contables, las empresas tuvieron que demostrar que sus controles internos funcionaban, y esa lógica se trasladó a la seguridad de la información. El término se popularizó a inicios de los años 2000 para nombrar el trabajo conjunto de tres áreas que antes iban por separado.
| Año | Hito |
|---|---|
| 1992 | El comité COSO publica su marco de control interno, base de muchas auditorías |
| 1995 | El Reino Unido publica la norma BS 7799, antecesora de ISO/IEC 27001 |
| 2002 | Estados Unidos aprueba la ley Sarbanes-Oxley tras el caso Enron |
| 2005 | Se publica la primera edición de ISO/IEC 27001 |
| 2011 | Costa Rica aprueba la Ley 8968 de protección de datos personales |
| 2014 | El NIST publica la primera versión de su Marco de Ciberseguridad |
| 2022 | Ataques de ransomware contra instituciones públicas llevan a Costa Rica a declarar emergencia nacional |
| 2024 | El NIST publica la versión 2.0 de su marco, con la nueva función Gobernar |
GRC suele crecer después de una crisis. Quien lo adopta antes de su propio incidente paga mucho menos.
Por qué importa en ciberseguridad
Un equipo técnico sin GRC trabaja apagando incendios: compra herramientas por moda y no sabe justificar su presupuesto. Con GRC, cada control responde a un riesgo concreto. Además, los clientes piden pruebas: un banco que contrata a un proveedor de software le enviará un cuestionario de seguridad y le pedirá políticas, auditorías o una certificación ISO/IEC 27001. También es una puerta de entrada frecuente para quienes vienen de administración, derecho o contabilidad.
Quién lo hace
En una empresa grande, los roles típicos son:
- Junta directiva y gerencia general: aprueban la estrategia, el apetito de riesgo y el presupuesto.
- CISO o responsable de seguridad: diseña el programa, propone políticas y reporta el riesgo.
- Analista GRC: mantiene el registro de riesgos, redacta políticas y prepara evidencia.
- Oficiales de cumplimiento y de protección de datos: vigilan obligaciones ante la SUGEF o la PRODHAB.
- Dueños de proceso: las jefaturas de cada área, que aceptan o tratan los riesgos de lo suyo.
- Auditoría interna: evalúa de forma independiente si los controles funcionan.
El modelo de las tres líneas los ordena así: la primera opera y es dueña del riesgo, la segunda define el marco y supervisa, y la tercera, auditoría interna, da aseguramiento independiente.
En una pyme de treinta personas no hay CISO. El gobierno lo ejerce la gerencia, el riesgo lo analiza alguien de administración con el proveedor de soporte y el cumplimiento cubre lo esencial: datos personales, facturación electrónica ante Hacienda, planillas ante la CCSS (Caja Costarricense de Seguro Social) y la póliza del INS (Instituto Nacional de Seguros).
Dónde se usa
| Lugar | Cómo aparece GRC |
|---|---|
| Bancos, cooperativas y aseguradoras | Reglamentos del CONASSIF y la SUGEF, auditorías externas de tecnología |
| Sector público | Estrategia Nacional de Ciberseguridad y coordinación con el CSIRT-CR |
| Empresas que venden servicios al exterior | Cuestionarios de clientes y certificación ISO/IEC 27001 |
| Clínicas y farmacias | Datos de salud, que la Ley 8968 trata como sensibles |
| Comercios en línea | Datos de clientes y PCI DSS si se manejan tarjetas |
Conceptos clave
| Concepto | Qué significa |
|---|---|
| Activo | Todo lo que tiene valor: información, sistemas, equipos, personas y procesos |
| Riesgo | La posibilidad de que algo dañe un activo, medida como probabilidad por impacto |
| Control | Una medida que reduce un riesgo: técnica (un respaldo), organizativa (una política) o física (una cerradura) |
| Marco de referencia | Un documento público que ordena qué resultados o controles buscar, como el NIST CSF |
| Norma | Un documento formal con requisitos; algunas, como ISO/IEC 27001, se certifican |
| Normativa | Las leyes, reglamentos y contratos que obligan a la organización |
| Evidencia | Lo que demuestra que un control existe y funciona: un registro, un acta, una prueba |
| Brecha | La diferencia entre lo que se hace hoy y lo que se debería hacer |