La responsabilidad de Recursos Humanos en ciberseguridad

Los ciberataques se han multiplicado exponencialmente en los últimos años, no paramos de ver noticias de empresas cuyos datos son comprometidos, algo impensable haceno tanto tiempo. Organizaciones públicas y privadas son conscientes de la importancia de la ciberseguridad al más alto nivel, las empresas han invertido mucho, y lo siguen haciendo, para prevenir y contrarrestar los ataques. Según un estudio del analista mundial Gartner, el 40 % de los consejos directivos contarán con un comité específico de ciberseguridad en 2025 que, además, estará liderado por un experto en la materia.

Los hackers ponen en peligro la seguridad de los sistemas sustrayendo y recopilando datos confidenciales de forma totalmente ilegal. Esto afecta también a la reputación y credibilidad de una empresa mediante la difusión de contenido crítico. Se trata de un hecho especialmente preocupante para RRHH, ya que posee información que afecta a la vida profesional y personal de los empleados (por ejemplo, vivienda, salud, educación, salario, etc.).

Los Sistemas de Información de Recursos Humanos (SIRH) se conectan entre sí y suelen estar gestionados por proveedores de servicios externos. Por lo que, ante este escenario, las empresas actualmente exigen en todos los procesos de decisión de compra que los proveedores contraten perfiles expertos y tengan certificaciones especializadas en ciberseguridad para garantizar el cumplimiento de la protección de datos tanto de la propia empresa como de sus clientes. Exigen un control en la detección de ciberataques, estableciendo medidas técnicas de seguridad en las infraestructuras y anticipando diferentes respuestas en caso de padecer uno. En este sentido, la Inteligencia Artificial (IA) nos ayuda a detectar señales débiles que pueden suponer una amenaza.

Este incremento de los esfuerzos en ciberseguridad, como decía, ha hecho que los perfiles digitales especializados en este ámbito estén muy solicitados en el mercado laboral global, incluso los propios grupos de hackers buscan estos mismos perfiles. La seguridad de las empresas puede verse comprometida, de todas, desde las grandes –incluso las del sector informático– a, especialmente, las más pequeñas, ya que no tienen medios para contar con estos especialistas.

Y en cuanto a las certificaciones, hay que decir que el refuerzo general de la seguridad de los sistemas de información ha logrado que la mayoría de los proveedores de servicios de RRHH y nómina cumplan con la certificación ISO 27001, emitida por AENOR, para servicios globales en la nube.

Hay que proteger las soluciones e infraestructutras de tratamiento de datos de los empleados y concienciar a estos sobre los riesgos

En Sopra HR Software, llevamos años preparándonos para hacer frente a esta situación. Ya en 2013 fuimos la primera empresa en obtener la aprobación europea de protección de datos para nuestros BCR (Binding Corporate Rules; Normas corporativas vinculantes). Las BCR garantizan la protección de los datos personales tratados por todas las filiales del grupo Sopra HR Software en todas sus actividades propias y las que realizan para sus clientes.

En enero de 2023, la Unión Europea aprobó el estándar NIS2 (Network Information Security), con el que empresas de todos los sectores han de reforzar aún más sus sistemas de ciberseguridad. Hacer frente a las ciberamenazas requiere la implementación tanto de medidas de prevención y detección como de políticas para gestionar las copias de seguridad de los datos, y más los que maneja Recursos Humanos.

Por eso, RRHH, además de tener en cuenta la RGPD (Reglamento General de Protección de Datos) en el tratamiento de los datos de los empleados, ha comenzado a invertir en la formación y preparación de los colaboradores ante posibles amenazas. Los reglamentos internos de ciberseguridad serán cada vez más exigentes, más cuando los modelos de trabajo están en pleno cambio y trabajar desde diferentes lugares que no son la oficina es cada vez más habitual, lo que es una ventaja para los empleados, pero puede conllevar mayores riesgos de ciberseguridad.

La implementación del modelo de trabajo híbrido y la movilidad conllevan una serie de requisitos. Los SIRH deben implementar medidas en los puestos de trabajo domésticos de los empleados para garantizar la seguridad. Los empleados pueden utilizar sus dispositivos personales (móviles y ordenadores) para consultar el correo de empresa en remoto, pero no para conectarse a la plataforma de la empresa.

Hay que ser conscientes de que la ciberseguridad es cosa de todos, también de RRHH, más allá de la responsabilidad de los departamentos de Sistemas Informáticos. Hay que proteger las soluciones e infraestructuras de tratamiento de datos de los empleados y concienciar a estos sobre los riesgos, integrando las herramientas que tienen disponibles y las acciones de vigilancia preventiva en la gestión de datos diaria.