Más allá del almacenamiento: Optimización de las políticas de retención de datos para una mejor gobernanza
En la era digital actual, los datos se han convertido en el elemento vital de las empresas de todo el mundo, impulsando la innovación, impulsando la toma de decisiones y moldeando las experiencias de los clientes. Sin embargo, en medio de esta abundancia de datos se encuentra un desafío crítico: cómo gestionar y retener eficazmente esta riqueza de información. ¿Sabía que para 2025, se proyecta que la esfera de datos global alcance la asombrosa cifra de 175 zettabytes, un aumento de diez veces con respecto a 2016? A medida que las organizaciones navegan por este crecimiento exponencial, la importancia de... retención de datos Nunca ha sido tan evidente. La retención de datos es compleja, tiene matices y requiere un enfoque moderno para gestionar el creciente volumen, tipo y sensibilidad de los datos empresariales.
Muchas empresas retienen sistemáticamente un exceso de datos, lo que las expone a enormes riesgos. Aproximadamente un tercio de los almacenes de datos no se han tocado durante tres años — y 75% de registros retenidos en exceso incluyen datos personales o sensiblesÚnase a nosotros mientras exploramos el papel vital de la retención de datos para proteger la información, garantizar el cumplimiento normativo y potenciar la toma de decisiones estratégicas en la era moderna.
¿Qué es la retención de datos?
Retención de datos Se refiere a la práctica de almacenar datos durante un período específico. Esto puede hacerse por diversas razones, como el cumplimiento legal, la continuidad del negocio y el análisis de datos. La correcta retención de datos es fundamental para que las organizaciones garanticen el acceso a los datos necesarios para operar eficazmente, a la vez que cumplen con los requisitos legales o regulatorios.
Según la industria y el país, la retención de datos puede variar mucho en la práctica. Por ejemplo, en el sector sanitario estadounidense, la retención de datos se rige por diversas leyes y normativas, en particular la... Ley de Portabilidad y Responsabilidad del Seguro Médico (HIPAA). HIPAA requiere que las organizaciones de atención médica conserven los registros de los pacientes durante al menos seis años, o más tiempo si lo exige la ley estatal.
¿Qué es una política de retención de datos y qué debe incluir?
Una política de retención de datos es un conjunto de directrices que una organización sigue para la conservación y eliminación de datos, según los requisitos regulatorios y las necesidades internas. Una política de retención de datos debe incluir lo siguiente para cumplir con los requisitos de cumplimiento:
- Tipos de datos que se conservarán: La política debe especificar qué tipos de datos deben conservarse, como datos financieros, legales, de salud o personales.
- Periodos de conservación: La política debe detallar los periodos de retención para cada tipo de datos, según los requisitos regulatorios y las necesidades del negocio. El periodo de retención debe ser lo suficientemente largo como para cumplir con los requisitos del negocio y las obligaciones regulatorias, pero no más largo de lo necesario para evitar el almacenamiento innecesario de datos.
- Ubicación de almacenamiento: La política debe especificar dónde se deben almacenar los datos, si en las instalaciones, en la nube o en un entorno de almacenamiento híbrido.
- Controles de acceso: La política debe especificar quién tiene acceso a los datos y los procedimientos para acceder a ellos. Esto debe incluir directrices sobre cómo acceder a los datos, ¿Quién puede acceder a él?y cuando se concede el acceso.
- Destrucción de datos: La política debe especificar cómo se destruyen los datos al finalizar su periodo de retención. Esto debe incluir directrices para la eliminación segura de los datos o la eliminación de los medios físicos.
- Mantenimiento de registros: La política debe describir los procedimientos para mantener registros de la conservación y destrucción de datos. Esto incluye detalles sobre quién es responsable de los datos, cuándo se crearon y cuándo se destruyeron.
Beneficios de la retención de datos
Las empresas pueden evitar infracciones y fortalecer la confianza de los clientes definiendo, gestionando y remediando Políticas de retención de datos en toda la empresa.
Las organizaciones que implementan un sólido programa de retención de datos pueden:
- definir los datos según el tiempo durante el cual deben conservarlos
- Distinguir la información crítica de los datos redundantes, obsoletos y triviales (ROT)
- tener en cuenta las excepciones legalmente permitidas a los requisitos de retención de datos (como demandas pendientes o auditorías)
- determinar si los registros deben archivarse o eliminarse
- Mantener equipos legales y de TI para crear y poner en funcionamiento políticas de retención de datos
- Proporcionar un puente entre los equipos legales y de TI para que puedan mantener una comunicación constante, lograr el cumplimiento y mantenerse al día con todas las regulaciones.
Mejores prácticas para modificar una política de retención de datos
- Revise la política existente: Revise la política existente para identificar áreas que necesitan actualizarse, como cambios en los requisitos regulatorios, nuevos tipos de datos o cambios en los procesos comerciales.
- Realizar una evaluación de riesgos: Realizar una evaluación de riesgos para identificar los riesgos potenciales asociados con la retención de datos y el impacto de los cambios en la política.
- Determinar los períodos de retención adecuados: Determinar los períodos de retención adecuados para cada tipo de datos según los requisitos reglamentarios y las necesidades del negocio.
- Identifique la ubicación de almacenamiento adecuada: Identifique la ubicación de almacenamiento adecuada para cada tipo de datos, como en las instalaciones locales o en la nube.
- Desarrollar procedimientos de destrucción de datos: Desarrollar procedimientos para destruir datos de forma segura al final de su período de retención.
- Actualizar la formación y concienciación de los empleados: Actualice los programas de capacitación y concientización de los empleados para garantizar que estén al tanto de la política actualizada y comprendan sus responsabilidades en materia de retención y destrucción de datos.
- Obtener aprobación: Obtener la aprobación de la alta dirección o de la junta directiva para garantizar que la política actualizada se alinee con la estrategia general de la organización. gestión de riesgos y estrategias de cumplimiento.
La frecuencia de modificación de una política de retención de datos dependerá de varios factores, como los cambios en los requisitos regulatorios, los cambios en los procesos de negocio y el nivel de riesgo asociado a los datos. Como regla general, las organizaciones deben revisar su política de retención de datos al menos una vez al año para garantizar que se mantenga actualizada y sea eficaz. Además, deben realizar evaluaciones de riesgos periódicas para identificar cualquier cambio en los riesgos asociados a la retención de datos y tomar las medidas pertinentes según sea necesario.
Por qué necesita un programa sólido de retención de datos
Una política de retención de datos es fundamental en cualquier gestión de datos. Tanto las políticas internas como las externas establecen normas y regulaciones, y es fundamental que las organizaciones puedan gestionar un programa integral de retención de datos que las abarque.
Normativas de privacidad y protección de datos como la Reglamento General de Protección de Datos (RGPD) de la UE y el Ley de Privacidad del Consumidor de California (CCPA), por ejemplo, establecer requisitos específicos para la información que las organizaciones pueden retener (y lo que deben eliminar) para proteger la información confidencial del consumidor, minimizar el riesgo de privacidad individual, cumplir solicitudes de acceso de los interesadosy mucho más.
¿Cuánto dura el período de retención de datos?
Un "período de retención de datos", también conocido como "período de retención de registros", se refiere al tiempo que una organización conserva los datos. No hay una única respuesta a la pregunta de cuánto tiempo debería durar. En definitiva, depende.
Depende del tipo de datos, el propósito para el cual se recopilaron o crearon esos datos, si los datos todavía se consideran útiles y otras consideraciones, según la regulación.
Si bien algunas regulaciones como la Ley de Portabilidad y Responsabilidad del Seguro Médico (HIPAA) requieren que la información se conserve durante al menos seis años “a partir de la fecha de su creación o la fecha en que estuvo vigente por última vez, lo que sea posterior”, no todos normativa especificar marcos de tiempo.
Mantener el cumplimiento normativo
Los requisitos específicos de la política de retención de datos para cada regulación variarán, pero aquí hay algunas pautas generales:
- Reglamento General de Protección de Datos (RGPD): El RGPD exige que las organizaciones conserven los datos personales solo durante el tiempo necesario para cumplir los fines para los que fueron recopilados. Las organizaciones deben contar con una política de retención clara y demostrar que la cumplen. Además, el RGPD exige que las organizaciones eliminen o destruyan de forma segura los datos personales cuando ya no sean necesarios.
- Ley de Privacidad del Consumidor de California (CCPA): La CCPA exige que las organizaciones divulguen su política de retención de datos y las categorías específicas de información personal que recopilan, utilizan y conservan. Las organizaciones también deben brindar a los consumidores el derecho a solicitar la eliminación de su información personal y deben cumplir con estas solicitudes dentro de un plazo específico.
- Ley de Portabilidad y Responsabilidad de los Seguros Sanitarios (HIPAA): HIPAA La HIPAA exige que las organizaciones de atención médica conserven los registros médicos y otra información médica protegida (PHI) durante un mínimo de seis años a partir de su fecha de creación o de su última vigencia. La HIPAA también exige que las organizaciones eliminen de forma segura la PHI cuando ya no la necesiten.
- Ley Sarbanes-Oxley (SOX): La SOX exige que las organizaciones conserven sus registros financieros y contables durante un mínimo de siete años. También exige que las organizaciones los eliminen de forma segura cuando ya no sean necesarios.
- Ley de la Comisión Federal de Comercio (FTC): La FTC exige que las organizaciones conserven los datos durante un periodo razonable para cumplir con los fines para los que fueron recopilados. Las organizaciones también deben eliminarlos de forma segura cuando ya no los necesiten.
- Ley Gramm-Leach Bliley (GLBA): Según la GLBA, las instituciones financieras deben contar con una política escrita de retención de datos que describa los tipos de información de clientes que recopilan, cómo se utiliza y durante cuánto tiempo se conserva. La política también debe describir cómo la institución elimina de forma segura la información cuando ya no la necesita. La GLBA no especifica un período de retención específico para la información de los clientes, pero las instituciones financieras deben conservar los registros durante al menos cinco años a partir de la fecha de creación o de su fecha de caducidad.
- La Administración de Seguridad y Salud Ocupacional (OSHA): Según los requisitos de la OSHA sobre el mantenimiento de registros, los empleadores deben mantener registros de las lesiones y enfermedades ocupacionales durante cinco años, así como de cualquier exposición de sus empleados a ciertas sustancias peligrosas, como el plomo y el asbesto, durante al menos 30 años. Los registros deben incluir información como la fecha de la lesión o enfermedad, el nombre y el puesto del empleado, el tipo de lesión o enfermedad y cualquier tratamiento médico recibido.
Acelere su programa de retención de datos con BigID
BigID BigID es la plataforma líder en la industria para la privacidad, seguridad, cumplimiento normativo y gestión de datos con IA, que ayuda a las organizaciones a gestionar mejor sus datos de principio a fin. Mediante IA avanzada y aprendizaje automático, BigID permite a las organizaciones obtener una mayor visibilidad de todos sus activos más valiosos en todo el mundo. multi-nube, local y más allá.
- Conozca sus datos a escala: BigID utiliza algoritmos de aprendizaje automático para escanear y clasificar automáticamente los datos en función de su sensibilidad, contexto y tipo, lo que permite a las organizaciones gestionarlos adecuadamente según los requisitos de retención.
- Definir políticas de retención de datos: Aplicación de retención de datos de BigID Permite a las organizaciones definir políticas de retención de datos según la confidencialidad de los datos, los requisitos regulatorios aplicables y las necesidades de negocio de la organización. La plataforma automatiza la aplicación de estas políticas y alerta a las organizaciones cuando los datos alcanzan el final de su periodo de retención.
- Mejorar la seguridad de los datos: Priorizar y abordar de forma proactiva los riesgos de los datos, agilizar SecOps y automatizar DSPM Eso hace la diferencia.
- Reduzca su superficie de ataque: Reduzca la superficie de ataque eliminando de forma proactiva datos confidenciales innecesarios y no críticos para el negocio con Aplicación de eliminación de datos de BigID. Automatice la destrucción segura de datos al final de su período de retención, reduciendo el riesgo de acceso no autorizado o violaciones de datos.
Para automatizar y reforzar el programa de retención de datos de su organización: Programe una demostración 1:1 con BigID hoy.
Autor
