Cumplimiento por defecto: La estrategia de Prometeia para una confianza duradera

Garantizar la seguridad del negocio implicaba integrar profundamente los principales impulsores digitales de Prometeia, la infraestructura de TI, las operaciones de seguridad y el cumplimiento normativo en las operaciones de la organización, de modo que pudiera estar al tanto de cualquier desviación, riesgos sistémicos y, en particular, riesgos de cumplimiento, y responder mejor y más rápido.

En la práctica, esto implicó diseñar un programa de seguridad permanente en el que la gestión proactiva de riesgos y la supervisión del cumplimiento normativo se erigieron como pilares esenciales de la estrategia de nube e IA. Tras comparar los enfoques tradicionales de gestión de GRC con las plataformas automatizadas, y dadas las múltiples capas de orquestación tecnológica necesarias para lograr el cumplimiento, Prometeia no dudó en adoptar un enfoque basado en plataformas para alcanzar sus objetivos.

Alessio fue el encargado de liderar el diseño del nuevo programa de confianza integral de Prometeia, principalmente para su modelo de negocio SaaS. En colaboración con los responsables de cumplimiento de seguridad y riesgos de TI, comenzó a explorar plataformas GRC que pudieran integrar los pilares de confianza y transparencia en las operaciones de Prometeia. Durante la fase de evaluación, Alessio también fue muy consciente de la necesidad de demostrar esa confianza.

“El mercado necesita que un tercero te avale, y la certificación es una buena manera de conseguirlo”, comenta.

El enfoque previo de Prometeia en materia de cumplimiento normativo era, sin duda, tradicional. La empresa ya contaba con la certificación ISO 27001 y había desarrollado un sólido departamento de TI interno, pero aún dependía de consultores para la renovación de la certificación. Sin embargo, el mayor desafío radicaba en la visibilidad, ya que Prometeia necesitaba garantizar una clara rendición de cuentas en las operaciones de seguridad, manteniendo al mismo tiempo una visión casi en tiempo real de lo que sucedía.

«Necesitamos estabilidad, automatización y eficiencia en nuestros procesos internos, especialmente en la fase de ejecución, sin que ello afecte a la agilidad, la innovación ni al tiempo de comercialización de nuestra oferta SaaS», afirma Alessio. Esto resultó ser un reto, sobre todo durante la recertificación, lo que hizo que un enfoque automatizado resultara atractivo para Alessio y el equipo de Prometeia.

La automatización fue uno de los criterios principales a la hora de buscar la plataforma de automatización de cumplimiento normativo adecuada. La contextualización era fundamental, ya que Prometeia quería gestionar los programas GRC, en particular el cumplimiento normativo, dentro de su contexto específico, con las integraciones necesarias para garantizar una cobertura total de los activos en la nube. La escalabilidad era imprescindible, en forma de un esquema unificado para dar soporte y gestionar múltiples marcos regulatorios en paralelo.

“El monitoreo continuo es fundamental desde el primer día. Conecta todos los elementos y ayuda a delegar tareas a roles y cuentas específicas sin perder el control. En lo que respecta a la aplicación de principios de cumplimiento, la automatización marca la diferencia”, afirma Alessio.

La flexibilidad era igualmente importante, ya que Prometeia no se concibió originalmente como una empresa digital y necesitaba una forma fluida de adaptarse y transformar sus capacidades según las nuevas necesidades del negocio. La capacidad de demostración, a través de un Centro de Confianza y funcionalidades similares que mostraran de forma fehaciente el estado de los riesgos, el cumplimiento normativo y la postura de seguridad, era crucial dado el sector en el que operaba la empresa.

La eficiencia se convirtió en una prioridad, y completar los cuestionarios de seguridad y equilibrar los costos representó un desafío apremiante. Dado que la transparencia es un valor fundamental en Prometeia, la empresa también esperaba apertura de su proveedor de GRC, buscando explícitamente una plataforma que brindara el soporte de implementación y la orientación necesarios para una transición sin contratiempos.