Un proveedor SaaS del sector sanitario atendía a clientes sujetos a HIPAA, a clientes que exigían el cumplimiento de PCI-DSS y a clientes con requisitos de SOC 2. Para responder de forma eficiente a solicitudes de cumplimiento diversas, había elaborado un documento exhaustivo de correspondencia de controles: una hoja de cálculo que enumeraba los controles implementados y asignaba cada uno a los requisitos pertinentes de todos los marcos aplicables. Cuando un prestador de atención sanitaria sujeto a HIPAA solicitó evidencias de cumplimiento, el proveedor compartió la correspondencia junto con su informe SOC 2. La correspondencia mostraba su programa de formación de concienciación en seguridad asignado al requisito de formación del personal del §164.308(a)(5) de HIPAA. Al revisar la correspondencia, el equipo de cumplimiento del prestador sanitario se fijó en el programa de formación que figuraba en el anexo de la correspondencia. El programa abarcaba la seguridad de las contraseñas, el reconocimiento del phishing, el uso seguro del correo electrónico y las prácticas generales de seguridad de TI. No abarcaba específicamente las normas de privacidad de HIPAA, los principios de acceso mínimo necesario, los requisitos de manejo de PHI ni las obligaciones de notificación de brechas. El requisito de formación del personal de HIPAA exige específicamente formación sobre las políticas y procedimientos relacionados con la seguridad de la información de salud protegida. La formación del proveedor abordaba la concienciación general en seguridad, lo que satisfacía legítimamente parte del espíritu del requisito de formación, pero no el contenido específico de HIPAA que exige expresamente la regulación. La correspondencia mostraba un requisito satisfecho. La formación no lo satisfacía plenamente.
¿Qué son realmente las incoherencias en la correspondencia de controles?
La correspondencia de controles es la práctica de documentar las relaciones entre los controles de seguridad implementados y los requisitos de varios marcos de cumplimiento, normas regulatorias y requisitos de clientes. Una correspondencia de controles precisa agiliza la evaluación del cumplimiento: en lugar de documentar los controles de forma independiente para cada requisito de cada marco, las organizaciones pueden mostrar cómo los controles existentes satisfacen varios requisitos a la vez. Esta eficiencia es genuina y legítima cuando las correspondencias reflejan con exactitud la medida en que el control satisface el requisito.
La inexactitud de las correspondencias surge del gradiente de satisfacción de los controles. Algunos requisitos los satisface plenamente un único control: una revisión de accesos bien implementada satisface realmente requisitos de control de acceso que son sustancialmente equivalentes en todos los marcos. Algunos requisitos se satisfacen parcialmente: un programa general de formación de concienciación en seguridad satisface el concepto general de concienciación del personal en materia de seguridad, pero no los requisitos de contenido concretos del mandato de formación de HIPAA sobre el manejo de PHI. Algunas correspondencias son aspiracionales: la organización espera que el control satisfaga el requisito y lo asigna como satisfecho antes de completar la revisión del contenido que confirmaría o descartaría su satisfacción plena.
El problema de la complejidad de las correspondencias de uno a muchos es donde se acumulan las incoherencias. Cuando un único control se asigna a requisitos de cinco marcos, la exactitud de la correspondencia varía según el marco. Un control diseñado principalmente para satisfacer los criterios de SOC 2 puede satisfacer realmente el requisito de SOC 2, satisfacer parcialmente el control equivalente de ISO 27001 y abordar de forma insuficiente un requisito concreto de HIPAA cuyas especificaciones de contenido difieren de las del criterio de SOC 2. El documento de correspondencias muestra los tres como satisfechos. El grado de satisfacción varía significativamente.
- Satisfacción parcial asignada como satisfacción total: controles que abordan el espíritu de un requisito, pero no sus requisitos de contenido concretos, se asignan como si lo satisficieran plenamente
- Requisitos de contenido específicos de cada marco no evaluados: controles generales asignados a requisitos concretos sin verificar la especificidad del contenido del requisito
- Correspondencia sin validación: correspondencias creadas a partir de la similitud de los títulos de los requisitos en lugar de una revisión de su contenido
- Variación de la calidad en las correspondencias de uno a muchos: el mismo control asignado a varios requisitos con una exactitud variable según el marco
- Documento de correspondencias como evidencia de cumplimiento: los clientes aceptan los documentos de correspondencias como prueba de cumplimiento en lugar de como herramientas de navegación que requieren validación
Por qué es importante
Las incoherencias en la correspondencia de controles son importantes para TPRM porque los documentos de correspondencias se aportan con frecuencia como evidencia de cumplimiento en las evaluaciones de proveedores, para mostrar que los controles del proveedor satisfacen los requisitos relevantes para el cliente. Un cliente que acepta un documento de correspondencias sin validar las correspondencias críticas para su contexto regulatorio puede estar aceptando una garantía sobre requisitos que no se satisfacen plenamente. Para los prestadores de atención sanitaria sujetos a HIPAA, esto genera una exposición regulatoria cuando los controles de sus proveedores no satisfacen realmente los requisitos específicos de HIPAA, aunque los documentos de correspondencias los muestren como satisfechos.
El problema de la especificidad regulatoria es más grave en los requisitos con prescripciones de contenido concretas. Las normas de seguridad y privacidad de HIPAA especifican determinadas áreas de contenido que debe cubrir la formación del personal. La formación de PCI-DSS sobre el manejo de datos de titulares de tarjetas tiene requisitos de contenido concretos para el personal que maneja datos de pago. Estos requisitos de contenido concretos son distintos de los requisitos generales de concienciación en seguridad, y un programa de formación general que no aborda el contenido concreto no satisface plenamente el requisito, independientemente de cómo lo clasifique el documento de correspondencias.
Dónde se equivocan la mayoría de los equipos
El fallo más constante es aceptar los documentos de correspondencias como evidencia de cumplimiento sin validar las correspondencias críticas frente al contenido real del requisito. Los documentos de correspondencias son puntos de partida para la evaluación del cumplimiento: identifican qué controles afirman satisfacer qué requisitos. Validar esas afirmaciones exige revisar el texto real del requisito frente a la implementación real del control.
- Aceptar los documentos de correspondencias como evidencia de cumplimiento sin validarlos
- Correspondencias críticas no validadas para requisitos regulatorios específicos
- Contenido de los requisitos no revisado: correspondencia validada frente al título del requisito y no frente a su texto
- Requisitos específicos de cada marco no identificados: los requisitos con prescripciones de contenido concretas no se distinguen de los requisitos generales
- Exactitud de la correspondencia no cuestionada: se aceptan las afirmaciones de correspondencia del proveedor sin compararlas con el texto del requisito
Cómo se ve una buena práctica
Los programas maduros de gobernanza de la correspondencia de controles validan las correspondencias críticas frente al texto de los requisitos de los marcos regulatorios concretos relevantes para la relación con el cliente, en particular los requisitos con prescripciones de contenido concretas que los controles generales pueden no satisfacer plenamente.
- Valide las correspondencias críticas: compare la implementación del control con el texto del requisito en los requisitos regulatorios más relevantes
- Identifique los requisitos de contenido específicos de cada marco: los requisitos con prescripciones de contenido concretas se revisan frente al contenido real de los controles
- Solicite los detalles de implementación de los controles en lugar de afirmaciones de correspondencia: qué cubre la formación, no a qué marco corresponde
- Validación prioritaria para HIPAA, PCI-DSS y GDPR: marcos con requisitos de contenido concretos
- Documento de correspondencias como herramienta de navegación: se utiliza para identificar los controles pertinentes, no como prueba del cumplimiento de los requisitos
Herramientas
GRC con correspondencia entre marcos: ServiceNow GRC, MetricStream
Las plataformas de GRC con capacidades de correspondencia entre marcos mantienen las relaciones entre controles y requisitos con vínculos a las evidencias, lo que aporta la documentación que respalda las afirmaciones de correspondencia. Para los profesionales de TPRM, preguntar si las correspondencias del proveedor se mantienen en una plataforma de GRC con vínculos a las evidencias o en hojas de cálculo sin registros de validación aporta una pregunta concreta sobre la calidad de las correspondencias.
Marcos de cumplimiento: texto de la Security Rule de HIPAA, PCI-DSS v4.0, ISO 27001:2022
Leer el texto real del requisito junto con la afirmación de correspondencia del proveedor es el mecanismo de validación que revela la satisfacción parcial. El §164.308(a)(5) de HIPAA exige específicamente formación sobre las políticas y procedimientos relacionados con la seguridad de la PHI; leer este texto junto con el programa de formación del proveedor revela de inmediato si la formación aborda el contenido específico de PHI.
Desafíos de gobernanza
El desafío de gobernanza de la correspondencia de controles es el volumen de requisitos de varios marcos. Validar todas las correspondencias de un documento exhaustivo exigiría revisar cada requisito frente a cada implementación de control, un esfuerzo considerable. La solución de gobernanza es la validación prioritaria: centrar la revisión detallada en los requisitos más relevantes para el contexto regulatorio del cliente y con mayor probabilidad de tener prescripciones de contenido concretas que los controles generales pueden no satisfacer.
- Identifique los cinco requisitos de marco más críticos para cada relación con proveedores
- Valide esos cinco frente al texto del requisito y a la implementación del control
- Solicite los detalles de implementación de los controles que se afirma que satisfacen requisitos específicos de HIPAA, PCI-DSS o GDPR
- Utilice la correspondencia como herramienta de navegación: para identificar qué controles afirman satisfacer los requisitos y, después, validar esas afirmaciones
- Señale los requisitos con prescripciones de contenido concretas para una validación reforzada
Si usted forma parte de un equipo pequeño
Para los proveedores que operan en su contexto regulatorio (HIPAA en la atención sanitaria, PCI-DSS en el procesamiento de pagos, GDPR para los datos de la UE), elija los tres requisitos más específicos del marco aplicable y valídelos directamente: lea el texto del requisito, lea la descripción del control del proveedor y evalúe si el contenido del control aborda específicamente lo que exige el requisito. Esa validación específica revelará si las correspondencias críticas son exactas o si reflejan el patrón de satisfacer los requisitos en espíritu sin abordar plenamente su contenido concreto.
- Elija los tres requisitos más específicos de su contexto regulatorio
- Lea tanto el texto del requisito como la descripción del control del proveedor
- Evalúe si el contenido del control aborda específicamente el contenido del requisito
- Señale las satisfacciones parciales para una evaluación complementaria o un control compensatorio
Qué exigir
Pregunte directamente:
"Respecto de su correspondencia entre [control concreto] y [requisito regulatorio concreto], ¿pueden describir qué contenido concreto de su [formación/proceso/sistema] aborda los requisitos específicos de [texto de la disposición regulatoria], a diferencia de los requisitos generales de seguridad?"
Evidencia que debe esperar
- Descripción del contenido del control que aborde específicamente el texto del requisito
- Programa de formación o documentación de procedimientos que muestre el contenido específico del requisito
- Identificación de brechas si el requisito se satisface parcialmente y no plenamente
A un proveedor cuya correspondencia muestra que la formación de concienciación en seguridad satisface el requisito de formación del personal de HIPAA se le debe pedir que describa específicamente qué contenido sobre el manejo de PHI cubre la formación. La correspondencia muestra una relación. La descripción del contenido muestra si esa relación es exacta.
Cómo demostrarlo
- Registros de validación de las correspondencias críticas para requisitos regulatorios específicos
- Registros de la comparación entre el texto de los requisitos y el contenido de los controles
- Identificación de satisfacciones parciales y evaluación complementaria
- Registros de la revisión de los requisitos de contenido específicos de cada marco
Conclusión clave
Los documentos de correspondencia de controles muestran qué controles afirman satisfacer qué requisitos. No confirman que esas afirmaciones sean exactas. La formación general de concienciación en seguridad se asigna al requisito de formación del personal de HIPAA porque ambos se refieren a la formación. El requisito de HIPAA aborda específicamente contenido sobre el manejo de PHI. La formación aborda específicamente la seguridad de las contraseñas y el phishing. La correspondencia lo muestra como satisfecho. El requisito está satisfecho parcialmente. Leer el texto del requisito junto con el contenido del control es la validación que la correspondencia no puede ofrecer. El mapa dice que usted ha llegado. El territorio es más específico que el mapa.