Por qué la Retención de Datos es Crucial para Proteger Datos Sensibles

Los datos son para los negocios lo que el oxígeno es para los humanos.

Sin las cantidades adecuadas, podrías morir, lo que generalmente significa el fin de tu negocio. Pero, al igual que demasiado oxígeno puede matarte, demasiados datos tienen sus propios impactos negativos.

Retener datos más tiempo del necesario no solo impacta el riesgo, sino que también crea costos y ralentiza la rapidez con la que una organización responde a una brecha. La retención de datos juega un papel crucial en el plan de respuesta a incidentes de tu organización, sin embargo, muchos pasan por alto este paso esencial para proteger su organización de ataques dañinos, ciberataques y violaciones de datos.

Las empresas frecuentemente utilizan software de destrucción de datos para eliminar completamente los rastros de datos. Sin embargo, es imperativo entender la importancia de establecer políticas de retención de datos y cómo cortar esquinas puede obstruir las tuberías de tu negocio y drenar la vida de tus eficiencias basadas en datos.

Cada organización debe desarrollar e implementar políticas de retención de datos para cumplir con estos y otros requisitos comerciales.

En la última década, los datos se han convertido en un activo crítico para prácticamente todas las organizaciones, especialmente aquellas en industrias de negocio a consumidor (B2C). Sin embargo, almacenar datos no es una decisión que deba tomarse a la ligera. La retención de datos es crítica para las organizaciones modernas. Demasiada información te cuesta tiempo y dinero, perjudicando tu productividad. Pero muy poca información te cuesta dinero, tiempo y tu reputación.

Almacenar datos de clientes es una necesidad, pero mantenerlos en almacenamiento indefinidamente tampoco es una opción. Las empresas necesitan determinar cuánto tiempo pueden mantener los datos dentro de sus sistemas y eliminarlos cuando expiren. Las políticas de retención de datos son cruciales para mantener la seguridad de los datos de los clientes y asegurar el cumplimiento con los requisitos organizacionales y las regulaciones de la industria.

La retención de datos requiere que las organizaciones cumplan con estándares de seguridad específicos, desarrollen políticas y procedimientos para agilizar estas regulaciones, proporcionen capacitación y educación para todos los empleados, y diseñen un sistema para cumplir con los requisitos. Para hacerlo, debes desarrollar un plan de políticas y procedimientos de retención de datos para identificar lo siguiente: elementos de datos sensibles, la sensibilidad de cada elemento de datos, cuánto tiempo se puede mantener cada elemento de datos según las regulaciones, cómo quienes acceden a los datos los utilizarán, y cómo disponer de los datos de manera segura.

¿Por qué es importante la retención de datos?

La retención de datos ha sido durante mucho tiempo crítica para el éxito de prácticamente cualquier tipo de negocio. Anteriormente, esto significaba archivar documentos que podían recuperarse cuando fuera necesario, a menudo manteniendo esos documentos durante décadas antes de descartarlos. Hoy en día, la retención de datos electrónicos ha hecho que la tarea sea más accesible, lo cual es bueno porque la retención de documentos es más importante que nunca si una empresa quiere proteger sus propios intereses y los de sus clientes.

Los requisitos legales son una de las razones más importantes para desarrollar e implementar una estrategia robusta de retención de datos. En pocas palabras, cualquier documento sobre funciones comerciales puede incluir información que podría ser beneficiosa para la empresa en caso de una disputa.

La documentación preservada facilita la recreación de eventos y fechas significativos y prueba los comentarios de los ejecutivos de negocios sobre lo que hicieron y no hicieron con respecto a esa demanda específica. Suponiendo que el esquema de retención de datos sea integral, preservar eficientemente los registros puede ahorrar a la organización una cantidad significativa de tiempo y dinero en cualquier forma de acción legal, incluidas preocupaciones fiscales, eventos que involucren al personal o convenios establecidos con los consumidores.

Junto con proporcionar datos que podrían ser esenciales para resolver un problema legal, las prácticas efectivas de retención de datos ofrecen la oportunidad de brindar un mejor servicio al cliente. La capacidad de rastrear eventos que ocurrieron hace años con un cliente en particular puede allanar el camino para resolver un problema que acaba de surgir. También puede proporcionar combustible para algún nuevo producto o servicio que podría ser atractivo para más de un consumidor.

La gestión eficiente de datos y registros puede mejorar los procesos comerciales clave y ayudar a la empresa a cumplir con sus compromisos legales, estatutarios y regulatorios. En los últimos años, ha habido un mayor énfasis en la privacidad de los datos, lo que ha resultado en reglas y regulaciones cada vez más complicadas en todo el mundo.

Por ejemplo, las empresas que cotizan en bolsa en los Estados Unidos deben adoptar una estrategia de retención para cumplir con las obligaciones de retención de datos de la Ley Sarbanes-Oxley (SOX). De manera similar, las instituciones de atención médica deben cumplir con las obligaciones de retención de datos de la Ley de Portabilidad y Responsabilidad de Seguros de Salud (HIPAA).

Además, las empresas que reciben pagos de consumidores (como tarjetas de crédito) deben seguir las reglas de retención y eliminación de datos de los Estándares de Seguridad de Datos de la Industria de Tarjetas de Pago (PCI DSS). Cualquier organización que recopile y analice los datos personales de individuos de la UE en cualquier parte del mundo debe seguir los estándares de retención de datos del Reglamento General de Protección de Datos (GDPR) de la Unión Europea. 

Las pautas de retención de datos deben describir qué datos se están recopilando, por qué se están recopilando, dónde se están manteniendo y el período de retención para cumplir con el GDPR.

La capacidad de generar informes utilizando datos archivados permite a las organizaciones identificar tendencias y desarrollar ideas que no habrían sido factibles de otra manera. Según este punto de vista, la retención de datos es más que solo producir y preservar un registro del pasado: también se trata de establecer un recurso que puede usarse en el futuro.

¿Qué es un período de retención de datos?

Un período de retención de datos, a veces conocido como período de retención de registros, es la cantidad de tiempo que una empresa retiene registros. Las empresas deben guardar varios tipos de datos durante diferentes períodos de tiempo. 

Las mejores prácticas sugieren que los datos se mantengan durante el tiempo que sea práctico. Sin embargo, varias leyes y regulaciones tienen criterios particulares para los períodos de retención de datos, por lo que es fundamental completar tu estudio antes de decidir sobre una duración para una política de retención de datos.

¿Cuánto dura un período de retención de datos?

No hay una respuesta definitiva a la cuestión de cuánto tiempo debe durar un período de retención de datos. Todo se reduce a la preferencia. Está determinado por el tipo de datos, el propósito para el cual se recopilaron o generaron, si todavía se consideran relevantes y otros factores basados en las regulaciones.

Si bien ciertas reglas, como HIPAA, exigen que la información se mantenga durante al menos seis años "desde la fecha de su creación o la fecha en que estuvo en vigor por última vez, lo que sea más tarde", no todas las regulaciones especifican limitaciones de tiempo.

¿Qué es una política de retención de datos?

Una política de retención de datos, también conocida como política de retención de registros, describe cuánto tiempo una empresa mantendrá varios tipos de datos para fines operativos o de cumplimiento normativo y cómo eliminará esos datos después de ese período. Una política de retención de datos es un componente de la estrategia general de gestión de datos de una organización.

Al desarrollar una estrategia de retención de datos, debes considerar cómo organizar los datos para que puedan ser buscados y recuperados más tarde. También debes decidir cómo eliminar los datos que ya no son necesarios. Algunas empresas creen que usar una plantilla de política de retención de datos es beneficioso porque proporciona estructura. Una política de retención de datos exhaustiva describe las razones comerciales para preservar datos específicos y qué hacer con ellos cuando están listos para su destrucción.

Una política básica de retención de datos debe especificar detalles sobre la organización de documentos y datos, períodos de retención y sistemas o dispositivos de almacenamiento utilizados para guardarlos. Estos elementos generalmente se basan en las pautas de la industria.

Ejemplo de política de retención de datos

La vida útil de una política de retención de datos puede variar de minutos a años. Un motor de políticas debe incluir múltiples campos, como usuario, departamento, carpeta y tipo de archivo.

Las empresas deben incluir las comunicaciones por correo electrónico en su política de retención de datos. Los correos electrónicos se acumulan rápidamente, y algunos ocupan mucho espacio, por lo que establece un cronograma de retención sensato. Al igual que con la política de retención de datos, el personal de TI debe colaborar con el departamento legal en el cronograma de retención de correos electrónicos.

En términos de objetivos, el almacenamiento de objetos es una opción estándar en una estrategia de retención de datos, ya que proporciona buena seguridad de datos a bajo costo. Otro repositorio típico para datos que requieren una retención más prolongada es el almacenamiento en la nube pública. A menudo es menos costoso que el almacenamiento en las instalaciones, particularmente en niveles de acceso bajo. Los proveedores de servicios en la nube proporcionan protección de datos fuera del sitio, lo cual es crítico si falla el centro de datos principal de la organización. La velocidad de restauración está determinada por el nivel y la cantidad de recopilación de datos.

Además, la cinta sigue desempeñando un papel esencial en la preservación de datos a largo plazo. Los datos históricos a los que se accede con poca frecuencia funcionan bien en cinta, que tarda más en repararse que otros formatos. Almacenar datos en cinta durante años suele ser menos costoso que mantenerlos en la nube y consume menos energía que el almacenamiento en disco. La cinta, al igual que la nube pública, permite el almacenamiento fuera del sitio.

La mayoría de las empresas que manejan datos de clientes mencionan con frecuencia sus estrategias de retención de datos en su política de privacidad. Por ejemplo, la política de privacidad de datos de G2 educa a los consumidores sobre la política de retención de datos de la empresa y los períodos de retención.

Componentes de una política de retención de datos exitosa

Una política de retención de datos debe especificar cómo la empresa respaldará, archivará y destruirá documentos en papel y digitales. El borrador final debe ser integral y unificado, incorporar aportes de varios grupos y aplicarse en toda la empresa. La política puede ser enmendada o modificada, y los equipos deben registrar cualquier cambio dentro del documento.

Una política de retención de datos puede comprender cualquiera o todas las siguientes secciones:

• Requisitos legales y comerciales relevantes: Esta sección debe explicar las razones comerciales y legales para la retención y los respaldos de datos. Debe modificarse cuando cambien las necesidades y la legislación.
• Políticas y procedimientos de retención de datos: Cada registro y tipo de datos tendrá varios plazos de retención y protocolos. Considera la ubicación de almacenamiento de datos, las técnicas de respaldo y el período de retención. Especifica el rol o equipo que posee y gestiona cada tipo de datos. También es necesario especificar qué tipos de documentos no necesitan conservarse y destruirse inmediatamente.
• Pasos para la destrucción de datos: Es fundamental especificar los procesos de destrucción de datos aplicables una vez que expire el período de retención. Especifica el método para triturar documentos en papel. Indica qué archivos digitales deben eliminarse manualmente y cuáles son limpiados automáticamente por el sistema.
• Procedimientos de archivo de datos: Algunos datos no son necesarios para el uso diario, pero se archivan por preocupaciones regulatorias y de cumplimiento. Los protocolos de archivo definen los formatos de documentos, ubicaciones de almacenamiento y métodos de recuperación. Quizás ciertos documentos en papel se mantengan fuera del sitio y solo se recuperen cuando sea necesario. Los equipos de datos pueden mantener archivos digitales específicos en varios servidores para asegurar un tiempo de respuesta rápido y reducir el desorden en los servidores locales.
• Procesos de excepción: La empresa puede hacer varias exenciones a sus métodos habituales de retención, eliminación o archivo de datos. Definir estas exclusiones en la política de retención de datos es fundamental para evitar confusiones o interpretaciones erróneas.
• Acciones apropiadas para solicitudes de descubrimiento, legales o de auditoría: Las empresas deben tener una respuesta uniforme a las solicitudes de descubrimiento, legales o de auditoría. Esta sección debe definir el procedimiento de respuesta, quién es responsable de hacer la respuesta y cómo se documentará.

Cómo crear una política de retención de datos

Crear una política de retención de datos no es una tarea fácil. Algunas empresas encuentran más rentable externalizar el proceso de planificación y ejecución de políticas que hacerlo internamente. Hay seis procesos esenciales que las empresas deben seguir al desarrollar sus propias políticas de retención de datos:

1. Identificar a los propietarios de datos críticos

Los datos a menudo están aislados en sectores. Por ejemplo, el equipo de ventas posee datos de ventas, el departamento de finanzas posee datos financieros, el departamento de recursos humanos posee datos de empleo y el departamento de TI posee datos de registros. Desarrolla una política de retención de datos identificando primero a los propietarios clave de datos dentro de tu empresa, obteniendo su aprobación y formando un equipo de proyecto que incluya a todos los propietarios de datos.

Debido a que cada departamento o propietario será responsable de gestionar sus datos de acuerdo con la política de retención de datos, es fundamental que todos estén comprometidos e involucrados en el proceso.

2. Clasificar los datos en categorías significativas

La siguiente etapa en el desarrollo de una política de retención de datos es describir tus datos. Haz una lista de todos los tipos de datos recopilados por tu empresa. Cuando hayas terminado la lista, divide los datos en grupos según dónde se crearon o su propósito previsto.

Cada tipo de datos que especifiques podría ser susceptible a regulaciones especiales de retención de datos y restricciones comerciales. Para tener en cuenta esto, necesitarás investigar y desarrollar reglas de retención de datos únicas para cada tipo de datos que tu empresa recopile.

3. Realizar un análisis de políticas y necesidades comerciales para cada tipo de datos

El siguiente paso es realizar una evaluación de políticas. Realizar estas evaluaciones te permitirá tener una mejor idea de cómo tu organización utiliza sus datos. Incluso podrías encontrar algunas aplicaciones nuevas y esenciales para los datos que ya estás recopilando. 

Finalmente, podrás determinar las reglas exactas de retención de datos que se aplican a tu información: recuerda verificar la legislación en cada país en el que operas.

4. Crear una nueva política de retención para cada tipo de datos

Has segmentado todos tus datos corporativos y explorado los casos de uso comercial y los requisitos de cumplimiento de cada tipo de datos. Ahora puedes evaluar la ubicación de almacenamiento, el período de retención y los métodos apropiados de destrucción de datos según la información recopilada.

Además de recomendaciones generales para cosas como historiales de revisiones y exclusiones de políticas, tu política de retención de datos debe contener una estrategia de comunicación para los desafíos de retención de datos. Es mejor delinear un plan para asegurar el cumplimiento de tu política de retención de registros.

5. Crear SOPs para la retención, archivo y destrucción de datos

Los procedimientos operativos estándar (SOPs) definen los procesos y la tecnología que tu empresa empleará para almacenar, preservar, archivar y eliminar datos de acuerdo con tu política de retención de datos establecida. Los empleados pueden llevar a cabo las regulaciones de retención de datos o pueden automatizarse con software.

AWS y otros proveedores de nube pública ofrecen servicios que automatizan las reglas de retención de datos de las empresas en la nube. Dos ejemplos comunes son Amazon S3 Intelligent Tiering, que mueve inteligentemente los datos entre niveles de almacenamiento optimizados en costos según los patrones de uso del usuario, y Amazon S3 Object Expiration, que permite a los propietarios de datos programar la destrucción de objetos de datos en cubos S3.

6. Poner en práctica tu política de retención de datos

Ahora deberías tener todo lo que necesitas para poner en práctica tu política de retención de datos. Ahora es el momento de implementar tu política de retención de datos y asegurar el cumplimiento en toda tu empresa. 

Necesitarás informar a los jefes de departamento y sus equipos sobre los nuevos enfoques y expectativas, asegurarte de que los propietarios de datos estén al tanto de cualquier nuevo compromiso, enfatizar la importancia del cumplimiento, hacer cumplir cualquier nuevo proceso o tecnología necesaria para apoyar tu estrategia de retención de datos, y proporcionar capacitación adicional según sea necesario.

Mejores prácticas de retención de datos

Cada empresa tiene diferentes demandas al desarrollar una política de retención de datos efectiva. No obstante, las empresas deben seguir algunas mejores prácticas al crear una política de retención de datos. 

• Reconocer las responsabilidades legales. Las empresas deben establecer las reglas y regulaciones para sus requisitos de retención de datos e incluir esos requisitos en su política de retención de datos.
• Evaluar las necesidades de la empresa. Desarrollar una política de retención de datos eficiente implica más que simplemente seguir las reglas. La política de retención también debe considerar las necesidades comerciales de la empresa. Las razones operativas pueden requerir que los datos se mantengan más tiempo del necesario legalmente.
• Ser honesto y transparente. Informa a tus clientes, suscriptores y usuarios sobre los datos que planeas guardar, su mantenimiento y manejo de datos. Dales tanto control como sea posible sobre cómo se maneja su información.
• Eliminar datos cuando ya no sean necesarios. Muchas empresas no implementan este protocolo fundamental de retención de datos porque asumen que mantener los datos más tiempo del necesario es más seguro que eliminarlos y recuperarlos más tarde. Sin embargo, esto no podría estar más lejos de la verdad.

Beneficios de la retención de datos

Si bien el cumplimiento normativo es la principal motivación para que las empresas implementen una política de retención de datos, también tiene otras ventajas. La retención de datos está en el corazón de la gestión de datos. La documentación en papel y la información electrónica impulsan la actividad de las empresas, y enormes cantidades de datos digitales suelen ser difíciles de almacenar o categorizar en sistemas de archivos tradicionales.

Descubrir y recopilar registros contables, interacciones con clientes, comunicaciones electrónicas, datos financieros, datos de ventas y otros datos empresariales digitales críticos ayuda con más que mantener el cumplimiento. Estas prácticas también ayudan a las empresas a reanudar operaciones después de un desastre al respaldar los datos relevantes con una frecuencia suficiente para recuperarse de catástrofes.

Evaluar regularmente tu estrategia de retención de datos permite a tu empresa eliminar archivos antiguos y duplicados. Deshacerse de material redundante y obsoleto acelera las búsquedas, minimiza la confusión y mejora la experiencia del usuario. 

Prácticas de retención de datos más inteligentes y optimizadas pueden liberar espacio para nuevos datos y archivos, permitiendo almacenamiento adicional. Migrar datos antiguos a la nube y eliminar copias puede ser parte de tu estrategia de retención de datos digitales. Con costos de almacenamiento reducidos y mayor velocidad, todo el proceso ahorra tiempo y dinero a largo plazo.

Desafíos de la retención de datos

Los datos continúan creciendo a un ritmo alarmante, no solo en el almacenamiento primario sino también en copias de seguridad de datos y archivos. La copia de seguridad es más estresante cuando los mismos datos se respaldan muchas veces. Un programa de retención de datos es un método para reducir la cantidad y, eventualmente, automatizar el proceso de mantener conjuntos de datos.

Establecer una directriz de retención de datos, por otro lado, es difícil. Establecer un cronograma de retención de datos tampoco es fácil. Las empresas deben mantener ciertos conjuntos de datos durante diferentes períodos de tiempo por razones legales y operativas. 

Una empresa debe tener cuidado, especialmente si utiliza un sistema automatizado de retención de datos. El almacenamiento a veces puede ser una molestia. Por eso, para optimizar el presupuesto, una política de retención de datos adecuada especifica el tipo de almacenamiento donde se almacenan los datos retenidos.

La retención de datos es importante (¡pero ya lo sabías!)

La retención de datos se está volviendo más desafiante a medida que las empresas enfrentan demandas competitivas para maximizar el valor de los datos y las responsabilidades legales para cumplir con un número creciente de reglas de retención de datos. Las organizaciones pueden reducir los costos de almacenamiento de datos, al tiempo que maximizan el valor de los datos y cumplen con las reglas y regulaciones de retención de datos locales e internacionales al desarrollar y ejecutar una estrategia de retención de datos exhaustiva.

¿Te preocupa la retención de correos electrónicos? Aprende cómo las empresas pueden evitar la pérdida de datos con archivado de correos electrónicos.