Ari Kaplan habló recientemente con Jerry McIver, director de servicios cibernéticos y oficial de privacidad de datos de Trustpoint. One, un proveedor de soluciones legales integradas que atiende a Am Law 400 y Fortune 2000.

Ari Kaplan: Cuéntenos sobre sus antecedentes y su función en Trustpoint.One.

Jerry McIver: Me desempeño como director de servicios cibernéticos en una unidad que ayuda a los clientes a proteger sus datos de manera proactiva y reactiva mediante el cumplimiento de las normas de privacidad de datos y la aplicación de las mejores prácticas en el gobierno de la información. Además, como oficial de privacidad de datos, apoyo y mantengo nuestro programa de privacidad de datos. A lo largo de mi carrera, he ayudado a clientes a responder a incidentes en más de 500 casos. Soy un abogado con licencia en Florida y, además de ejercer, me desempeñé como oficial de cumplimiento de HIPAA para una red regional de atención médica y como analista de sistemas. Actualmente tengo certificaciones CIPP/US y CIPM.

Ari Kaplan: ¿Cómo se cruza su doble función como director de servicios cibernéticos y oficial de privacidad de datos para los clientes de la empresa?

Jerry McIver: Como director de servicios cibernéticos, me enfoco en ayudar a los clientes a lograr sus objetivos de gobierno de información, privacidad y datos, al mismo tiempo que apoyo internamente las necesidades de privacidad de datos de la empresa. Mi concentración en la protección proactiva y consistente de nuestros datos internos me ayuda a ofrecer orientación a nuestros clientes que necesitan actualizar, auditar y mantener sus programas de privacidad. Esta experiencia y comprensión holísticas reflejan el enfoque integral de la empresa para la gestión, la protección y la privacidad de los datos.

Ari Kaplan: ¿Cómo pueden las organizaciones mejorar la forma en que gestionan su riesgo de privacidad de datos?

Jerry McIver: Comprender la ubicación de su información es fundamental. A través de una combinación de tecnología y experiencia, las organizaciones deben identificar sus datos, clasificarlos, inventariar sus registros y crear un mapa de cómo viajan los archivos. De hecho, el mapeo de datos de este tipo puede ayudar a una empresa a comprender verdaderamente el alcance de sus riesgos de privacidad de datos al identificar el uso que hace de la información en ciertas fuentes de datos, si es duplicada, la seguridad requerida de esos archivos y las personas que tienen acceso. a ellos El control de acceso efectivo es a menudo la clave para asegurarse de que aquellos que miran los datos tengan permiso para hacerlo, en lugar de otorgar ese privilegio a todos los empleados. He visto casos en los que un ataque de ransomware que cerró parcialmente una empresa fue el resultado de que la organización otorgó acceso total a todos los empleados a su software de administración de datos, por lo que los controles de acceso sólidos son esenciales.

Ari Kaplan: ¿Cuáles son algunos errores comunes que cometen las organizaciones al administrar sus datos?

Jerry McIver: La recolección excesiva de datos es el principal error. De hecho, he asesorado a organizaciones que no tenían protocolos de protección de datos. Estaban recopilando y almacenando información personal confidencial sin un programa de privacidad o una política de retención de datos, que son omisiones que presentan riesgos significativos. Una empresa no puede simplemente ignorar su deber de proteger sus datos bajo una serie de regulaciones. El segundo error más común es crear y almacenar datos duplicados, que es cada vez más común con las aplicaciones de colaboración y los empleados que trabajan de forma remota. Mantener información en múltiples ubicaciones sin un propósito legítimo debería ser una gran señal de alerta para cualquier organización moderna, por lo que deben educar a sus empleados de forma rutinaria y constante sobre la gestión adecuada de los datos. El tercer error más común es la falta de comprensión de por qué un equipo está procesando ciertos registros, por lo que cada política de privacidad debe adaptarse al trabajo que la organización está realizando actualmente y luego asociarse con un programa de retención sólido utilizando principios de minimización de datos.

Ari Kaplan: ¿Qué mejores prácticas de retención de registros y minimización de datos deben aplicar las organizaciones para minimizar su riesgo?

Jerry McIver: Evite utilizar un programa de retención de registros demasiado amplio, que es demasiado común. Una política de retención específica permite al departamento legal o al equipo encargado de mantener un programa de privacidad auditarlo mucho más fácilmente. Los equipos también pueden rastrear y recuperar registros más rápidamente. En última instancia, la minimización de datos se trata de garantizar que una organización no recopile, almacene o procese en exceso cierta información personal y confidencial sin una razón legítima. Para evitar cualquier problema, una vez que una organización procesa y usa datos para un propósito específico, debe eliminarlos. No recopile en exceso y mantenga la mínima cantidad de información posible.

Ari Kaplan: ¿Cómo ve la evolución de la privacidad de datos y el gobierno de la información en las organizaciones legales?

Jerry McIver: La Ley de Derechos de Privacidad de California y regulaciones similares están impulsando a las organizaciones a adoptar un enfoque integral y más restrictivo sobre cómo manejan sus datos. Hacerlo les brinda la mejor oportunidad para abordar las amenazas y mitigar sus riesgos. Las organizaciones deben asegurarse de que su software de administración de datos esté instalado correctamente y cuente con controles de acceso en lugar de compartir archivos simples. En general, la privacidad de los datos y el gobierno de la información van de la mano, por lo que al priorizar el descubrimiento de datos adecuado, los equipos legales pueden optimizar la forma en que extraen datos para hacer que sus organizaciones sean más eficientes e impulsar un mayor crecimiento a largo plazo.

Escucha la entrevista completa en Reinventing Professionals.

Ari Kaplan entrevista regularmente a líderes en la industria legal y en la comunidad de servicios profesionales más amplia para compartir perspectivas, resaltar cambios transformadores e introducir nuevas tecnologías en su blog y en iTunes.

Esta columna refleja las opiniones del autor y no necesariamente las opiniones del ABA Journal o de la American Bar Association.