Ir al contenido principal

GRC: Gobierno, Riesgo y Cumplimiento

GRC es un acrónimo en inglés para identificar Governance, Risk, and Compliance, que se traduce como Gobierno, Riesgo y Cumplimiento. Es una estrategia organizativa que integra estas tres áreas clave para asegurar que las actividades de una empresa estén alineadas con sus objetivos de negocio, gestionar efectivamente los riesgos y cumplir con las normativas del sector y de gobierno.

  • Gobierno: Se refiere a los marcos de trabajo de las actividades de una organización y si están o no alineados con los objetivos empresariales. Las actividades incluyen los procesos, las estructuras y las políticas destinadas a gestionar y supervisar las actividades de la empresa. Este término se puede sustituir por Gobernanza, principalmente en instituciones.
  • Riesgo: Es un proceso continuo para abordar riesgos y mitigarlos mediante controles, así como para garantizar que se gestionen de acuerdo con las políticas establecidas. Incluye la medición, la evaluación, la contención, la supervisión y la identificación de los riesgos.
  • Cumplimiento: Se refiere a la garantía de que las actividades de una organización se realizan conforme a las leyes y normativas.

El término GRC se utilizó por primera vez en el ámbito de la ciberseguridad en el año 2003. Sin embargo, el primer artículo académico revisado sobre el tema fue publicado en 2007 por el fundador de OCEG, Scott L. Mitchell, en el International Journal of Disclosure and Governance. Este concepto ha evolucionado para abarcar un enfoque estructurado en la gestión de los riesgos de TI y seguridad, alineando los procesos tecnológicos con los objetivos del negocio y los requerimientos de cumplimiento normativo.

Si eres un profesionista interesado en desarrollarse en esta disciplina, puedes certificarse mediante diversos programas que son muy reconocidos en la industria, entre ellos.




Estas certificaciones son muy valoradas en el campo de la seguridad de la información y la gestión de riesgos, y pueden variar en relevancia dependiendo del contexto geográfico y del sector industrial en que te desarrolles profesionalmente.


  • Un buen punto de inicio para dominar los conceptos de GRC, es la certificación COBIT 2019 | Control Objectives for Information Technologies que imparte ISACA.  La certificación COBIT 2019 Foundation valida la comprensión de cómo alinear los objetivos de TI con los objetivos estratégicos del negocio, incluyendo el valor derivado de TI, los recursos necesarios y los riesgos potenciales en el proceso de construir una relación madura entre el negocio y TI.



    Puedes consultar otros artículos sobre este tema en:

    Etiquetas:

    Comentarios

    Publicar un comentario

    Entradas populares de este blog

    Reporte SOC 2 Type 2 en la seguridad de la información

    La importancia del reporte SOC 2 Type 2 en la seguridad de la información En un entorno digital donde la confianza y la seguridad son fundamentales, las organizaciones deben demostrar que sus prácticas de protección de datos cumplen con estándares rigurosos. Uno de estos estándares es el SOC 2 (Service Organization Control 2) Type 2 , un informe que evalúa cómo una empresa maneja la seguridad, disponibilidad, integridad del procesamiento, confidencialidad y privacidad de los datos. Este reporte es esencial para empresas que manejan información sensible, ya que proporciona evidencia objetiva sobre su capacidad para proteger la información de sus clientes y socios comerciales. ¿Qué es un reporte SOC 2 Type 2? El SOC 2 Type 2  es un informe de auditoría que evalúa los controles internos de una organización  relacionados con la seguridad de la información. Desarrollado por la AICPA (American Institute of Certified Public Accountants), este informe sigue los Criterios de Servicios...
    Publicar un comentario
    Leer mas...

    Managing Cyber Risks: Third-Party and End-User Challenges

    🔐 Managing Cyber Risks: Third-Party and End-User Challenges Our organizations face a multitude of cyber threats that can compromise data integrity, disrupt operations, and damage reputations. Among the most challenging risks are those posed by third parties and end users. These risks often operate outside the direct control of the organization, yet their actions or inactions can have profound security implications. Understanding these risks and implementing effective controls is essential for building a resilient cybersecurity posture. 🔗  Third-Party Risks arises when organizations rely on external vendors, suppliers, or service providers who have access to our sensitive systems or data. These partners may not adhere to the same security standards, creating vulnerabilities that can be exploited by malicious actors. High-profile breaches, such as those involving supply chain attacks, have underscored the dangers of insufficient oversight in third-party relationships. The challeng...
    Publicar un comentario
    Leer mas...

    Compendio de terminología computacional / Compendium of Computational Terminology

    1a versión: 22/julio/2023 Actualizado: 9/abril/2026 2FA: Two-Factor Authentication 3DEA: Triple Data Encryption Algorithm 3DES: Triple DES 3PS: Third Person Shooter AAM: Agentic Access Management AC: Access Control ACL: Access Control Lists AES: Advanced Encryption Standard AI: Artificial Intelligence AIoT: Artificial Intelligence of Things AitM:  Adversary-in-the-Middle AML: Anti-Money Laundering AOC: Attestation Of Compliance API: Application Programming Interface APT: Advanced Persistent Threat ASCII: American Standard Code for Information Interchange ASM: Attack Surface Management ASPM: Application Security Posture Management ASV: Approved Scanning Vendor for PCI ATM: Automated Teller Machine ATT$CK: Adversarial Tactics, Techniques, and Common Knowledge AV: Antivirus AWS: Amazon Web Service B2B: Business to Business B2C: Business to Consumer BAS: Breach and Attack Simulation BAU: Business As Usual BBP: Bug Bounty Program BCM: Business Continuity Management ...
    Publicar un comentario
    Leer mas...