MEDIDAS DE SEGURIDAD PARA LOS NIVELES

MEDIDAS DE SEGURIDAD PARA LOS NIVELES

Cuando hablamos de medias de seguridad estamos hablando de una serie de medidas, las cuales debemos establecer para evitar fugas en cualquier tipo de información.

Todas las empresas, independientemente de su tamaño, organización y volumen de negocio, son conscientes de la importancia de tener implantadas una serie de políticas de Seguridad tendentes a garantizar la continuidad de su negocio en el caso de que se produzcan incidencias, fallos, actuaciones malintencionadas por parte de terceros, pérdidas accidentales o desastres que afecten a los datos e informaciones que son almacenados y tratados, ya sea a través de sistemas informáticos como en otro tipo de soportes, como el papel.

Para lograr sus objetivos la seguridad informática se fundamenta en tres principios, que debe cumplir todo sistema informático:

a) Confidencialidad: entendido como el acceso autorizado a los datos.

b) Exactitud: la información no debe sufrir alteraciones no deseadas, en cuanto a su contenido.

c) Disponibilidad: sólo las personas autorizadas pueden tener acceso a la información.

Además debemos tener en cuenta que existe un reglamento el cual nos sirve de guía para la creación de las mismas.

El Real Decreto 994/1999, de 11 de junio, que aprueba el Reglamento de Medidas de Seguridad para los Ficheros automatizados de Datos de Carácter Personal establece las medidas de carácter técnico y organizativo que deben ser adoptadas por todas las Empresas, Organizaciones, Asociaciones e Instituciones, tanto Públicas como Privadas, que almacenen, traten y accedan a ficheros de datos de carácter personal.

Es una norma de mínimos, que siempre estará en función de tres extremos:

a) La tipología de los datos y el tratamiento concreto que se realiza de los mismos.

b) La dimensión y estructura de los sistemas de información.

c) El estado de la tecnología.

La obligación de seguridad que regula el art.9 de la Ley Orgánica, desarrollada por este Reglamento, es una obligación de medios; es decir, nos obliga a adoptar las medidas necesarias para proteger los datos, pero reconoce que ninguna empresa puede garantizar al 100% que, con la adopción de dichas medidas, no vayan a producirse o existir incidencias.

Por ello, siempre que el Responsable del Fichero pueda acreditar que estableció y siguió las medidas de seguridad exigibles en cada caso, evitará una posible sanción por parte de la Agencia Española de Protección de Datos. Su comportamiento siempre será valorado en función de las circunstancias y exigencias de cada tratamiento, pesando sobre él la carga de la prueba de que adoptó todas las medidas necesarias para evitar o reducir el posible daño.

A continuación daremos explicación a algunas de las medidas que se deben tomar para la protección de los niveles.

Identificación y Autenticación:

1.- Existencia de una lista actualizada de usuarios autorizados que tengan acceso autorizado al sistema de información (art.11.1 y 12.3).

2.- Procedimientos de identificación y autenticación informáticos:

a) Contraseñas: procedimiento de creación, asignación, conservación y cambio periódico (art.11.2 y 11.3).

b) Identificación de usuario, de manera inequívoca y personalizada (art.18.1).

c) Limitación de acceso incorrecto reiterado (art.18.2).

Control de acceso

1.- Los usuarios tendrán únicamente acceso a los datos/recursos de acuerdo a su puesto laboral y tareas definidas en el documento (art.12.1).

2.- Deberán implantarse mecanismos que eviten el acceso no autorizado a otros recursos: establecimiento de perfiles de usuario (art.12.2).

3.- Control de acceso físico a servidores y CPD (art.19).

4.- De cada acceso se guardarán: identificación usuario, fecha y hora, fichero accedido, tipo de acceso y su autorización o denegación, guardando la información que permita identificar registro accedido (art.24.2).

5.- Los mecanismos de acceso estarán bajo el control directo del Responsable de Seguridad, sin que pueda permitirse la desactivación (art.24.3).

6.- Registro y conservación de accesos lógicos al fichero por un plazo no inferior a 2 años (art.24.4).

7.- Para accesos a través de redes de telecomunicaciones, deberán tener las mismas medidas que para accesos en modo local (art.5).

Funciones y obligaciones del personal:

1.- Definición en el Documento de Seguridad de las funciones y obligaciones de grupos de usuarios y/o perfiles (art.9.1).

2.- Conocimiento por parte del personal de las normas y medidas de seguridad que les son aplicables (art.9.2).

3.- Identificación y funciones del/los Responsables de Seguridad (art.15 y 16).

4.- Trabajo fuera de ubicación principal debe ser expresamente autorizado (art.6).

5.- Listado de personal con acceso a Servidores y/o CPD (art.19).

6.- Listado de personal con privilegios administrativos informáticos sobre aplicaciones y ficheros (art.12.4).

Estructura de los Ficheros y del Sistema Informático:

1.- Descripción y estructura informática del Fichero (campos ID)

2.- Descripción y estructura del Sistema Informático (enumeración de equipos, redes, programas, etc...).

Gestión de Soportes:

1.- Identificación, inventariado y almacenamiento (art.13.1).

2.- Autorización necesaria para salida de soportes (art.13.2).

3.- Cifrado de soportes en caso de operaciones externas de mantenimiento (art.20.4).

4.- Medidas y procedimientos para la destrucción de soportes (art.20.3).

5.- Registro de Entrada de Soportes (art.20.1).

6.- Registro de Salida de Soportes (art.20.2).

7.- Distribución de soportes con mecanismos de cifrado de datos (art.26).

Ficheros Temporales:

Aplicación de mismo nivel de seguridad que fichero origen (art.7).

Registro de Incidencias:

1.- Contenido mínimo: tipo de incidencia, momento en que se produce, efectos producidos, persona que comunica, medidas adoptadas (art.10).

2.- Contenido adicional: Procedimiento de restauración de datos, datos restaurados y datos grabados manualmente (art.21.1)

Procedimientos de Copias de Respaldo y Recuperación datos:

1.- Deberán garantizar la restauración de los datos al momento anterior a producirse la pérdida (art.14.2).

2.- Realización de copias de backup al menos con una frecuencia semanal (art.14.3).

3.- Necesaria autorización para la ejecución de procedimientos de restauración de datos (art.21.2).

4.- Almacenamiento externo de copias y procedimientos de restauración de datos (art.25).

Pruebas con datos reales:

Aplicación de mismas medidas según nivel de seguridad de los datos (art.22).

Actualización y Auditoria:

1.- Revisión y actualización del Documento de Seguridad en función de cambios relevantes en la Organización (art.8.3).

2.- Auditoria cada 2 años. Conservación de Informe a disposición AEPD (art.17).

3.- Revisión periódica de la información de control de los accesos informáticos a ficheros y aplicaciones (art.24.5).

Medidas específicas para datos en soporte papel:

1.- Control de acceso a la documentación.

2.- Medidas de conservación y almacenamiento.

...