Medidas de Seguridad RGPD: Cómo Proteger los Datos Personales

¿Qué son las medidas de seguridad en el RGPD?

Las medidas de seguridad RGPD son los controles técnicos y organizativos utilizados para proteger los datos personales y los sistemas y servicios que intervienen en su tratamiento.

Su finalidad no consiste únicamente en impedir un ataque informático.

La seguridad debe contribuir a proteger los datos frente a situaciones como:

• acceso no autorizado;

• divulgación indebida;

• alteración;

• pérdida;

• destrucción;

• indisponibilidad;

• errores;

• incidentes físicos;

• incidentes técnicos.

El Reglamento General de Protección de Datos adopta un enfoque basado en el riesgo.

Esto significa que no existe una lista única de medidas que pueda aplicarse automáticamente a todas las empresas.

La pregunta correcta no es:

“¿Qué medidas de seguridad exige el RGPD a todas las empresas?”

Sino:

“¿Qué medidas son apropiadas para garantizar un nivel de seguridad adecuado a los riesgos de este tratamiento concreto?”

El artículo 32 del RGPD: seguridad del tratamiento

El artículo 32 establece el marco fundamental de seguridad.

Para determinar las medidas apropiadas deben tenerse en cuenta factores como:

• el estado de la técnica;

• los costes de aplicación;

• la naturaleza del tratamiento;

• su alcance;

• el contexto;

• las finalidades;

• la probabilidad de los riesgos;

• la gravedad de sus posibles consecuencias para las personas.

Por tanto:

riesgo → medidas apropiadas → nivel de seguridad adecuado.

El RGPD menciona diferentes medidas y capacidades que pueden resultar apropiadas dependiendo del caso, pero no establece que todas deban implantarse siempre y de la misma manera.

¿Qué objetivos debe cubrir la seguridad?

El artículo 32 permite identificar varios objetivos esenciales.

Confidencialidad

Los datos deben estar protegidos frente al acceso o comunicación no autorizados.

Esto puede requerir medidas relacionadas con:

• autenticación;

• permisos;

• perfiles;

• cifrado;

• confidencialidad;

• seguridad física;

• dispositivos;

• comunicaciones.

Integridad

La información debe estar protegida frente a modificaciones o alteraciones no autorizadas o accidentales.

Dependiendo del tratamiento pueden utilizarse:

• controles de acceso;

• trazabilidad;

• restricciones de modificación;

• copias;

• sistemas de verificación;

• procedimientos de control.

Disponibilidad

Los datos y sistemas deben permanecer disponibles cuando sean necesarios.

Esto puede requerir:

• copias de seguridad;

• redundancia;

• mantenimiento;

• recuperación;

• continuidad;

• protección frente a fallos.

Resiliencia

Los sistemas y servicios deben disponer de una capacidad apropiada para resistir y recuperarse de incidentes.

La resiliencia no depende de una única herramienta.

Puede implicar arquitectura, procedimientos, sistemas alternativos, copias, mantenimiento, monitorización y capacidad de respuesta.

Recuperar los datos después de un incidente

El RGPD también contempla la capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma oportuna cuando se produce un incidente físico o técnico.

Esto convierte las copias de seguridad en una medida potencialmente muy importante.

Pero:

tener una copia no significa disponer de una estrategia adecuada de recuperación.

Hay que valorar aspectos como:

• qué información se copia;

• frecuencia;

• ubicación;

• aislamiento;

• protección;

• cifrado cuando proceda;

• retención;

• control de acceso;

• comprobación de integridad;

• capacidad real de restauración.

Una copia que nunca se ha probado puede no proporcionar la capacidad de recuperación esperada.

Verificar la eficacia de las medidas

La seguridad no termina después de instalar controles.

El artículo 32 contempla un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas.

Esto no significa que todas las empresas estén obligadas a contratar una auditoría externa anual.

La forma, profundidad y frecuencia de las comprobaciones debe responder al contexto y al riesgo.

Pueden existir, según las circunstancias:

• revisiones de permisos;

• pruebas de restauración;

• comprobaciones de configuración;

• revisiones de actualizaciones;

• análisis de vulnerabilidades;

• pruebas técnicas;

• revisión de procedimientos;

• ejercicios de respuesta;

• auditorías;

• otras comprobaciones apropiadas.

Lo importante es disponer de mecanismos proporcionados para comprobar que las medidas siguen siendo eficaces.

Las medidas de seguridad dependen del análisis de riesgos

Para seleccionar medidas necesitamos conocer previamente los riesgos.

El Análisis de Riesgos RGPD permite estudiar qué consecuencias podrían producir los tratamientos para los derechos y libertades de las personas.

No debemos confundir este análisis con un análisis exclusivamente informático.

Una vulnerabilidad tecnológica puede generar riesgo, pero también pueden hacerlo:

• procedimientos incorrectos;

• accesos excesivos;

• comunicaciones equivocadas;

• configuraciones inadecuadas;

• conservación excesiva;

• proveedores;

• errores humanos;

• falta de instrucciones;

• pérdidas físicas;

• tratamientos incompatibles.

La seguridad debe diseñarse a partir del contexto real.

¿Siguen existiendo los niveles básico, medio y alto?

No como antiguo sistema obligatorio de clasificación de las medidas de seguridad.

El modelo establecido por la normativa anterior al RGPD dejó paso al enfoque basado en el riesgo.

Actualmente no debemos seleccionar una tabla cerrada de medidas simplemente porque un tratamiento pertenezca al antiguo “nivel básico”, “medio” o “alto”.

En Niveles de Seguridad RGPD explicamos específicamente este cambio.

Que un tratamiento pueda presentar un riesgo elevado tampoco significa que vuelva a existir el antiguo “nivel alto”.

Son conceptos diferentes.

Medidas técnicas de seguridad

Las medidas técnicas utilizan sistemas, configuraciones, dispositivos o controles tecnológicos para reducir riesgos.

No existe una lista universal.

A continuación se muestran ejemplos que pueden resultar apropiados dependiendo del tratamiento.

Control de accesos

No todas las personas de una organización necesitan acceder a toda la información.

Una gestión adecuada puede incluir:

• cuentas individuales;

• perfiles;

• permisos según funciones;

• principio de mínimo privilegio;

• revisión de accesos;

• retirada de permisos cuando dejan de ser necesarios;

• bloqueo de cuentas;

• registro de determinadas actividades cuando resulte apropiado.

El objetivo es reducir accesos innecesarios y limitar las consecuencias de una utilización indebida de las credenciales.

Contraseñas y autenticación

La autenticación permite comprobar la identidad de quien intenta acceder a un sistema.

Dependiendo del riesgo pueden considerarse:

• políticas adecuadas de contraseñas;

• gestores de contraseñas;

• autenticación multifactor;

• protección frente a intentos repetidos;

• procedimientos seguros de recuperación;

• eliminación de credenciales compartidas;

• controles adicionales para accesos sensibles.

No todos los sistemas requieren exactamente la misma configuración.

El nivel de protección debe ser proporcional al riesgo.

Cifrado

El cifrado aparece expresamente entre las medidas que el artículo 32 señala como posibles medidas apropiadas.

Puede aplicarse, dependiendo del caso, a:

• dispositivos;

• soportes;

• bases de datos;

• comunicaciones;

• copias de seguridad;

• portátiles;

• información almacenada en servicios externos.

Pero el RGPD no dice que absolutamente todos los datos personales deban estar cifrados en cualquier circunstancia.

La decisión debe relacionarse con los riesgos y con el tratamiento.

Además, cifrar datos no resuelve por sí solo todos los problemas de seguridad.

Seudonimización

La seudonimización consiste en tratar los datos de forma que no puedan atribuirse a una persona concreta sin utilizar información adicional, siempre que esa información adicional se mantenga separada y protegida mediante medidas adecuadas.

Puede ser especialmente útil en determinados entornos de:

• análisis;

• investigación;

• desarrollo;

• pruebas;

• estadística;

• proyectos tecnológicos.

Pero tampoco constituye una obligación universal para cualquier tratamiento.

Debe valorarse cuándo resulta apropiada.

Actualizaciones y gestión de vulnerabilidades

Los sistemas desactualizados pueden mantener vulnerabilidades conocidas.

Una política de seguridad puede contemplar:

• inventario de sistemas;

• actualizaciones;

• parches;

• software soportado;

• revisión de vulnerabilidades;

• retirada de sistemas obsoletos;

• priorización según criticidad.

El objetivo no es “actualizar todo inmediatamente” sin análisis, sino gestionar adecuadamente el riesgo asociado a las vulnerabilidades.

Protección frente a software malicioso

Dependiendo del entorno pueden resultar apropiados controles como:

• protección antimalware;

• filtrado;

• sistemas de detección;

• protección del correo;

• restricción de ejecución;

• aislamiento;

• monitorización;

• actualización de firmas o motores;

• protección avanzada de endpoints.

La solución dependerá de la infraestructura y de los riesgos existentes.

Seguridad de las redes

Las redes pueden necesitar controles relacionados con:

• firewall;

• segmentación;

• separación de entornos;

• acceso remoto;

• redes inalámbricas;

• servicios expuestos;

• monitorización;

• configuración segura;

• comunicaciones cifradas.

Una pequeña oficina y una plataforma que procesa grandes cantidades de información no necesariamente necesitarán la misma arquitectura.

Copias de seguridad

Las copias pueden contribuir especialmente a la disponibilidad y recuperación.

Su diseño debería responder a preguntas como:

• ¿qué información necesita copia?

• ¿con qué frecuencia?

• ¿durante cuánto tiempo?

• ¿quién puede acceder?

• ¿dónde se almacena?

• ¿qué ocurre si el sistema principal queda comprometido?

• ¿se puede restaurar realmente?

• ¿se han realizado pruebas?

La seguridad de una copia es tan importante como su existencia.

Dispositivos y soportes

Ordenadores, portátiles, teléfonos, memorias USB y otros soportes pueden contener o permitir acceso a datos personales.

Dependiendo del riesgo pueden requerirse medidas relacionadas con:

• cifrado;

• bloqueo;

• inventario;

• configuración;

• actualización;

• borrado seguro;

• restricciones de uso;

• pérdida o robo;

• acceso remoto;

• eliminación.

Los dispositivos móviles y el teletrabajo requieren especial atención cuando permiten acceder a información desde fuera de las instalaciones.

Seguridad física

No toda la seguridad es digital.

También puede ser necesario controlar:

• acceso a instalaciones;

• armarios;

• archivos;

• servidores;

• soportes;

• documentación en papel;

• destrucción de documentos;

• visitantes;

• zonas restringidas.

Una puerta abierta o un expediente abandonado pueden generar problemas de confidencialidad igual que una contraseña comprometida.

Registros y trazabilidad

En determinados tratamientos puede resultar apropiado registrar accesos, operaciones o eventos.

La trazabilidad puede ayudar a:

• detectar anomalías;

• investigar incidentes;

• identificar accesos;

• reconstruir acontecimientos;

• verificar procedimientos.

Pero el registro debe diseñarse también respetando los principios de protección de datos.

No se trata de monitorizar indiscriminadamente cualquier actividad.

Medidas organizativas de seguridad

La tecnología necesita reglas.

Una empresa puede tener buenas herramientas y, al mismo tiempo, presentar riesgos importantes si nadie sabe:

• quién puede acceder;

• cómo se comparte información;

• qué hacer ante un incidente;

• cómo eliminar datos;

• qué dispositivos pueden utilizarse;

• cómo actuar ante un correo sospechoso.

Las medidas organizativas permiten convertir los controles tecnológicos en procedimientos reales.

Políticas e instrucciones internas

Dependiendo de la organización pueden ser necesarias políticas o instrucciones sobre:

• uso de sistemas;

• control de accesos;

• contraseñas;

• dispositivos;

• correo electrónico;

• teletrabajo;

• soportes;

• copias;

• intercambio de información;

• eliminación;

• incidentes;

• confidencialidad.

No es necesario crear documentos innecesariamente extensos.

Deben ser comprensibles y aplicables.

Personal con acceso a datos

El artículo 32 debe relacionarse también con las personas que trabajan bajo la autoridad del responsable o del encargado.

Quien tenga acceso a datos personales debe tratarlos siguiendo las instrucciones correspondientes, salvo obligación jurídica en sentido contrario.

Por eso puede resultar necesario proporcionar:

• instrucciones;

• manuales;

• procedimientos;

• guías;

• tutoriales;

• recordatorios;

• información sobre incidentes;

• buenas prácticas de seguridad.

Nuestra Formación y Concienciación RGPD para Empresas se orienta precisamente a esta función práctica.

No ofrecemos un curso genérico como sustituto de las medidas de seguridad.

Altas, cambios y bajas de usuarios

La gestión de accesos debe contemplar el ciclo completo.

Cuando una persona se incorpora puede necesitar determinados permisos.

Cuando cambia de función, esos permisos pueden necesitar modificaciones.

Cuando abandona la organización, los accesos que ya no necesita deben retirarse.

Mantener cuentas antiguas activas o privilegios innecesarios puede aumentar el riesgo.

Gestión de incidentes

La organización debería saber qué hacer cuando detecta un posible incidente.

Un procedimiento puede contemplar:

1. detección;

2. comunicación interna;

3. contención;

4. recopilación de información;

5. análisis;

6. recuperación;

7. documentación;

8. valoración de las consecuencias;

9. adopción de medidas correctoras.

Cuando el incidente afecta a datos personales deberá determinarse además si constituye una brecha de datos personales y aplicar las obligaciones correspondientes.

Seguridad y brechas de datos personales

Una brecha de datos personales es una violación de seguridad que ocasiona la destrucción, pérdida o alteración accidental o ilícita de datos personales, o su comunicación o acceso no autorizados.

Pero:

incidente de seguridad ≠ automáticamente brecha de datos personales.

Y:

brecha de datos personales ≠ automáticamente notificación a la AEPD.

En Ciberataques y RGPD desarrollamos específicamente este proceso.

Cuando exista una brecha, el responsable debe documentarla y valorar el riesgo.

La notificación a la autoridad será necesaria salvo que sea improbable que la brecha constituya un riesgo para los derechos y libertades de las personas.

Cuando resulte exigible, debe realizarse sin dilación indebida y, de ser posible, dentro de las 72 horas desde que el responsable tuvo constancia.

Proveedores y seguridad

Los proveedores pueden formar parte del entorno de seguridad.

Antes de contratar determinados servicios puede ser necesario valorar aspectos como:

• qué datos se tratarán;

• qué función tiene el proveedor;

• dónde se alojan;

• quién puede acceder;

• qué garantías ofrece;

• qué medidas aplica;

• qué ocurre ante un incidente;

• qué subcontratistas intervienen;

• cómo se recuperan o eliminan los datos.

Cuando el proveedor actúa como encargado del tratamiento deberán cumplirse además las obligaciones correspondientes del artículo 28.

No todos los proveedores son automáticamente encargados.

Responsable y encargado: ambos tienen obligaciones de seguridad

El artículo 32 no se dirige únicamente al responsable.

También exige al encargado del tratamiento aplicar medidas técnicas y organizativas apropiadas.

Por tanto, la seguridad debe analizarse a lo largo de la cadena de tratamiento.

El responsable no debería limitarse a firmar un contrato y olvidarse del proveedor.

Y el encargado tampoco puede asumir que toda la responsabilidad corresponde al cliente.

Seguridad desde el diseño

Las medidas funcionan mejor cuando se incorporan antes de poner en marcha el tratamiento.

Por ejemplo, antes de contratar o desarrollar un nuevo sistema pueden analizarse:

• permisos;

• información necesaria;

• configuraciones;

• accesos;

• almacenamiento;

• comunicaciones;

• copias;

• proveedores;

• conservación;

• eliminación;

• registros.

Corregir un sistema después de estar implantado puede resultar más complejo.

La protección de datos desde el diseño y por defecto permite integrar estas cuestiones desde el inicio.

¿Qué ocurre con los datos especialmente sensibles?

La presencia de determinadas categorías de datos puede influir significativamente en el riesgo.

Por ejemplo, pueden requerir especial atención tratamientos relacionados con:

• salud;

• biometría utilizada en determinadas condiciones;

• genética;

• determinadas circunstancias personales;

• información cuya exposición pueda causar consecuencias importantes.

Pero tampoco debemos crear una regla automática del tipo:

“datos de salud = cifrado obligatorio + EIPD obligatoria”.

Hay que analizar el tratamiento concreto.

Seguridad en clínicas y centros sanitarios

En el ámbito sanitario pueden resultar especialmente relevantes:

• control de accesos;

• confidencialidad;

• trazabilidad;

• disponibilidad;

• copias;

• comunicaciones seguras;

• gestión de dispositivos;

• recuperación;

• protección de documentación.

El tratamiento de datos de salud exige una valoración especialmente cuidadosa.

Sin embargo, la necesidad de una EIPD debe determinarse conforme a los criterios aplicables al tratamiento, no únicamente por utilizar datos de salud.

Seguridad en despachos profesionales

Despachos jurídicos, asesorías, gestorías y otros profesionales pueden gestionar información personal de clientes, trabajadores y terceros.

Según su actividad puede ser necesario prestar atención a:

• documentación;

• correo electrónico;

• accesos;

• portátiles;

• servicios cloud;

• copias;

• intercambio de archivos;

• proveedores;

• conservación;

• destrucción segura.

La medida adecuada dependerá de la información y de los riesgos concretos.

Seguridad en comercios y hostelería

En comercios, restaurantes y establecimientos pueden coexistir distintos tratamientos:

• personal;

• clientes;

• reservas;

• videovigilancia;

• proveedores;

• marketing;

• formularios;

• sistemas online.

Cada uno puede necesitar medidas diferentes.

No debemos diseñar la seguridad únicamente alrededor del TPV o de las cámaras.

Seguridad en centros educativos

Los centros educativos pueden tratar información de alumnos, familias, trabajadores y proveedores.

En este contexto pueden resultar relevantes:

• permisos;

• plataformas educativas;

• comunicaciones;

• dispositivos;

• fotografías;

• información académica;

• servicios cloud;

• accesos del personal;

• seguridad de cuentas.

Cuando existen menores debe prestarse especial atención a las posibles consecuencias del tratamiento.

Seguridad en inmobiliarias

Las inmobiliarias pueden tratar documentación identificativa, contractual, económica y otra información relacionada con propietarios, compradores, arrendadores o arrendatarios.

El intercambio de documentación por correo, aplicaciones, servicios cloud y dispositivos requiere medidas coherentes con los riesgos.

La seguridad debe integrarse con las restantes obligaciones RGPD.

¿Una pequeña empresa necesita las mismas medidas que una gran empresa?

No necesariamente.

El RGPD no establece que una empresa de tres trabajadores tenga que implantar exactamente la misma infraestructura que una gran organización.

Pero tampoco exime automáticamente a una pequeña empresa de proteger los datos.

Las medidas deben ser apropiadas.

Una pequeña organización puede gestionar tratamientos que presenten riesgos importantes.

Y una gran organización puede necesitar controles más complejos por su escala, tecnología, volumen de datos o exposición.

¿El coste puede tenerse en cuenta?

Sí.

El artículo 32 incluye los costes de aplicación entre los factores que deben considerarse.

Pero eso no significa que el coste permita ignorar riesgos relevantes.

Debe buscarse un equilibrio entre:

• riesgo;

• estado de la técnica;

• naturaleza del tratamiento;

• contexto;

• finalidad;

• coste;

• medidas disponibles.

La decisión debe poder justificarse.

¿Es obligatorio cifrar todos los datos personales?

No existe una obligación general de cifrar absolutamente todos los datos personales en cualquier circunstancia.

El cifrado es una medida expresamente contemplada por el RGPD y puede ser especialmente apropiada en numerosos escenarios.

Pero debe seleccionarse dentro del análisis del riesgo.

Por ejemplo, puede tener especial sentido en dispositivos portátiles, comunicaciones, copias, bases de datos o información cuya exposición pueda generar consecuencias importantes.

¿Es obligatorio utilizar autenticación de doble factor?

Tampoco existe una regla general del RGPD que diga:

“toda empresa debe utilizar doble factor en todos los sistemas”.

La autenticación multifactor puede ser una medida muy adecuada en numerosos contextos, especialmente para:

• acceso remoto;

• cuentas administrativas;

• servicios cloud;

• correo;

• sistemas sensibles.

La decisión debe basarse en el riesgo.

¿Son obligatorias las copias de seguridad?

El artículo 32 contempla la capacidad de restaurar la disponibilidad y el acceso a los datos personales después de un incidente.

En numerosos tratamientos las copias de seguridad serán una medida esencial para conseguir esa capacidad.

Pero la estrategia concreta debe adaptarse al sistema y al riesgo.

Además, una copia de seguridad debe protegerse frente a accesos no autorizados y frente a incidentes que puedan afectar simultáneamente al sistema principal y a la propia copia.

¿Es obligatorio realizar una auditoría de seguridad cada año?

No existe una obligación universal de contratar una auditoría externa anual para todas las empresas sometidas al RGPD.

Sí debe existir un proceso adecuado de verificación, evaluación y valoración de la eficacia de las medidas.

La manera de realizarlo dependerá del riesgo y del contexto.

Una Auditoría RGPD puede formar parte de ese proceso cuando resulte apropiado, pero no debemos convertirla en una obligación anual inexistente.

Medidas de seguridad y medidas técnicas y organizativas: ¿son lo mismo?

Existe una relación muy estrecha, pero en nuestra web utilizamos ambas páginas con objetivos diferentes.

Esta página se centra específicamente en:

la seguridad del tratamiento del artículo 32.

La página Medidas Técnicas y Organizativas RGPD explica el concepto más amplio de medidas técnicas y organizativas dentro del sistema de cumplimiento.

Esto incluye no solamente controles de seguridad, sino también medidas relacionadas con:

• gobernanza;

• procedimientos;

• privacidad desde el diseño;

• proveedores;

• gestión interna;

• responsabilidad proactiva;

• organización del cumplimiento.

De esta forma evitamos duplicar contenidos y cada página responde a una intención de búsqueda diferente.

Documentar las medidas

La organización debería poder explicar:

• qué riesgos ha identificado;

• qué medidas ha seleccionado;

• por qué;

• cómo están implantadas;

• quién es responsable;

• cómo se revisan;

• qué cambios se han realizado.

El Registro de Actividades de Tratamiento (RAT) puede incluir, cuando sea posible, una descripción general de las medidas técnicas y organizativas de seguridad.

Pero el RAT no sustituye al análisis de riesgos ni a la documentación específica de seguridad cuando sea necesaria.

Seguridad y responsabilidad proactiva

La Responsabilidad Proactiva RGPD exige poder demostrar el cumplimiento.

En materia de seguridad esto puede traducirse, dependiendo de la organización, en evidencias como:

• configuraciones;

• políticas;

• registros;

• revisiones;

• pruebas;

• procedimientos;

• contratos;

• informes;

• instrucciones;

• incidencias;

• decisiones documentadas.

No se trata de generar documentación artificial.

Se trata de poder demostrar medidas que realmente existen.

¿Cuándo deben revisarse las medidas?

No existe una regla universal de “una vez al año” para todas las medidas y todas las empresas.

La revisión debe responder al riesgo y a los cambios.

Puede ser especialmente necesaria cuando:

• cambia un tratamiento;

• se incorpora una nueva tecnología;

• cambia un proveedor;

• aparece una vulnerabilidad relevante;

• se produce un incidente;

• cambian las amenazas;

• cambia la organización;

• se detecta que una medida no funciona;

• se modifica la infraestructura.

Además, determinadas medidas pueden requerir comprobaciones regulares por su propia naturaleza.

Cómo determinamos las medidas apropiadas

El proceso puede estructurarse en varias fases.

1. Identificar los tratamientos

Debemos conocer qué datos se utilizan y mediante qué sistemas.

2. Analizar el contexto

Personas afectadas, tecnologías, volumen, accesos, proveedores, ubicaciones y finalidades.

3. Evaluar los riesgos

Identificar posibles consecuencias para los derechos y libertades.

4. Revisar las medidas existentes

Comprobar qué controles ya están implantados y si funcionan adecuadamente.

5. Determinar medidas adicionales

Seleccionar controles proporcionados a los riesgos detectados.

6. Implantar

Aplicar las medidas técnicas y organizativas.

7. Documentar

Mantener las evidencias necesarias.

8. Verificar

Comprobar la eficacia de las medidas.

9. Revisar

Adaptarlas cuando cambien los riesgos o las circunstancias.

¿Cuándo puede ser necesaria una EIPD?

El análisis de riesgos puede revelar que un tratamiento es susceptible de entrañar un alto riesgo para los derechos y libertades de las personas.

Cuando concurran los requisitos del artículo 35 puede resultar necesaria una Evaluación de Impacto en Protección de Datos (EIPD) .

La EIPD no sustituye al análisis de seguridad.

Permite realizar una evaluación más profunda del tratamiento de alto riesgo y de las medidas previstas para afrontar los riesgos.

Nuestro enfoque sobre las medidas de seguridad RGPD

No trabajamos con una lista cerrada que se aplique automáticamente a todos los clientes.

Partimos de la realidad de la organización:

• tratamientos;

• sistemas;

• dispositivos;

• personas;

• proveedores;

• accesos;

• instalaciones;

• procedimientos;

• riesgos.

A partir de esa información puede determinarse qué medidas son razonables y apropiadas.

En algunos casos bastarán controles relativamente sencillos.

En otros serán necesarias medidas más avanzadas.

Lo importante es que exista una relación justificable entre:

tratamiento → riesgo → medida → eficacia.

Seguridad RGPD: proteger, recuperar y poder demostrar

Una estrategia de seguridad adecuada no se limita a impedir accesos no autorizados.

Debe considerar:

confidencialidad + integridad + disponibilidad + resiliencia + recuperación + verificación.

Y debe hacerlo atendiendo a los riesgos concretos de los tratamientos.

Por eso las medidas de seguridad RGPD no deberían seleccionarse copiando una lista genérica.

Deben formar parte de un sistema coherente de protección de datos en el que las medidas estén implantadas, sean apropiadas y puedan revisarse y demostrarse.