Niveles de Seguridad RGPD: ¿siguen existiendo los niveles básico, medio y alto?

¿Existen los niveles de seguridad básico, medio y alto en el RGPD?

No como funcionaban en la antigua normativa española.

El RGPD no establece el antiguo sistema en el que determinados tratamientos quedaban clasificados automáticamente dentro de los niveles:

• básico;

• medio;

• alto.

Por tanto, actualmente no resulta correcto afirmar:

“Esta empresa tiene RGPD nivel básico”.

“Los datos de salud son nivel alto RGPD”.

“Esta empresa necesita seguridad nivel medio”.

“Para cumplir el RGPD solamente necesito las medidas del nivel básico”.

Estas expresiones pueden proceder de terminología anterior o de metodologías internas de evaluación, pero no representan el sistema general de medidas de seguridad establecido actualmente por el RGPD.

¿De dónde procedían los niveles básico, medio y alto?

La clasificación procede del marco normativo español anterior al RGPD.

La antigua Ley Orgánica 15/1999 y, especialmente, su Reglamento de desarrollo aprobado por el Real Decreto 1720/2007 establecían un sistema de medidas de seguridad relacionado con las características de los datos tratados.

Este modelo distinguía diferentes niveles y asociaba determinadas medidas a cada uno.

Por ejemplo, dependiendo del nivel aplicable podían existir exigencias relacionadas con:

• controles de acceso;

• gestión de soportes;

• registros;

• copias;

• auditorías;

• telecomunicaciones;

• identificación y autenticación;

• y otras medidas de seguridad.

Durante años este sistema fue la referencia habitual para muchas empresas, asesores y profesionales.

De ahí que todavía se continúe buscando información sobre “niveles de seguridad RGPD”.

¿Cuándo dejaron de aplicarse los antiguos niveles?

El modelo de medidas de seguridad del Reglamento de desarrollo de la antigua LOPD dejó de ser válido con la plena aplicación del RGPD el 25 de mayo de 2018.

Esto supuso un cambio importante.

No se sustituyeron simplemente tres niveles antiguos por tres niveles nuevos.

Cambió el enfoque.

El sistema pasó de unas medidas previamente vinculadas a determinadas categorías a un modelo basado en el riesgo.

Entonces, ¿el RGPD ya no exige medidas de seguridad?

Sí las exige.

Y este punto es fundamental.

Que hayan desaparecido los antiguos niveles básico, medio y alto no significa que hayan desaparecido las obligaciones de seguridad.

El artículo 32 del RGPD exige que responsables y encargados apliquen medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo.

Por tanto:

los antiguos niveles han desaparecido;

pero la obligación de proteger adecuadamente los datos continúa plenamente vigente.

Lo que ha cambiado es la forma de determinar las medidas necesarias.

¿Qué significa “nivel de seguridad adecuado al riesgo”?

El propio RGPD utiliza la expresión “nivel de seguridad adecuado al riesgo”.

Esto puede producir cierta confusión.

La expresión no significa que debamos volver a clasificar automáticamente cada tratamiento como básico, medio o alto.

Significa que las medidas deben guardar relación con los riesgos existentes.

Para determinar su adecuación deben considerarse factores como:

• estado de la técnica;

• costes de aplicación;

• naturaleza del tratamiento;

• alcance;

• contexto;

• finalidades;

• probabilidad de los riesgos;

• gravedad de sus posibles consecuencias;

• y derechos y libertades de las personas.

El nivel de protección necesario debe surgir de ese análisis.

¿Puede hablarse de riesgo bajo, medio o alto?

Sí, siempre que sepamos exactamente qué estamos diciendo.

Una metodología de análisis puede utilizar categorías como:

• bajo;

• medio;

• alto;

o escalas numéricas, matrices, puntuaciones u otros sistemas.

Estas clasificaciones pueden resultar útiles para valorar y gestionar riesgos.

Pero no debemos confundirlas con los antiguos niveles de seguridad de la LOPD.

Por ejemplo:

“hemos valorado este riesgo como alto”

no significa:

“este tratamiento pertenece al antiguo nivel alto”.

Son conceptos diferentes.

Tampoco debemos confundir “alto riesgo” con el antiguo “nivel alto”

El RGPD utiliza el concepto de alto riesgo en diferentes ámbitos.

Uno de los más importantes aparece en relación con la Evaluación de Impacto en Protección de Datos (EIPD).

Determinados tratamientos que probablemente entrañen un alto riesgo para los derechos y libertades de las personas requieren una evaluación específica.

Pero:

alto riesgo RGPD ≠ antiguo nivel alto LOPD.

La coincidencia de la palabra “alto” no convierte ambos conceptos en equivalentes.

El nuevo enfoque: analizar primero, decidir las medidas después

El planteamiento actual puede resumirse de forma sencilla:

Tratamiento → Riesgos → Medidas apropiadas → Riesgo residual → Revisión cuando corresponda

Primero debemos comprender qué tratamiento se realiza.

Después analizamos los riesgos.

A continuación seleccionamos las medidas adecuadas.

Y posteriormente debemos comprobar que las medidas continúan siendo apropiadas y eficaces.

Este modelo permite adaptar la protección a la realidad de cada organización.

Dos empresas pueden necesitar medidas diferentes

Imaginemos dos empresas que tratan nombres, teléfonos y correos electrónicos de clientes.

Aparentemente utilizan las mismas categorías de datos.

Pero una puede disponer de:

• diez clientes;

• un único equipo;

• acceso limitado;

• ninguna aplicación accesible desde Internet;

• y un tratamiento muy sencillo.

Mientras otra puede tener:

• decenas de miles de clientes;

• múltiples empleados;

• acceso remoto;

• aplicaciones cloud;

• integraciones;

• numerosos proveedores;

• y exposición permanente a Internet.

No sería razonable determinar sus medidas únicamente observando que ambas manejan nombres, teléfonos y correos.

El contexto importa.

Y datos diferentes tampoco determinan por sí solos una lista automática

Las categorías de datos siguen siendo muy importantes para evaluar los riesgos.

No es igual tratar únicamente determinados datos de contacto que manejar información cuya exposición pueda producir consecuencias especialmente graves para las personas.

Pero el RGPD exige analizar el tratamiento en su conjunto.

Hay que considerar:

• qué datos;

• para qué;

• cuántos;

• de quién;

• durante cuánto tiempo;

• quién accede;

• dónde se almacenan;

• a quién se comunican;

• qué tecnologías intervienen;

• qué amenazas existen;

• y qué consecuencias pueden producirse.

Por tanto, la categoría de datos es un factor esencial, pero no constituye por sí sola el antiguo mecanismo automático de niveles.

El análisis de riesgos sustituye al enfoque rígido anterior

El Análisis de Riesgos RGPD permite determinar los riesgos que los tratamientos pueden suponer para los derechos y libertades de las personas.

No debe limitarse a realizar una lista de amenazas informáticas.

Debemos comprender:

• naturaleza del tratamiento;

• alcance;

• contexto;

• finalidad;

• personas afectadas;

• operaciones realizadas;

• tecnologías;

• amenazas;

• posibles consecuencias;

• medidas existentes;

• y riesgo que permanece después de aplicar las medidas.

El resultado permite tomar decisiones justificadas sobre las medidas necesarias.

¿El análisis de riesgos debe dar como resultado “bajo, medio o alto”?

No necesariamente.

El RGPD no obliga a utilizar una metodología universal con esas tres etiquetas.

Una organización puede emplear una metodología adecuada a sus características.

Puede utilizar:

• escalas cualitativas;

• matrices;

• puntuaciones;

• niveles;

• criterios cuantitativos;

• o combinaciones de diferentes técnicas.

Lo importante es que la metodología permita comprender y gestionar adecuadamente los riesgos.

El riesgo debe analizarse para las personas

Otro cambio conceptual importante consiste en comprender qué riesgo estamos evaluando.

En protección de datos no debemos limitarnos al riesgo empresarial.

Por supuesto, una pérdida de información puede producir:

• costes;

• interrupciones;

• daños comerciales;

• o perjuicios reputacionales para la empresa.

Pero el RGPD centra especialmente la evaluación en los riesgos para los derechos y libertades de las personas físicas.

Por ejemplo:

• discriminación;

• fraude;

• suplantación de identidad;

• pérdidas económicas;

• daño reputacional;

• pérdida de confidencialidad;

• imposibilidad de ejercer derechos;

• exposición de información sensible;

• seguimiento indebido;

• o pérdida de control sobre los datos.

Este enfoque resulta fundamental para seleccionar medidas apropiadas.

¿Qué medidas de seguridad exige actualmente el RGPD?

No existe una lista única que pueda copiarse y aplicarse automáticamente a todas las organizaciones.

El artículo 32 menciona expresamente diferentes posibilidades, entre ellas:

• seudonimización;

• cifrado;

• capacidad para garantizar confidencialidad;

• integridad;

• disponibilidad;

• resiliencia de los sistemas y servicios;

• capacidad para restaurar disponibilidad y acceso después de un incidente;

• y procesos de verificación y evaluación de la eficacia de las medidas.

Pero la expresión importante es:

“según proceda”.

No todas estas medidas deben aplicarse exactamente de la misma manera en cualquier organización.

Deben seleccionarse en función del riesgo.

¿El cifrado es siempre obligatorio?

No puede afirmarse de forma general que absolutamente todos los datos personales deban estar cifrados en cualquier circunstancia.

El cifrado aparece expresamente entre las medidas contempladas por el artículo 32, pero su aplicación debe analizarse atendiendo al riesgo y al contexto.

En determinados tratamientos puede resultar una medida especialmente importante.

En otros habrá que analizar qué protección es apropiada.

Lo mismo ocurre con muchas otras medidas técnicas.

Control de acceso

Controlar quién puede acceder a la información constituye una medida fundamental en numerosos tratamientos.

Puede implicar:

• cuentas individuales;

• permisos;

• perfiles;

• autenticación;

• revisión de accesos;

• bajas de usuarios;

• limitación de privilegios;

• y otras medidas.

La intensidad y configuración dependerán de los sistemas y riesgos.

Copias de seguridad

Las copias pueden contribuir a recuperar información ante determinados incidentes.

Pero decir simplemente “tenemos backup” no demuestra por sí solo que exista una estrategia adecuada.

Puede ser necesario analizar:

• qué se copia;

• frecuencia;

• ubicación;

• protección;

• acceso;

• retención;

• aislamiento;

• restauración;

• y pruebas.

Las medidas deben funcionar realmente cuando son necesarias.

Autenticación multifactor

La autenticación multifactor puede resultar una medida muy eficaz para reducir determinados riesgos relacionados con credenciales comprometidas.

Puede ser especialmente conveniente en accesos:

• remotos;

• administrativos;

• cloud;

• correo electrónico;

• aplicaciones críticas;

• o sistemas con información sensible.

Pero tampoco debemos convertirla en una regla jurídica universal del tipo:

“el RGPD obliga a todas las empresas a utilizar doble factor en todos los sistemas”.

La decisión debe justificarse según los riesgos y las posibilidades técnicas.

Actualizaciones y vulnerabilidades

Mantener sistemas vulnerables puede incrementar significativamente los riesgos.

Una política adecuada puede contemplar:

• actualizaciones;

• parches;

• software soportado;

• eliminación de aplicaciones obsoletas;

• gestión de vulnerabilidades;

• y revisión de configuraciones.

La importancia de estas medidas dependerá de la infraestructura.

Protección frente a malware y ataques

Las medidas pueden incluir:

• protección de endpoints;

• filtros;

• firewalls;

• segmentación;

• controles de correo;

• restricciones;

• monitorización;

• y otras tecnologías.

Pero la seguridad no debe reducirse a “tener antivirus”.

Los riesgos deben gestionarse mediante diferentes capas de protección cuando resulte apropiado.

El factor humano también forma parte de la seguridad

Una medida técnica puede perder eficacia si las personas desconocen cómo utilizarla.

Por ejemplo:

puede existir un sistema de control de acceso y compartirse las contraseñas;

puede existir un procedimiento de incidencias y nadie saber que debe comunicar un error;

puede existir una política documental y dejarse información expuesta;

puede existir un sistema de copias y nadie comprobar si puede restaurarse.

Por ello, los manuales, instrucciones, procedimientos y acciones de Formación y Concienciación RGPD para Empresas pueden formar parte de la implantación práctica de las medidas organizativas.

Medidas técnicas y medidas organizativas

No debemos asociar seguridad únicamente con tecnología.

El RGPD habla de medidas técnicas y organizativas.

Las técnicas pueden incluir, según corresponda:

• cifrado;

• autenticación;

• copias;

• redes;

• protección de dispositivos;

• registros;

• monitorización;

• configuraciones;

• y controles tecnológicos.

Las organizativas pueden comprender:

• políticas;

• procedimientos;

• asignación de responsabilidades;

• gestión de accesos;

• instrucciones;

• gestión de proveedores;

• respuesta a incidentes;

• revisiones;

• y concienciación.

Ambos grupos deben funcionar conjuntamente.

Puedes ampliar este concepto en Medidas Técnicas y Organizativas RGPD .

Medidas de seguridad y medidas técnicas y organizativas no son exactamente sinónimos

En nuestra web diferenciamos deliberadamente ambos conceptos.

La página Medidas de seguridad se centra específicamente en la seguridad del tratamiento y en las medidas relacionadas con el artículo 32.

La página Medidas Técnicas y Organizativas RGPD aborda el concepto de forma más amplia dentro del sistema de responsabilidad proactiva, incluyendo medidas necesarias para aplicar y demostrar el cumplimiento del Reglamento.

Y esta página, Niveles de seguridad, tiene otra finalidad:

explicar por qué ya no debe utilizarse el antiguo sistema básico/medio/alto como mecanismo general para determinar las medidas.

De esta manera evitamos confundir tres conceptos relacionados pero diferentes.

¿Siguen siendo útiles las antiguas medidas?

Que el antiguo sistema haya dejado de ser aplicable no significa necesariamente que todas las medidas de seguridad utilizadas anteriormente sean técnicamente inútiles.

Muchas prácticas continúan teniendo sentido desde el punto de vista de seguridad.

La diferencia es jurídica y metodológica:

ya no aplicamos una medida simplemente porque una tabla antigua diga que corresponde al “nivel medio” o “nivel alto”.

Debemos determinar si la medida es apropiada atendiendo al riesgo actual.

Una medida antigua puede seguir siendo útil.

Puede resultar insuficiente.

Puede necesitar modernizarse.

O pueden ser necesarias medidas que aquel modelo no contemplaba adecuadamente.

¿Puedo utilizar una metodología que clasifique riesgos por niveles?

Sí.

No existe ningún problema en que una metodología interna utilice niveles para facilitar la gestión.

Por ejemplo:

• riesgo bajo;

• riesgo moderado;

• riesgo alto;

• riesgo crítico.

O:

• nivel 1;

• nivel 2;

• nivel 3;

• nivel 4.

Lo importante es no presentar esas categorías como los antiguos niveles legales obligatorios de la LOPD.

Son herramientas metodológicas.

El Esquema Nacional de Seguridad también utiliza categorías y niveles

Existe además otra posible fuente de confusión.

El Esquema Nacional de Seguridad utiliza su propia estructura de categorías y niveles para determinar requisitos de seguridad en su ámbito de aplicación.

Eso no significa que el RGPD haya recuperado los antiguos niveles de seguridad de la LOPD.

Son marcos distintos.

En determinados entornos pueden relacionarse o utilizarse conjuntamente, pero debemos identificar siempre qué norma y qué metodología estamos aplicando.

¿Cuándo necesitamos una EIPD?

El análisis general de riesgos puede mostrar que un tratamiento presenta características especialmente relevantes.

Cuando sea probable que un tipo de tratamiento entrañe un alto riesgo para los derechos y libertades de las personas, puede resultar obligatoria una Evaluación de Impacto en Protección de Datos (EIPD) conforme al artículo 35.

La EIPD constituye una evaluación reforzada y documentada.

No debemos describirla simplemente como:

“la evaluación que corresponde al nivel alto”.

Esa equivalencia sería incorrecta.

Datos de salud y antiguos niveles

Este ejemplo permite comprender muy bien el cambio.

Antes era habitual asociar determinados datos especialmente sensibles con el nivel alto de seguridad.

Actualmente debemos utilizar el marco del RGPD.

Los datos relativos a la salud pertenecen a categorías especiales de datos personales y requieren las condiciones jurídicas correspondientes para su tratamiento.

Además, su naturaleza puede resultar muy relevante para la evaluación del riesgo y para determinar las medidas de seguridad.

Pero no debemos seguir diciendo:

“los datos de salud son nivel alto RGPD”.

Debemos analizar el tratamiento concreto y aplicar las medidas apropiadas.

¿Y una pequeña empresa?

Una pequeña empresa tampoco recibe automáticamente un supuesto “nivel básico”.

Puede realizar tratamientos sencillos y presentar riesgos limitados.

Pero también puede realizar actividades con riesgos importantes.

Por ejemplo, una organización pequeña podría:

• tratar categorías especiales de datos;

• utilizar sistemas accesibles desde Internet;

• disponer de videovigilancia;

• manejar grandes cantidades de documentación;

• utilizar servicios cloud;

• permitir acceso remoto;

• o utilizar nuevas tecnologías.

Por tanto, el tamaño de la empresa no sustituye al análisis.

¿Y un autónomo?

El mismo principio.

Ser autónomo no significa automáticamente:

“nivel básico”.

Las medidas dependen de los tratamientos y riesgos.

Un profesional puede gestionar información cuya pérdida, exposición o acceso indebido tenga consecuencias importantes para las personas.

Por eso debemos analizar la actividad real.

¿Existe un paquete estándar de medidas para cumplir el RGPD?

No existe un paquete universal que garantice el cumplimiento simplemente instalando:

• antivirus;

• firewall;

• copias;

• cifrado;

• doble factor;

• y una política de contraseñas.

Estas medidas pueden ser apropiadas en numerosos casos.

Pero la seguridad debe responder a los riesgos reales.

Además, el cumplimiento del RGPD no se limita a la seguridad.

También intervienen:

• licitud;

• transparencia;

• derechos;

• minimización;

• conservación;

• encargados;

• RAT;

• EIPD cuando corresponda;

• responsabilidad proactiva;

• y otras obligaciones.

La seguridad no se decide una sola vez

Las circunstancias cambian.

Puede cambiar:

• la tecnología;

• el estado de la técnica;

• el número de usuarios;

• los proveedores;

• los sistemas;

• las amenazas;

• las vulnerabilidades;

• las finalidades;

• la escala;

• o las categorías de datos.

Por eso las medidas no deberían considerarse una fotografía permanente.

El artículo 32 contempla procesos de verificación, evaluación y valoración regulares de la eficacia de las medidas destinadas a garantizar la seguridad del tratamiento.

Esto no significa que exista una obligación universal de contratar una “auditoría RGPD anual”.

Significa que la organización debe comprobar que las medidas continúan siendo adecuadas y eficaces.

¿Hay que realizar una auditoría cada dos años como antes?

No debemos trasladar automáticamente al RGPD la antigua periodicidad asociada al sistema anterior.

El modelo actual exige valorar regularmente la eficacia de las medidas y mantenerlas adecuadas al riesgo.

Una organización puede establecer auditorías periódicas como mecanismo de control.

En determinados ámbitos pueden existir además obligaciones específicas derivadas de otras normas.

Pero no debemos afirmar que todas las empresas sujetas al RGPD tienen una auditoría bienal obligatoria por el simple hecho de tratar determinados datos.

¿Qué ocurre cuando cambia el tratamiento?

Si cambia el tratamiento, puede cambiar el riesgo.

Por ejemplo:

una aplicación que inicialmente solo se utilizaba internamente comienza a ofrecer acceso remoto;

la empresa migra a un nuevo proveedor cloud;

se incorporan nuevas categorías de datos;

aumenta significativamente el número de usuarios;

se introduce inteligencia artificial;

se habilitan nuevas integraciones;

o aparece una nueva finalidad.

En estos casos debe analizarse si las medidas siguen siendo apropiadas.

La Actualización RGPD puede implicar también revisar riesgos y medidas.

Seguridad y responsabilidad proactiva

El modelo basado en riesgo encaja directamente con la Responsabilidad Proactiva RGPD .

La organización debe poder explicar:

qué tratamientos realiza;

qué riesgos ha identificado;

qué medidas ha seleccionado;

por qué considera que son apropiadas;

cómo las ha implantado;

y cómo comprueba su eficacia cuando corresponde.

No basta con utilizar una etiqueta como:

“nivel medio”.

La decisión debe estar relacionada con la realidad del tratamiento.

Del antiguo modelo al sistema actual

Podemos resumir el cambio de esta forma:

Antes

Tipo de datos → nivel básico, medio o alto → conjunto predeterminado de medidas.

Ahora

Tratamiento + naturaleza + alcance + contexto + finalidad + riesgos → medidas técnicas y organizativas apropiadas → nivel de seguridad adecuado al riesgo.

Este cambio proporciona mayor flexibilidad.

Pero también exige mayor capacidad de análisis.

¿Qué debe hacer actualmente una empresa?

En lugar de preguntar:

“¿qué nivel de seguridad me corresponde?”

resulta más útil preguntar:

“¿qué tratamientos realizo y qué medidas necesito para gestionar adecuadamente sus riesgos?”

El proceso puede incluir:

1. Identificar los tratamientos

Saber qué datos se utilizan, con qué finalidad, sobre qué personas y mediante qué sistemas.

El Registro de Actividades de Tratamiento (RAT) puede aportar información esencial para comprender estos tratamientos.

2. Analizar los riesgos

Determinar qué consecuencias podrían producirse para las personas y qué factores influyen en su probabilidad y gravedad.

3. Identificar las medidas existentes

Comprobar qué controles técnicos y organizativos están ya implantados.

4. Determinar medidas adicionales

Cuando las existentes no resulten suficientes, definir nuevas medidas o mejorar las actuales.

5. Implantarlas realmente

Una medida escrita pero no aplicada no proporciona la protección prevista.

6. Verificar su eficacia

Comprobar que las medidas funcionan y continúan siendo apropiadas.

7. Revisar cuando cambien las circunstancias

Actualizar el análisis y las medidas cuando los cambios puedan afectar al riesgo.

Nuestro enfoque en RGPD Málaga

Cuando analizamos la seguridad de una organización no asignamos simplemente una etiqueta de:

“básico”,

“medio”

o

“alto”.

Estudiamos el contexto real.

Entre otras cuestiones:

• tratamientos;

• categorías de datos;

• personas afectadas;

• sistemas;

• accesos;

• proveedores;

• almacenamiento;

• comunicaciones;

• dispositivos;

• copias;

• amenazas;

• procedimientos;

• y medidas existentes.

A partir de esa información pueden identificarse los riesgos y determinarse las medidas apropiadas.

¿Todavía tienes documentación que habla de nivel básico, medio o alto?

Es posible encontrar documentación antigua que todavía utiliza esta terminología.

También puede aparecer en modelos que llevan años reutilizándose.

Eso no significa necesariamente que todo el documento sea inútil.

Pero sí es una señal de que conviene revisar si el sistema se ha actualizado correctamente al enfoque actual del RGPD.

No basta con sustituir en una plantilla:

“nivel alto”

por

“riesgo alto”.

Hay que revisar la metodología completa.

De una clasificación estática a una gestión continua del riesgo

Este es el cambio que queremos que quede claro al terminar esta página.

Los antiguos niveles básico, medio y alto ofrecían una clasificación predeterminada.

El RGPD utiliza un enfoque basado en el riesgo.

Eso obliga a conocer mejor los tratamientos, analizar sus posibles consecuencias y seleccionar medidas adecuadas a cada contexto.

Por tanto, si alguien pregunta:

“¿Qué nivel de seguridad RGPD necesita mi empresa?”

la respuesta correcta no consiste en elegir automáticamente entre básico, medio o alto.

La pregunta que debemos responder es:

“¿Qué riesgos presentan tus tratamientos y qué medidas técnicas y organizativas son necesarias para garantizar un nivel de seguridad adecuado a esos riesgos?”

Ese es el enfoque actual de la seguridad en protección de datos.