Qué es el análisis de riesgos en protección de datos y por qué es obligatorio
El análisis de riesgos en protección de datos es un proceso estructurado para identificar qué puede salir mal cuando una organización trata datos personales, evaluar la probabilidad de que ocurra y el impacto que tendría sobre las personas afectadas, y decidir qué medidas técnicas y organizativas adoptar para reducir esos riesgos a un nivel aceptable.
El RGPD no menciona la frase “análisis de riesgos” en un artículo concreto, pero el enfoque basado en riesgo impregna todo el reglamento. El artículo 5.2 establece el principio de responsabilidad proactiva: la organización no solo tiene que cumplir el reglamento, sino poder demostrarlo. El artículo 24 exige medidas técnicas y organizativas apropiadas teniendo en cuenta la naturaleza, el ámbito, el contexto y los fines del tratamiento, así como los riesgos para los derechos y libertades de las personas.
El análisis de riesgos es la forma de saber qué es “apropiado” en cada caso concreto. Sin él, las medidas de seguridad se adoptan de forma intuitiva, sin criterio y sin documentación que lo justifique.
Análisis de riesgos vs. Evaluación de Impacto: en qué se diferencian
Muchas organizaciones confunden estos dos conceptos o los usan como sinónimos. Son procesos relacionados pero distintos.
El análisis de riesgos es general y se aplica a todos los tratamientos. Ayuda a determinar qué medidas de seguridad son necesarias y sirve de base para el registro de actividades de tratamiento.
La Evaluación de Impacto en la Protección de Datos (EIPD o DPIA por sus siglas en inglés) es un proceso más profundo, más formal y más documentado que se exige cuando el análisis de riesgos previo indica que el tratamiento probablemente entrañe un alto riesgo para los derechos y libertades de las personas. El artículo 35 del RGPD la obliga específicamente en tres situaciones: cuando se hace una evaluación sistemática de personas basada en tratamiento automatizado, cuando se tratan datos sensibles a gran escala, y cuando se realiza una observación sistemática de una zona de acceso público a gran escala.
Dicho de otra manera: el análisis de riesgos lo hacen todas las organizaciones para todos los tratamientos. La EIPD la hacen algunas organizaciones para los tratamientos de mayor riesgo, como resultado del análisis previo.
Cuándo hay que hacer el análisis de riesgos
Antes de poner en marcha cualquier tratamiento nuevo. Esta es la regla básica. La privacidad tiene que diseñarse desde el principio, no añadirse después. Si tu empresa va a lanzar una nueva funcionalidad en la app, integrar un nuevo proveedor de servicios que accederá a datos de clientes, o ampliar el uso de datos existentes para una finalidad nueva, hay que hacer el análisis de riesgos antes de implementar, no después.
También cuando cambian las circunstancias de un tratamiento existente: si cambias de proveedor de cloud, si amplías la base de datos a nuevos tipos de datos, si cambias la finalidad del tratamiento o si el contexto normativo o tecnológico ha cambiado de forma que los riesgos anteriormente valorados ya no son precisos.
Y periódicamente para los tratamientos en curso. Un análisis de riesgos hecho hace tres años puede estar obsoleto si el entorno de amenazas ha cambiado, si la organización ha crecido o si se han identificado nuevas vulnerabilidades en los sistemas utilizados.
Cómo hacer el análisis de riesgos paso a paso
Paso 1: Identificar el tratamiento y sus características. Describir qué datos se tratan, quién los trata, cómo se recogen, dónde se almacenan, quién tiene acceso, a quién se ceden y durante cuánto tiempo. Este paso coincide con lo que debería estar en el registro de actividades de tratamiento.
Paso 2: Identificar los activos del tratamiento. Los activos son los elementos que intervienen: las bases de datos, los sistemas de información, los dispositivos donde se almacenan datos, los canales de transmisión, los servicios de terceros y las personas con acceso. También hay que identificar las vulnerabilidades de cada activo: un servidor sin actualizaciones, un empleado sin formación, una aplicación sin cifrado, un proceso manual sin supervisión.
Paso 3: Identificar las amenazas y escenarios de riesgo. ¿Qué podría salir mal? Los escenarios de riesgo más habituales en protección de datos son: acceso no autorizado a los datos (por ataque externo o por personal interno), pérdida o destrucción de datos (por accidente, por fallo técnico o por desastre), divulgación accidental o deliberada de datos a terceros no autorizados, alteración no autorizada de datos, e imposibilidad de acceder a los datos cuando son necesarios (disponibilidad).
Paso 4: Valorar la probabilidad e impacto de cada escenario. Para cada combinación de amenaza y vulnerabilidad, hay que estimar dos cosas: la probabilidad de que ocurra (alta/media/baja) y el impacto que tendría sobre los derechos y libertades de los afectados si ocurriera. El impacto no se mide en términos económicos para la empresa, sino en términos de perjuicio para las personas: daño reputacional, discriminación, robo de identidad, pérdida económica, riesgo físico.
Paso 5: Determinar el nivel de riesgo. Combinando probabilidad e impacto se obtiene el nivel de riesgo. Una amenaza muy probable con impacto alto genera un riesgo alto. Una amenaza muy improbable con impacto bajo genera un riesgo bajo. Las matrices de riesgo (escalas 3×3 o 5×5) son la herramienta habitual para visualizar esto.
Paso 6: Identificar y aplicar controles. Para cada riesgo identificado, hay que determinar qué medidas reducen la probabilidad de que ocurra o el impacto si ocurre. Los controles pueden ser técnicos (cifrado, control de acceso, copias de seguridad, monitorización) u organizativos (procedimientos, formación, cláusulas contractuales, auditorías).
Paso 7: Evaluar el riesgo residual. Después de aplicar los controles, hay que reevaluar el riesgo. Si sigue siendo inaceptable, hay que añadir más controles o plantearse si el tratamiento puede realizarse de forma diferente. Si el riesgo residual es alto y no hay forma de reducirlo más, puede ser el momento de valorar si el tratamiento es necesario.
Paso 8: Documentar el resultado. El análisis de riesgos tiene que quedar documentado. No hay un formato obligatorio, pero la documentación tiene que ser suficientemente detallada para que se pueda revisar, actualizar y justificar ante una autoridad de control si fuera necesario.
Medidas de seguridad más habituales que surgen del análisis
Dependiendo del tipo de tratamiento y del nivel de riesgo identificado, las medidas más frecuentes son: cifrado de datos en reposo y en tránsito, control de acceso basado en roles (que cada persona solo acceda a los datos que necesita para su trabajo), autenticación multifactor para acceso a sistemas con datos sensibles, copias de seguridad periódicas con verificación de la restauración, procedimiento de gestión de incidentes y brechas de seguridad, contrato de encargo del tratamiento con todos los proveedores que acceden a datos, y formación periódica a los empleados sobre seguridad y protección de datos.
Errores frecuentes al hacer el análisis de riesgos
Hacer el análisis de riesgos desde la perspectiva de la empresa en lugar de desde la perspectiva de los afectados. El RGPD pide valorar el impacto sobre los derechos y libertades de las personas, no el impacto económico o reputacional para la organización. Ambos son relevantes, pero el análisis de riesgos de protección de datos tiene que centrarse en las personas.
Copiar el análisis de otra empresa. El análisis de riesgos es específico de cada organización, de sus sistemas, de sus procesos y de su contexto. Un análisis genérico no tiene valor como herramienta de gestión ni como evidencia de cumplimiento.
Hacerlo una sola vez y no actualizarlo. El análisis de riesgos tiene una fecha de caducidad implícita. Si las circunstancias cambian, el análisis tiene que actualizarse.
Confundir la documentación con el cumplimiento. El análisis de riesgos documentado es la evidencia de que se hizo el análisis, no un sustituto de las medidas de seguridad que el análisis recomienda. Si el análisis concluye que hay que cifrar los datos y los datos no están cifrados, el problema no lo resuelve el documento.
Herramientas para hacer el análisis de riesgos
Existen metodologías y herramientas que facilitan el proceso. MAGERIT es la metodología de análisis y gestión de riesgos de los sistemas de información desarrollada por el Centro Criptológico Nacional, muy usada en el sector público español. PILAR es la herramienta de software que la implementa. Para el sector privado, también es útil la norma ISO 31000 sobre gestión del riesgo y la guía de la ENISA sobre gestión de riesgos en protección de datos.
Para organizaciones pequeñas, las hojas de cálculo estructuradas con las columnas adecuadas (activo, amenaza, vulnerabilidad, probabilidad, impacto, nivel de riesgo, controles, riesgo residual) son una solución práctica que no requiere inversión en software específico.
Lo importante no es la herramienta sino el proceso: que sea sistemático, que esté documentado y que sea proporcional a la complejidad de los tratamientos de la organización.
]]>
