Este enfoque obliga a identificar los activos que soportan los servicios, evaluar las amenazas que pueden afectarles y determinar el impacto que tendría un incidente sobre la confidencialidad, integridad, disponibilidad, autenticidad y trazabilidad de la información. La gestión de riesgos deja así de ser un ejercicio puntual para convertirse en una actividad continua que debe revisarse y actualizarse periódicamente.

A partir de ese análisis, las organizaciones deben implantar medidas de seguridad proporcionadas al nivel de riesgo identificado. Esto incluye controles de acceso, protección de sistemas, gestión de incidentes, monitorización de la actividad y mecanismos que permitan garantizar la continuidad de los servicios esenciales.

Especial relevancia adquiere el principio de mínimo privilegio, según el cual cada usuario, aplicación o sistema debe disponer únicamente de los permisos estrictamente necesarios para desempeñar sus funciones.

IMPORTANTE

Una correcta gestión de identidades y accesos constituye una de las barreras más eficaces frente a incidentes de seguridad.

La entrada Gestión de riesgos en el ENS: claves para organizaciones públicas y tecnológicas (II) se publicó primero en Adaptación RGPD.

El Reglamento General de Protección de Datos (RGPD) de la Unión Europea ha establecido un marco legal que obliga a los responsables de los tratamientos de datos personales a evaluar los riesgos y aplicar medidas de seguridad técnicas y organizativas adecuadas. La seguridad enfocada a los tratamientos implica considerar la naturaleza, el alcance, el contexto y los fines del tratamiento, así como los riesgos para los derechos y libertades de las personas naturales.

Un ejemplo ilustrativo de la diferencia entre la seguridad de los sistemas y la seguridad de los tratamientos es el uso de contraseñas. A menudo, las personas utilizan la misma contraseña o contraseñas débiles en varios servicios, lo que permite a terceros acceder a datos personales a través de credenciales comprometidas. En estos casos, algunos responsables de tratamientos de datos pueden argumentar erróneamente que no ha ocurrido una brecha según el RGPD, ya que el sistema de información funcionó correctamente. Sin embargo, esto ignora el hecho de que la seguridad del tratamiento de datos personales ha sido comprometida.

La guía para la notificación de brechas de datos personales de la Agencia Española de Protección de Datos (AEPD) proporciona una herramienta valiosa para los responsables de los tratamientos de datos personales, ayudándoles a cumplir con sus obligaciones de notificación a las autoridades de control y comunicación a las personas afectadas. Esta guía enfatiza la importancia de reconocer una brecha de datos personales y actuar de manera adecuada para minimizar los riesgos y proteger a los individuos afectados.

Un ejemplo es el Esquema Nacional de Seguridad (ENS) representa un marco normativo fundamental en el contexto de la seguridad de la información en España, especialmente relevante tanto para las entidades del sector público como para las empresas privadas que interactúan con ellas. Este esquema establece una serie de requisitos y medidas destinadas a garantizar la seguridad de los sistemas de información que manejan, procesan o almacenan datos pertenecientes al sector público.

Además, el ENS no solo se limita a las entidades públicas, sino que también se extiende a las empresas privadas que proporcionan servicios o soluciones tecnológicas a las administraciones públicas. Esto significa que cualquier compañía privada que trabaje en colaboración con el sector público, debe adherirse a los estándares y prácticas de seguridad dictados por el ENS para asegurar la protección y la integridad de la información.

No obstante, el ENS también reconoce la importancia de la protección de datos personales y, por ello, en su artículo 3, hace una mención específica a la regulación de datos personales. Según este artículo, en los casos en que un sistema de información del sector público o privado que esté bajo el ámbito de aplicación del ENS se utilice para procesar datos personales, dicho sistema deberá cumplir con lo establecido en el Reglamento General de Protección de Datos (RGPD) y la legislación correspondiente en materia de protección de datos.

El RGPD es una normativa de la Unión Europea que busca fortalecer y unificar la protección de datos para todos los individuos dentro de la UE. Es conocido por su enfoque en dar control a los ciudadanos sobre sus datos personales y por las estrictas medidas que impone a las organizaciones que procesan estos datos. Por lo tanto, la referencia del ENS al RGPD subraya la necesidad de una doble capa de seguridad y cumplimiento normativo cuando se trata de sistemas de información que manejan datos personales.

En resumen, el ENS y el RGPD son dos pilares que trabajan conjuntamente para asegurar que los sistemas de información, ya sean del sector público o privado, operen dentro de un marco de seguridad robusto y respetuoso con la privacidad de los datos personales. Esto refleja un compromiso con la seguridad de la información y la protección de la privacidad en la era digital, aspectos críticos para la confianza y el buen funcionamiento de la sociedad y las instituciones.

En conclusión, la seguridad enfocada a los tratamientos de datos personales es un concepto que va más allá de la protección de los sistemas de información. Requiere una comprensión profunda de los procesos de tratamiento y los riesgos asociados, así como un compromiso con la protección de los derechos individuales. Con la implementación efectiva de medidas de seguridad y una respuesta rápida a las brechas de datos, podemos aspirar a un entorno digital más seguro y confiable para todos.

La entrada Brechas de datos personales. La seguridad enfocada a los tratamientos de datos se publicó primero en Adaptación RGPD.