Objetivos:
La Seguridad de Datos abarca la planificación, el desarrollo y la implementación de políticas y procedimientos de seguridad de la información. Las especificaciones de la Seguridad de datos difieren según el sector y el país, pero en todos modos la finalidad de las prácticas de seguridad de los datos sigue siendo la misma: proteger los datos y la información de conformidad con la legislación sobre privacidad y confidencialidad, las cláusulas contractuales y las necesidades empresariales.
Estas necesidades pueden surgir de:
- Stakeholder
- Legislación
- Aspectos relacionados a los datos empresariales
- Necesidad legítima de acceder a los datos
- Obligaciones contractuales
Políticas y procedimientos de seguridad de datos eficaces garantizan que las personas adecuadas puedan utilizar y actualizar los datos de la manera correcta y que se impida todo acceso no autorizado.
No existe una única forma de aplicar la Seguridad de Datos que cumpla todos los requisitos necesarios en materia de privacidad y confidencialidad: la normativa se centra en los fines de la seguridad, no en los medios para conseguirla. Así que cada organización debe diseñar sus propios controles, demostrar que cumplen o superan lo que exige la normativa, documentar la implantación de esos controles y, por último, supervisar y medir su eficacia a lo largo del tiempo. Como en otras Knowledge Area, las actividades incluyen la identificación de requisitos, la definición del estado actual para identificar lagunas y riesgos, la implantación y aplicación de herramientas y procesos y la verificación de las medidas de seguridad adoptadas para garantizar su eficacia.
Actividades realizadas por nuestro Equipo:
Identificar los requisitos de Seguridad de Datos
En primer lugar, es importante distinguir entre los requisitos empresariales, las normas impuestas por legisladores externos y las reglas impuestas por la aplicación de un software específico. Mientras que los sistemas de aplicación sirven como medio para hacer cumplir las normas y procedimientos empresariales, es habitual que estos mismos sistemas tengan sus propios requisitos de seguridad, además de los necesarios para los procesos empresariales, y estos son cada vez más comunes con los sistemas listos para ser utilizados. Sin embrago, es necesario destacar como estos apoyan las normas de seguridad de los datos.
Definir las políticas de Seguridad de Datos
Las organizaciones deben crear políticas de Seguridad de Datos basadas tanto en requisitos empresariales como normativos. Una política es una declaración de un determinado camino y una descripción de alto nivel de los comportamientos que se consideran apropiados para alcanzar determinados objetivos. Las políticas de Seguridad de Datos describen los comportamientos más adecuados para una organización que desea proteger sus datos. Las políticas deben tener un impacto mensurable, por lo que deben ser verificables y comprobarse realmente.
Las políticas de empresa suelen tener implicaciones jurídicas. Un juez podría considerar una política establecida para cumplir un requisito legal como un esfuerzo interno dentro de la organización para cumplir con esa norma; por lo tanto, el incumplimiento de una política de empresa, tras una violación de datos, puede tener implicaciones legales.
La definición de políticas de seguridad requiere la colaboración entre los administradores de seguridad TI, los responsables de arquitectura de sistemas de seguridad, los comités de Gobierno de Datos, los Data Stewards, los grupos de audits internos y externos y el departamento jurídico. Los Data Stewards también deben trabajar con los Privacy Officer (definidos por algunas leyes, especialmente la estadounidense, Sarbanes-Oxley supervisors, HIPAA Officers) y los responsables de negocio para desarrollar categorías de metadatos con fines normativos y aplicar estas clasificaciones de seguridad de forma coherente con las definiciones dadas. Todas las acciones destinadas a garantizar el cumplimiento de la normativa y la reglamentación deben coordinarse para reducir costes y evitar instrucciones y procedimientos confusos.
Definir los estándares de la Seguridad de Datos
Las políticas pretenden dar directrices de comportamiento, pero no definen todas las situaciones posibles. Los estándares complementan las políticas y proporcionan más detalles sobre cómo cumplir las intenciones definidas en las políticas. Por ejemplo, la política puede establecer que las contraseñas deben seguir las directrices de las contraseñas seguras; los estándares que definen una contraseña segura se detallan por separado. Por último, la tecnología refuerza las políticas impidiendo que los usuarios creen contraseñas que no cumplan las normas sobre contraseñas seguras.