Estas dos guías, presentadas en un acto celebrado con las asociaciones empresariales más representativas, son herramientas clave para facilitar el cumplimiento del nuevo Reglamento de Protección de Datos que comenzará a aplicarse el 25 de mayo. Con estas dos nuevas herramientas la Agencia amplía los materiales prácticos ofrecidos a las organizaciones para facilitar la adaptación […]
Un PIA (Privacy Impact Assessment) es un proceso que sirve para identificar y corregir o mitigar los posibles problemas de seguridad que podrían impactar en la privacidad de los datos de carácter personal que tratan las organizaciones.
Se trata de herramientas de toma de decisión que permiten identificar y mitigar los riesgos para la privacidad en el inicio ya lo largo del ciclo de vida del desarrollo de un programa, sistema o servicio.
La Comisión de Valores y Futuros “SFC” (el regulador de valores de Hong Kong), ha lanzado recientemente una completa guía de sugerencias de ciberseguridad, dirigida a las empresas que cotizan en el país. Proporciona información útil, clara y sencilla sobre cómo las organizaciones pueden proteger eficazmente contra las amenazas de ciberseguridad por ello, vamos a echarle un vistazo.
Este informe es el resultado de una auditoría que el SFC realizó hace unos meses y, aunque se detectó que la mayoría de las entidades auditadas tenían esquemas de control de ciberseguridad, se identificaron deficiencias en cinco áreas clave.
Seguro que hay muchas no, muchísimas más, pero hemos recopilado aquí cuatro de las preguntas más frecuentes que se les hacen a los Responsables de Seguridad desde las áreas de dirección de sus empresas.
¿Estamos preparados para responderlas?
Sin perjuicio de un análisis más detallado y no entrando en detalles de la modificación de las medidas de seguridad, que requiere más tiempo, he intentado hacer un resumen de lo que más me ha llamado la atención. Es los siguiente:
El Grupo de Trabajo del Artículo 29, del que forma parte la Agencia Española de Protección de Datos, subraya que la cuestión de la vigilancia masiva e indiscriminada es un elemento clave y que ha declarado reiteradamente que dicha vigilancia es incompatible con el marco jurídico de la UE y que las herramientas de transferencia existentes no son la solución a este problema.
Por lo tanto, el Grupo de Trabajo hace un llamamiento urgente a los Estados miembros y a las Instituciones europeas para iniciar conversaciones con las autoridades de EEUU a fin de encontrar soluciones políticas, jurídicas y técnicas que permitan transferencias de datos al territorio de EEUU respetando los derechos fundamentales. Estas soluciones se podrían encontrar a través de las negociaciones de un acuerdo intergubernamental que proporcione mayores garantías a los interesados en la UE. Las actuales negociaciones en torno a un nuevo Puerto Seguro podrían ser una parte de la solución. En cualquier caso, estas soluciones deberían ir siempre acompañadas por mecanismos claros y vinculantes e incluir, al menos, obligaciones sobre la necesaria supervisión del acceso por parte de las autoridades públicas, sobre transparencia, proporcionalidad, mecanismos de reparación y derechos recogidos en la legislación de protección de datos.
El ministro de Educación, Cultura y Deporte, Íñigo Méndez de Vigo, y la directora de la Agencia Española de Protección de Datos, Mar España, han firmado un convenio que tiene por objeto establecer un marco estable de colaboración para realizar proyectos y acciones de carácter educativo en la formación y sensibilización de los menores de edad en materia de privacidad y protección de datos, sobre todo en el ámbito de Internet.
Nota de prensa de la Agencia de Protección de Datos de hoy: El Tribunal de Justicia de la Unión Europea ha hecho pública hoy la sentencia que anula la Decisión de la Comisión 2000/520/CE que establece el nivel adecuado de protección de las garantías para las transferencias internacionales de datos a EEUU ofrecidas por el acuerdo de Puerto Seguro (Safe Harbor) publicado por su Departamento de Estado.
El Tribunal afirma que el objetivo de la Directiva 95/46/CE de Protección de Datos no es tanto asegurar la libre circulación de la información sino, sobre todo, garantizar el elevado nivel de protección de los derechos fundamentales consagrados por los artículos 7 y 8 de la Carta de Derechos Fundamentales de la UE.
La sentencia proclama que la Decisión de Puerto Seguro es inválida por dos motivos:
Gestionar la seguridad de una organización pequeña no quiere decir que podamos pasar por alto ciertas amenazas de índole sofisticado; pero, lo más normal, es que los sistemas con los que tengamos que lidiar sean menos complejos, menos numerosos, y tal vez, el valor de los activos sea bajo, por lo que es menos probable que atacantes se fijen en ella. Este pequeño tamaño también influirá en que los niveles de comunicación entre los técnicos y los propietarios del negocio sean mucho más fluidos, por lo que por regla general, no será necesaria tanta documentación formal, informes, actas, etc….
Continuando con la serie que comenzamos sobre la definición de escenarios de riesgo, una referencia de lectura para comenzar a identificar escenarios de riesgo (en este caso, de TI) es COBIT; en particular, COBIT 5: Gestión del riesgo.
En este manual, se nos facilitan algunos consejos, entre otros, sobre cuántos escenarios son suficientes para evaluar nuestro riesgo. En este sentido, COBIT 5 aconseja que el número de escenarios “debe ser representativo y reflejar a la vez la realidad y la complejidad empresarial”.
KRiO, la herramienta GRC desarrollada y comercializada por SIGEA, ha sido recientemente homologada por ENISA, la Agencia Europea de Seguridad de las Redes y de la Información, y desde hoy ya figura en su Catálogo de Soluciones de Análisis de Riesgos.
Gobernanza - Riesgo - Compliance
Inscríbete en uno de ellos y conocerás todos los detalles.
