El Reglamento General de Protección de Datos (UE) 2016/679 regula el control de las incidencias de seguridad que afectan a datos personales por parte del responsable del tratamiento. Este control preceptivo exige el diseño de un protocolo para gestionar las incidencias de seguridad relativas a datos personales y, si procediera, notificar y comunicar la violación de seguridad generada.
Análisis de riesgos y medidas de seguridad
Asimismo, de acuerdo con las previsiones del citado RGPD, el responsable del tratamiento deberá realizar un análisis de riesgos respecto a los datos objeto de tratamiento para los derechos d ellos interesados y, una vez detectados, aplicar las medidas de seguridad técnicas y organizativas apropiadas para su mitigación o incluso su posible eliminación.
Pero ello no impedirá la exposición de las empresas o entidades a amenazas de cualquier tipo, teniendo en cuenta su dependencia notable respecto a la información y a su actividad a través de las comunicaciones.
Implementación de niveles de Ciberseguridad
Para paliar posibles amenazas no intencionadas (fallos de equipo, fallos humanos, fallos naturales) o intencionadas (robo de información tecnológica, daños lógicos o físicos, descubrimiento/revelación de secretos, extorsiones/amenazas, usurpación de identidad) que pueden convertirse en un ataque real, es muy necesario conocer los posibles riesgos, nuestro propio sistema de seguridad y los posibles atacantes.
Con ese conocimiento podremos implementar unas medidas de seguridad adecuadas. Estas medidas de seguridad no deben ser exclusivamente preventivas.
Las debemos implementar en tres niveles temporales:
- Nivel preventivo, para evitar que el ataque se produzca.
- Nivel reactivo, para identificar cuando el ataque se produce para cortarlo, mitigarlo y/o recoger evidencias.
- Nivel de recuperación, para actuar contra un ataque sufrido identificando las evidencias, recuperarnos del ataque y actuar contra las personas responsables.
De este modo, podremos aumentar la ciberseguridad en nuestra organización.
Recomendaciones de ciberseguridad
Desde Global Legal Data planteamos como proyecto la necesidad de realizar un análisis de comprobación y planteamiento de implementación de soluciones de ciberseguridad, entre ellas las más relevantes:
- Saber y comprender que no estamos seguros.
- Formar y concienciar a nuestros responsables y empleados en esas amenazas y riesgos que pueden poner en peligro la organización y, evidentemente, su propia continuidad.
- Gestionar los riesgos de la utilización por parte de los usuarios de Redes Sociales, Mensajería, Foros y otros programas de comunicación por Internet.
- Establecer una correcta Política de Seguridad, un Plan de Reacción y un Plan de Contingencias actualizados.
- Disponer de un responsable de Seguridad que supervise y controle las medidas de seguridad.
- Conocer y clasificar nuestros activos, así como los potenciales enemigos.
- Aplicar diferentes círculos de seguridad en aquellos activos más valiosos.
- Instalar soluciones de seguridad multipropósito y mantenerlas constantemente actualizadas.
- Mantener los equipos, Servicios, Sistemas Operativos y Aplicaciones actualizados.
- Autenticar y gestionar las identidades de los usuarios y aplicar controles continuos de los privilegios de las cuentas de los usuarios, de las aplicaciones y recursos.