Medidas de seguridad en ficheros automatizados de despachos

Ficheros automatizados y niveles de seguridad

Los ficheros automatizados consisten en conjuntos de datos personales organizados de forma automática y gestionados mediante, programas, soportes, y equipos informáticos.

Los tres niveles de seguridad relativos a la tipología de los datos que contiene el fichero y que condicionarán las medidas de seguridad en ficheros automatizados que deberá implementar:

Nivel de seguridad alto

Todos los ficheros automatizados de datos personales sobre ideología, afiliación sindical, religión, creencias, origen racial, salud o vida sexual y respecto de los que no se prevea la posibilidad de adoptar el nivel básico. Se aplica también a los datos personales con fines policiales recabados sin consentimiento del afectado y los derivados de violencia de género.

Nivel de seguridad medio

Todos los ficheros automatizados de datos personales sobre comisión de infracciones administrativas o penales, prestación de servicios de solvencia patrimonial o de crédito, los relativos a potestades tributarias de la Administración, los relativos a servicios financieros y de mutuas de accidentes de trabajo, los que ofrezcan información sobre la personalidad y el comportamiento, y los operadores de comunicaciones electrónicas respecto de los datos de tráfico y localización.

Nivel de seguridad bajo

Todos los ficheros automatizados de datos personales sobre el resto de datos que no se engloben en las categorías anteriores.

Ficheros automatizados de seguridad básica

Respecto de las medidas de seguridad en ficheros automatizados de datos personales con un nivel de seguridad básica, hay que tener en cuenta las siguientes disposiciones:

• Las funciones y obligaciones de cada uno de los usuarios o perfiles de usuarios con acceso a los datos de carácter personal y a los sistemas de información estarán claramente definidas y documentadas en el documento de seguridad. También se definirán las funciones de control o autorizaciones delegadas por el responsable del fichero o tratamiento.
• Deberá existir un procedimiento de notificación y gestión de las incidencias que afecten a los datos de carácter personal y establecer un registro en el que se haga constar el tipo de incidencia, el momento en que se ha producido, o en su caso, detectado, la persona que realiza la notificación, a quién se le comunica, los efectos que se hubieran derivado de la misma y las medidas correctoras aplicadas.
• Los usuarios tendrán acceso únicamente a aquellos recursos que precisen para el desarrollo de sus funciones en el despacho jurídico.
• Se establecerán mecanismos en el despacho para evitar que un usuario pueda acceder a recursos con derechos distintos de los autorizados. Exclusivamente el personal autorizado para ello en el documento de seguridad podrá conceder, alterar o anular el acceso autorizado sobre los recursos, conforme a los criterios establecidos por el responsable del fichero.
• Los soportes y documentos electrónicos que contengan datos de carácter personal deberán permitir identificar el tipo de información que contienen, ser inventariados y solo deberán ser accesibles por el personal autorizado para ello en el documento de seguridad.
• La salida de soportes y documentos electrónicos que contengan datos de carácter personal, incluidos los comprendidos y/o anejos a un correo electrónico, fuera del despacho jurídico deberá ser autorizada por el responsable del fichero o encontrarse debidamente autorizada en el documento de seguridad
• En el traslado de la información se adoptarán las medidas dirigidas a evitar la sustracción, pérdida o acceso indebido a la información durante su transporte, incluida la comunicación electrónica.
• Se deberán adoptar en el despacho jurídico las medidas que garanticen la correcta identificación y autenticación de los usuarios. Se establecerá un mecanismo que permita la identificación de forma inequívoca y personalizada de todo aquel usuario que intente acceder al sistema de información y la verificación de que está autorizado.
• Cuando el mecanismo de autenticación se base en la existencia de contraseñas existirá un procedimiento de asignación, distribución y almacenamiento que garantice su confidencialidad e integridad. El documento de seguridad establecerá la periodicidad, que en ningún caso será superior a un año, con la que tienen que ser cambiadas dichas contraseñas.
• Deberán establecerse procedimientos de actuación para la realización, como mínimo semanal, de copias de seguridad de los datos personales, salvo que en dicho período no se hubiera producido ninguna actualización de los datos.
• Asimismo, se establecerán procedimientos para la recuperación de los datos personales que garanticen en todo momento su reconstrucción en el estado en que se encontraban al tiempo de producirse la pérdida o destrucción.
• Deberá llevarse un registro donde deberán consignarse, además, los procedimientos realizados de recuperación de los datos, indicando la persona que ejecutó el proceso, los datos restaurados y, en su caso, qué datos ha sido necesario grabar manualmente en el proceso de recuperación. Será necesaria la autorización del responsable del fichero para la ejecución de los procedimientos de recuperación de los datos sobre el mismo.
• Las pruebas anteriores a la implantación o modificación de los sistemas de información que traten ficheros con datos personales no se realizarán con datos reales, salvo que se asegure el nivel de seguridad correspondiente al tratamiento realizado y se anote su realización en el documento de seguridad.

Ficheros automatizados de seguridad media

Respecto de las medidas de seguridad en ficheros automatizados de datos personales con un nivel de seguridad media, además de las consideraciones aplicables a los ficheros automatizados de datos personales de nivel y bajo, hay que tener en cuenta las siguientes disposiciones:

• En el documento de seguridad deberán designarse uno o varios responsables de seguridad encargados de coordinar y controlar las medidas definidas en el mismo. Esta designación puede ser única para todos los ficheros o tratamientos de datos de carácter personal o diferenciada según los sistemas de tratamiento utilizados, circunstancia que deberá hacerse constar claramente en el documento de seguridad.
• Cuando gestionen datos personales de nivel medio, los sistemas de información e instalaciones de tratamiento y almacenamiento de datos se someterán, al menos cada dos años, a una auditoría interna o externa que verifique el cumplimiento de las medidas consignadas en el documento de seguridad. Igualmente deberá efectuarse una auditoría ante cambios sustanciales en los sistemas de información
• Deberá establecerse en el despacho jurídico un sistema de registro de entrada de soportes informáticos que permita, directa o indirectamente, conocer el tipo de documento o soporte, la fecha y hora, el emisor, el número de documentos o soportes incluidos en el envío, el tipo de información que contienen, la forma de envío y la persona responsable de la recepción que deberá estar debidamente autorizada.
• Igualmente, se dispondrá en el despacho de un sistema de registro de salida de soportes que permita, directa o indirectamente, conocer el tipo de documento o soporte, la fecha y hora, el destinatario, el número de documentos o soportes incluidos en el envío, el tipo de información que contienen, la forma de envío y la persona responsable de la entrega que deberá estar debidamente autorizada.
• Se deberá establecer un mecanismo que limite la posibilidad de intentar reiteradamente el acceso no autorizado a los sistemas de información.
• Exclusivamente el personal autorizado en el documento de seguridad podrá tener acceso a los lugares donde se hallen ubicados los equipos informáticos que den soporte a los sistemas de información.

Ficheros automatizados de seguridad alta

Respecto de las medidas de seguridad en ficheros automatizados de datos personales con un nivel de seguridad alta, además de las consideraciones aplicables a los ficheros automatizados de datos personales de nivel medio y bajo, hay que tener en cuenta las siguientes disposiciones:

• La transmisión de datos de carácter personal a través de redes públicas o redes inalámbricas de comunicaciones electrónicas se realizará cifrando dichos datos o bien utilizando cualquier otro mecanismo que garantice que la información no sea inteligible ni manipulada por terceros.
• De cada intento de acceso a los sistemas de información del despacho se guardarán, como mínimo, la identificación del usuario, la fecha y hora en que se realizó, el fichero accedido, el tipo de acceso y si ha sido autorizado o denegado. Los mecanismos que permiten el registro de accesos estarán bajo el control directo del responsable de seguridad competente sin que deban permitir la desactivación ni la manipulación de los mismos.
• El responsable de seguridad se encargará de revisar al menos una vez al mes la información de control registrada y elaborará un informe de las revisiones realizadas y los problemas detectados.
• La distribución de los soportes informáticos que contengan datos de carácter personal se realizará cifrando dichos datos o bien utilizando otro mecanismo que garantice que dicha información no sea accesible o manipulada durante su transporte.
• Deberá conservarse una copia de respaldo de los datos personales y de los procedimientos de recuperación de los mismos en un lugar diferente de aquel en que se encuentren los equipos informáticos que los tratan, que deberá cumplir en todo caso las medidas de seguridad exigidas.

Recomendaciones

En función de la tipología de los datos personales que gestione en el despacho, deberá implantar medidas de seguridad en ficheros automatizados más o menos severas para asegurar dichos datos personales.

Por ello, antes de entrar de lleno a definir procesos de seguridad conviene que se haya planteado adecuadamente los ficheros de datos que deberá registrar y su tipología. Si en un mismo fichero de datos personales conviven datos de distinto nivel de seguridad se deberá aplicar siempre el más restrictivo, con que merece la pena, como ya le comenté anteriormente, clasificar sus ficheros de datos personales por uso y tipología.

La severidad de las medidas de seguridad en ficheros automatizados a implantar va a condicionar mucho el coste de las mismas así como el funcionamiento del propio despacho jurídico, por lo que conviene realizar un planteamiento adecuado desde el principio.

​LEIDO EN https://indalics.com/proteccion-de-datos-personales/medidas-de-seguridad-en-ficheros-automatizados

​

CORDIALMENTE, ANTONIO CÁNOVAS GÓMEZ

 BLOGG: http://antoniocanovas.blogspot.com

TWITTER: @ASEVICONSULTOR

ASEVIC Consultores, s.l.p.
Consultoría Laboral: Administrativa y Jurídica

Partida Marxassos, nº 7
C.C. Urbania, locales 1 y 2
BENIDORM (03502-Alicante)
Tf.: 96.680.60.09
Fax: 96.688.97.65

Este mensaje y ficheros anexos son confidenciales y se dirigen exclusivamente al destinatario referenciado. Si usted no lo es y lo ha recibido por error, le rogamos que nos lo comunique y proceda a destruirlo, y se abstenga de utilizar este mensaje y ficheros anexos, so pena de incurrir en responsabilidades legales. El emisor no garantiza la integridad, ni seguridad del presente correo, ni se responsabiliza de posibles perjuicios derivados de cualquiera manipulación efectuada por terceros. Según Ley de Servicios de Sociedad de Información y Comercio Electrónico y LO 15/1999, de Protección de Datos, le comunicamos que su correo electrónico forma parte de un fichero automatizado, teniendo derecho de oposición, acceso, rectificación y cancelación de sus datos.