Muchas empresas dependen ahora completamente de los datos almacenados en sus servidores de red, ordenadores, portátiles, dispositivos móviles y proveedores de servicios en la nube. Es probable que algunos de estos datos contengan información personal o confidencial de la empresa.
Aquí analizamos algunos aspectos a considerar al revisar la seguridad de sus sistemas informáticos en relación con los controles de acceso. El Reglamento General de Protección de Datos (RGPD) establece el principio de seguridad, que establece que debe adoptar las medidas técnicas y organizativas adecuadas al procesar datos personales de forma segura. Este principio también se repite como el sexto principio de la Ley de Protección de Datos (LPD) de 2018, que amplía el RGPD y establece el requisito de que los datos personales se procesen de forma segura.
Por este motivo, evitar el acceso no autorizado o accidental a los datos personales que usted procesa es un paso importante hacia el cumplimiento.
Seguridad de acceso
Unos buenos controles de acceso a los ordenadores y a la red minimizan el riesgo de robo o mal uso de datos.
Los controles de acceso se pueden dividir en dos áreas principales:
- Acceso físico: controles sobre quién puede ingresar a las instalaciones y quién puede acceder a datos personales
- acceso lógico: controles para garantizar que los empleados solo tengan acceso al software, los datos y los dispositivos adecuados necesarios para desempeñar su función particular.
Acceso físico
Además de tener controles de acceso físico, como cerraduras, alarmas, iluminación de seguridad y CCTV, hay otras consideraciones, como la forma en que se controla el acceso a las instalaciones.
No se debe permitir que los visitantes deambulen a menos que estén bajo estricta supervisión.
Asegúrese de que las pantallas de las computadoras no sean visibles desde el exterior.
Utilice políticas de red para garantizar que las estaciones de trabajo y/o los dispositivos móviles estén bloqueados cuando no estén supervisados o no se utilicen.
Asegúrese de que si se pierde un dispositivo móvil, se pueda inmovilizar de forma remota.
Los dispositivos móviles, al ser pequeños, son elementos de alto riesgo, por lo que los datos confidenciales siempre deben estar encriptados y el acceso al servicio debe controlarse mediante un número PIN o una contraseña.
Puede ser necesario deshabilitar o restringir el acceso a dispositivos USB y lectores y grabadores ópticos.
Puede ser necesario bloquear puertos de red a través de servidores Radius u otro hardware de red, para evitar que se conecten equipos no autorizados a la red a través de un cable.
Por último, la información en formato impreso debe eliminarse de forma segura.
Acceso lógico
Se deben emplear técnicas de acceso lógico para garantizar que el personal no tenga más acceso del necesario para desempeñar sus funciones.
Los datos confidenciales deben estar cifrados y el acceso a ellos debe controlarse mediante seguridad de red, listas de control de acceso y perfiles de usuario.
También puede ser necesario restringir el acceso a determinadas aplicaciones y carpetas para cada usuario.
Por último, puede ser necesario bloquear ciertos dispositivos en ciertas máquinas, ya sea a través de la política de grupo en Windows o una aplicación de administración de terceros.
Contraseñas
Una política de contraseñas que consta de un nombre de usuario y una contraseña es una buena práctica.
Estos ayudan a identificar a un usuario en la red y permiten asignar los permisos adecuados.
Sin embargo, para que las contraseñas sean efectivas deben :
- ser relativamente largo (es decir, ocho caracteres o más)
- contienen una mezcla de caracteres alfanuméricos y especiales (como &^”)
- cambiarse periódicamente a través de las opciones de renovación automática de contraseña
- ser eliminado o cambiado cuando un empleado se va
- utilizarse en archivos individuales, como hojas de cálculo o documentos procesados por texto, que contienen información personal
- estar encriptados dentro de sus sistemas utilizando un algoritmo de encriptación fuerte
y NO debería
- ser una contraseña general (es decir, la misma para todas las aplicaciones o para todos los usuarios)
- escribirse en notas adhesivas que se pegan en el teclado o la pantalla
- consisten en palabras o frases comunes, o el nombre de la empresa.
- se enviará por correo electrónico, a menos que sea solo una contraseña temporal (sin información de respaldo como para qué sirve y cuál es el nombre de usuario)
- no se almacenará como texto sin formato dentro de sus sistemas.
Auditoría de acceso
Si bien no es un requisito legal del RGPD, el registro y el monitoreo de los datos (y los cambios realizados en ellos) contribuirán en gran medida al cumplimiento del Artículo 32 del RGPD.
Auditar su procesamiento de datos le permitirá revisar, informar y comprobar:
- Quién ha accedido a los datos y cuándo
- Con qué frecuencia se accede a los datos y si esta cantidad de acceso es apropiada
- En caso de pérdida accidental de datos, revise qué cambios se han realizado y quién los realizó.
Si bien tanto el RGPD como la DPA 2018 no establecen las medidas exactas que debe tomar, debe considerar utilizar una solución técnica que sea adecuada a sus necesidades y a las de los datos que está procesando.
