{"id":2123,"date":"2018-09-12T11:18:56","date_gmt":"2018-09-12T09:18:56","guid":{"rendered":"https:\/\/lexgoapp.com\/blog\/?p=2123"},"modified":"2018-09-12T11:18:56","modified_gmt":"2018-09-12T09:18:56","slug":"como-definir-una-politica-de-seguridad-en-materia-de-proteccion-de-datos-jose-enrique-perez-palaci","status":"publish","type":"post","link":"https:\/\/lexgoapp.com\/blog\/como-definir-una-politica-de-seguridad-en-materia-de-proteccion-de-datos-jose-enrique-perez-palaci\/","title":{"rendered":"\u00bfC\u00f3mo definir una pol\u00edtica de seguridad en materia de protecci\u00f3n de datos? \/\/ Jos\u00e9 Enrique P\u00e9rez Palaci"},"content":{"rendered":"

\u00bfC\u00f3mo definir una pol\u00edtica de seguridad en materia de protecci\u00f3n de datos?<\/span><\/h1>\n

\"\"<\/a>Don Jos\u00e9 Enrique P\u00e9rez Palaci
\n<\/i><\/b>Abogado – Colegiado 2453 Ilustre Colegio de Abogados de Girona
\n<\/i><\/b>Especialista en protecci\u00f3n de datos por<\/span><\/i> AENOR
\n<\/b>Integrante del equipo de <\/span>Salud, \u00c9tica y Compliance<\/span><\/i><\/a> (<\/span><\/i>SEC<\/span><\/i><\/a>)<\/span><\/i><\/span><\/p>\n

Para los profesionales del derecho han finalizado las vacaciones estivales e inicia el nuevo a\u00f1o, y es que para nosotros el a\u00f1o laboral empieza en el mes de septiembre y finaliza en el de agosto, y durante esos, a veces, largos meses estamos concentrados en nuestro trabajo, que no es s\u00f3lo redactar escritos, sino tambi\u00e9n encontrarlos en nuestros ordenadores, en nuestros programas de gesti\u00f3n, y luego en papel, aunque los tiempos cambian y estamos en la era de las nuevas tecnolog\u00edas, continuamos \u00ab<\/span>cogidos<\/span><\/i>\u00bb por el papel.<\/span><\/p>\n

Sea como sea, debemos de tener en cuenta que la documentaci\u00f3n que nos notifican por medios electr\u00f3nicos, la que remitimos al procurador debe de integrarse en un sistema de gesti\u00f3n de la informaci\u00f3n que preserve la confidencialidad, proteja los datos personales y d\u00e9 confianza a nuestros clientes, dispongamos con prontitud de la informaci\u00f3n; y todo ello, desde la seguridad e integraci\u00f3n en los procesos organizativos y la estructura de nuestro despacho, y siempre de acorde con las necesidades y capacidad del mismo.<\/span><\/p>\n

El prop\u00f3sito de establecer, implementar, mantener y mejorar constantemente nuestro sistema de gesti\u00f3n de la informaci\u00f3n es conocer, gestionar y minimizar los riesgos de seguridad.<\/span><\/p>\n

Uno de los primeros objetivos es conocer nuestras brechas de seguridad, y para ello debemos conocer cu\u00e1les son los mecanismos de acceso a los dispositivos, servicios y aplicaciones, garantizando la autenticaci\u00f3n del usuario.<\/span><\/p>\n

Debemos establecer y documentar un procedimiento para habilitar, revocar las credenciales y los permisos de acceso, y es que el usuario identifica y la contrase\u00f1a autentica, por lo que aquellas contrase\u00f1as que sean deficiente (ejemplo: nombre de hijos, mascota, fecha de nacimiento o matrimonio de padres, de hijos o de nosotros mismos, un n\u00famero previsible como 1234567, n\u00famero del DNI, d\u00edas de la semana o del mes, etc.) o que est\u00e9n mal custodiadas (ejemplo: en un P<\/span>ost-it<\/span><\/i> en la pantalla del ordenador, en una libreta al acceso de cualquier empleado, en una tarjeta de visita, compartir contrase\u00f1as con otros empleados para poder acceder a sus dispositivos, etc.) favorecer\u00e1n el acceso y en consecuencia el uso no autorizado a los datos.<\/span><\/p>\n

Frente a ello, deben de garantizarse unas buenas pr\u00e1cticas para fortalecer nuestras contrase\u00f1as; y as\u00ed, actualizarlas peri\u00f3dicamente, no utilizar las contrase\u00f1as que se nos remiten por defecto, sino cambiarlas, memorizarlas, y es que no tenemos porque no usar una contrase\u00f1a fuerte de dif\u00edcil memorizaci\u00f3n, ciertamente accedemos a multitud de dispositivos y servicios que nos solicitan la contrase\u00f1a.<\/span><\/p>\n

Esto no est\u00e1 re\u00f1ido con el hecho de que podamos memorizar un grupo de contrase\u00f1as a partir de la reglas mnemot\u00e9cnicas asociativas, un ejemplo ser\u00eda <\/span>se\u00f1orcarabebamg<\/span><\/i>, y la contrase\u00f1a: <\/span>SrCaRaBeBaMg_50<\/span><\/i> (elementos qu\u00edmicos de la tabla peri\u00f3dica), y \u00bfqu\u00e9 hacer cuando debamos actualizarla? pues, o bien cambiar los elementos qu\u00edmicos (<\/span>se\u00f1orconina<\/span><\/i>: <\/span>SrCoNiNa_28<\/span><\/i>) o cambiar la regla mnemot\u00e9cnica.<\/span><\/p>\n

La pol\u00edtica de contrase\u00f1as debe estar documentada, al alcance de todos los empleados (principio de disponibilidad), y debe, sobre todo, cumplirse, por lo que deberemos auditar peri\u00f3dicamente el cumplimiento de la pol\u00edtica de contrase\u00f1as, para asegurar que el sistema de gesti\u00f3n de la seguridad de la informaci\u00f3n consigue los resultados previstos, prevenir o minimizar los efectos no deseados y evaluar la eficacia de las acciones preventivas y correctivas para tratar los riesgos.<\/span><\/p>\n

En cuanto a los controles de la pol\u00edtica de contrase\u00f1as podemos clasificarlos en dos niveles:<\/span><\/p>\n