Hasta ahora se venía hablando mucho de la inminente implantación del nuevo RGPD, que desde el 25 de mayo ya es una realidad.
Hemos desarrollado este contenido para hacer acopio de los consejos prácticos y fundamentales a la hora de actualizar la política sobre protección de datos de tu centro educativo, de una manera cercana y sencilla. Con ello no pretendemos cubrir toda la casuística del nuevo reglamento, pero sí los puntos más recurrentes en las consultas que nos plantean en nuestra la Línea de Ayuda, tanto educadores como familias. Os proponemos una infografía con los elementos imprescindibles que debéis controlar sobre el RGPD y ¡en formato imprimible para que todo el equipo educativo pueda estar informado!
Uno de los puntos más sensibles a la hora de tratar con datos personales es el de disponer previamente del consentimiento necesario, que tendrá que solicitar al alumno o, si este es menor de 14 años (umbral establecido actualmente pero que la AEPD podría reducir hasta los 13 según el RGPD), a los padres o tutores legales para dicho tratamiento. Los centros educativos están legitimados para ello dentro de su función educativa pero en otras muchas ocasiones realizan actividades que, aún correspondiento al curso académino, no se relacionan directamente con la labor educativa. En otros momentos también pueden participar empresas externas a las que se contratan servicios o que solicitan algún tipo de colaboración. Para reflejar estas autorizaciones ponemos a vuestra disposición tres propuestas de modelos de consentimiento que también podréis encontrar de manera agrupada en nuestra guía/recurso ‘Modelos de consentimiento sobre datos personales‘:
Consejos prácticos para cumplir con el nuevo RGPD
Para contemplar de manera adecuada el proceso de adaptación del nuevo RGPD a nuestro centro educativo debemos tener en cuenta el decálogo de buenas prácticas sobre protección de datos. De esta manera también contribuiremos a la mejora de funcionamiento del día a día del propio centro.
Este decálogo recoge aspectos importantes sobre la privacidad, la formación del personal, la transparencia en el tratamiento, el consentimiento sobre el uso y, también, algunos consejos particulares sobre el uso de las aplicaciones informáticas, la mensajería y las imágenes.
-
Décalogo para el uso de datos personales en centros educativos
- Privacidad: El personal relacionado con el centro educativo debe tratar los datos personales con diligencia y respeto a la privacidad e intimidad, anteponiendo el interés y la protección de los menores.
- Formación: Los centros educativos deben formar sobre los principios básicos del tratamiento correcto de los datos personales.
- Transparencia: Aunque los centros educativos tienen justificado el tratamiento de los datos personales a través del ejercicio de su función educativa, deben informar del mismo con lenguaje claro y sencillo a los afectados añadiendo los datos de contacto del delegado de protección de datos y del plazo de conservación de los mismos o del criterio para determinarlo.
- Consentimiento: Cuando el tratamiento de datos personales tenga una finalidad diferente a la educativa el centro educativo debe obtener consentimiento de los alumnos o, en caso de ser menores de 14 años, de sus padres o tutores sobre cada finalidad detallada de manera clara, danto oportunidad de oposición.
- Dentro de las TIC:
- Políticas y condiciones de las aplicaciones: Los centros educativos deben conocer las políticas de privacidad y las condiciones de las aplicaciones a utilizar, rechazando las que no sean explícitas en el tratamiento de los datos personales.
- Protocolos y guías: Los centros educativos deben disponer de protocolos, guías y recomendaciones para el uso de las TIC por parte del profesorado, adaptando su enseñanza al grado de desarrollo de los niños.
- Mensajería instantánea: Es necesario sopesar el uso de mensajería instantánea entre profesores y padres o entre profesores y alumnos, recomendándose su uso únicamente para a casos en los que los que el interés superior del niño pudiera verse comprometido (en estos casos se podrían captar imágenes del niño y ser enviadas a los titulares de su patria potestad).
- Publicación: El profesorado debe ser cauteloso con los materiales que suben a Internet enseñando, al tiempo, a sus alumnos que no pueden sacar fotografías o videos de otras personas y hacerlas públicas sin su consentimiento.
- Imágenes familiares: Es recomendable que en los eventos con asistencia familiar informen a los familiares de los alumnos de que la obtención de imágenes debe ser exclusivamente para su uso personal y doméstico.
A pesar de que los conceptos empleados dentro del ámbito del RGPD no son complicados, sí es cierto que pueden causar cierta confusión entre el personal no iniciado en este tipo de reglamentación.
Conviene tener una idea clara y concreta de la implicación de cada uno de ellos ya que estos conceptos determinan, entre otras cosas, los roles y responsabilidades dentro de los contratos y las acciones fundamentales sobre los datos personales. Ello deriva en una serie de compromisos legales entre todas las partes afectadas.
-
Conceptos básicos sobre protección de datos
- Dato personal: Cualquier información en forma de dato, fotografía, vídeo, gráfico, sonido o de cualquier otro tipo relativo a personas físicas que permita su identificación dentro de un colectivo sin esfuerzos desproporcionados.
- Datos especialmente protegidos: Datos que revelan circunstancias o información de las personas sobre su intimidad y condición personal (ideología, afiliación, religión, origen racial, salud, sexualidad, penales y administrativos). Se denominan “categorías especiales de datos”.
- Pertenencia del dato personal: Corresponde a la persona física titular del dato, resultando ser el afectado o interesado.
- Fichero: Conjunto estructurado de datos personales, accesibles con criterios determinados, y que puede estar centralizado, descentralizado, repartido de forma funcional o geográfica o tratado de forma manual o automática. No es necesaria su notificación a la AEPD ni a las autonomías, siendo únicamente relevante su tratamiento.
- Tratamiento de datos: Cualquier actividad en la que estén presentes datos personales, ya sea manual o automatizada, total o parcialmente.
- Responsable del tratamiento de datos: Persona física o jurídica, pública o privada, que decide sobre el uso de los mismos por decisión directa o por imposición normativa. En el ámbito educativo normalmente será la Administración Pública correspondiente o el propio centro si es concertado o privado.
- Encargado del tratamiento de datos: Persona física o jurídica, autoridad pública, servicio u otro organismo que trate los datos personales por cuenta del responsable del tratamiento incluyendo a las personas o entidades que presten servicios al centro educativo caso en el que debe mediar un contrato con garantías sobre la protección de datos.
- Cesión de datos: Revelación de los mismos a una persona (física o jurídica, autoridad pública, servicio u organismo) distinta de su titular. No se considera cesión de datos a las comunicaciones de datos a las empresas que tengan condición de encargados del tratamiento.
- Transferencia internacional de datos: Envío de datos fuera del ámbito del Espacio Económico Europeo (EEE), ya se realice para que el destinatario preste un servicio al centro educativo o bien para que los trate para una finalidad propia.
Si ya tenemos claras las buenas prácticas sobre el tratamiento de datos personales contenidas en el decálogo y también nos hemos aclarado con los conceptos básicos del RGPD, es momento de afrontar los principios sobre la protección de datos.
Estos principios son los pilares básicos de toda la legislación entorno a su tratamiento pues describen qué pueden hacer los centros educativos por el simple hecho de ser tales instituciones a diferencia de otras personas, por qué motivo se puede solicitar un dato o no, qué seguridad debe ser tenida en cuenta durante su tutela y hasta cuándo se pueden conservar, entre otros detalles.
Sabemos que los datos personales son fundamentales para el normal funcionamiento de nuestro centro escolar, pero hemos de tener cuenta que en muchas ocasiones estarán supeditados a la voluntad de sus legítimos propietarios. En este sentido, las personas, dueñas de sus datos personales, pueden ejercitar una serie de derechos que nos obligan a que les facilitemos acceso a los mismos y la posibilidad de corregirlos, así como de cancelarlos e, incluso, a que atendamos su derecho a oponerse a nuestra tenencia y tratamiento sobre sus datos.
-
Principios sobre la protección de datos personales
- Legitimidad: Los datos pueden ser tratados si existe consentimiento previo por parte de los titulares. Los centros educativos están legitimados para el tratamiento de los datos de los alumnos en su ejercicio de la función educativa, así como para la relación jurídica que se produce con la matriculación de los alumnos, por consentimiento de los mismos o de sus padres en caso de ser menores de 14 años y por intereses legítimos que, por ponderación sobre los derechos y libertades de los afectados, se consideren que prevalecen sobre éstos.
- Calidad: No se pueden tratar más datos que aquellos necesarios estrictamente para la finalidad de cada caso, no pudiendo ser recabados fraudulentamente y su utilización debe ser conocida por los titulares. Además han de ser exactos y actualizados.
- Transparencia: Los centros educativos, aun estando legitimados, deben facilitar de forma clara y concisa, información sobre la existencia de ficheros y tratamientos, la finalidad de los mismos, la obligatoriedad o no de facilitar datos y consecuencias en caso de negativa, los destinatarios de los datos, los derechos de los interesados y dónde ejercitarlos así como la identidad del responsable del tratamiento (el centro o la Administración correspondiente), los datos de contacto del delegado de protección de datos y el plazo de conservación o el criterio para determinarlo.
- Seguridad: Los centros educativos deben adoptar medidas de seguridad, técnicas y organizativas, para garantizar la integridad, confidencialidad y protección de los datos personales frente a su tratamiento ilícito, pérdida, destrucción o daño accidental. No existe un catálogo de medidas, pero sí se establece que responsables y encargados del tratamiento deben definirlas en base a un análisis de riesgos, costes, alcances y derechos y libertades.
- Secreto: Todas las personas que tengan acceso a datos de carácter personal están obligadas aguardar secreto sobre los mismos, incluso cuando la relación con el responsable o el encargado del tratamiento haya finalizado.
- Cancelación: Los datos serán conservados estrictamente por el tiempo definido para la finalidad por el que fueron recabados. A partir de ese momento han de ser cancelados, lo que no implica su borrado material sino su identificación con la finalidad de impedir su ulterior proceso o utilización, excepto para ponerlos a disposición de Administraciones, Jueces y Tribunales. Transcurrido el plazo legal de conservación deben ser destruidos para evitar que sean accesibles por terceros no autorizados.
-
Derechos sobre la protección de datos personales
-
Acceso:
- Conocimiento y obtención gratuita de información sobre si los datos personales son objeto de tratamiento, su finalidad, qué datos son, su origen y los destinatarios de los mismos.
- Existe un plazo de un mes para que el responsable del tratamiento facilite la información o en caso contrario, la respuesta de que no se dispone de ellos.
- No es obligada la copia del expediente escolar, aunque si contiene datos de salud, sí debe entregarse copia de los mismos.
-
Rectificación:
- Corrección de errores, modificación de datos inexactos o incompletos y certeza de la información objeto del tratamiento.
- En caso de menores de 14 años, son sus padres o tutores quienes han de ejercitar este derecho.
- La rectificación no es aplicable a calificaciones ni a expedientes escolares.
-
Cancelación:
- Supresión de datos que resulten inadecuados o excesivos.
- Los expedientes académicos han de ser conservados para posible información a los alumnos una vez finalizados sus estudios.
- Los datos sobre salud serán cancelados cuando no sean necesarios para el desarrollo de la función educativa.
-
Oposición:
- Cese o no tratamiento de los datos de carácter personal.
- Los alumnos y familiares pueden oponerse a la publicación de los mismos cuando exista un motivo legítimo y fundado.
-
Acceso:
Ahora bien, atendiendo a todo lo anterior, ¿cómo hemos de proceder para el tratamiento de los datos personales? Todas las acciones que se tomen en este sentido, que abarcan desde su recogida hasta su borrado, han de atender a aspectos como la calidad de los datos (en cuanto a que se recojan datos que realmente tengan una finalidad justificada), la forma de publicación, el tratamiento de las imágenes y la intervención de terceras figuras dentro de todos estos procesos.
-
Tratamiento de datos en los centros educativos
-
Recogida de datos:
- Los centros educativos, informando siempre a sus titulares, pueden recabar datos personales, tanto de alumnos como de sus padres o tutores, para la función educativa y orientadora, incluso categorías especiales de datos y cualquier circunstancia cuyo conocimiento sea necesario para la educación y orientación.
- Para datos referentes a origen racial, salud y vida sexual se requiere consentimiento expreso y para datos referentes a ideología, afiliación, religión o creencias, el consentimiento ha de ser escrito.
- Ante situaciones de interés público, el centro educativo puede, conforme a su protocolo, acceder a contenidos de mensajería instantánea y redes sociales de los alumnos sin previo consentimiento.
- Respecto a las imágenes, aunque el centro educativo no puede recogerlas como parte de la labor educativa, sí lo puede hacer en el caso de que el interés superior del alumno estuviera comprometido.
-
Tratamiento de datos:
- El centro educativo puede publicar listas de alumnos admitidos siempre y cuando no suponga un acceso indiscriminado a la información y teniendo en cuenta el derecho a oposición por motivos legítimos y fundamentados.
- Internamente puede publicar listas organizativas de las aulas.
- También pueden publicar la información relativa a subvenciones y ayudas públicas concedidas por las Administraciones.
- Las calificaciones han de ser dirigidas de manera privada a los alumnos y a sus padres o tutores aunque cabe la posibilidad de su lectura oral en el aula.
- Los profesores pueden acceder a los expedientes y datos de salud de los alumnos a los que imparten docencia, pero no a los del resto.
- Los padres y tutores tienen derecho de acceso a la información sobre el absentismo escolar de sus hijos así como a la información sobre su salud.
- En el caso de padres separados, ambos tienen derecho a recibir la misma información. En caso de conflicto deberá plantearse ante un juez competente en materia de familia.
- El centro educativo puede comunicar los datos personales de un alumno a otro centro para su matriculación en caso de traslado, sin consentimiento de padres o tutores.
- El centro educativo puede comunicar los datos personales de un alumno a las Administraciones, a los Servicios Sociales, a las Fuerzas y Cuerpos de Seguridad y a los centros sanitarios (siempre y cuando su personal esté sujeto al secreto profesional) para el ejercicio de sus competencias.
- En caso de actividades extraescolares en las que se estén implicadas instituciones, entidades o empresas, los centros escolares podrán cederles datos de sus alumnos con el previo consentimiento expreso de sus padres o tutores.
- El centros educativo necesita previo consentimiento expreso de padres y tutores para comunicar datos personales a las AMPAs.
-
Tratamiento de imágenes:
- Los centros escolares están legitimados para la toma de imágenes cuando su finalidad sea educativa (publicándolas de manera restrictiva para los alumnos y padres o tutores), para otros fines necesitan consentimiento de padres o tutores (informándoles de la forma de publicación que tendrán).
- Los casos de conflicto entre cónyuges sobre el consentimiento deben solucionarse ante un juez competente en materia de familia.
- Las familias de los alumnos pueden realizar fotografías y vídeos en eventos abiertos para ellas siempre y cuando uso sea personal y doméstico, no pudiendo difundirlas sin previo consentimiento de los afectados.
- La oposición de padres a la grabación de imágenes y vídeos por parte de las familias para su uso personal y doméstico en eventos abiertos para ellas no tiene cabida pues se encuentra excluida de la normativa de protección de datos.
- Si una empresa realiza toma de imágenes o vídeos por encargo del centro educativo, éste debe tener consentimiento de padres o tutores.
- Si una empresa realiza toma de imágenes o vídeos para sus propios fines, ésta deberá tener consentimiento de padres o tutores de manera directa o a través del centro educativo.
-
Tratamiento de datos en Internet:
- Los centros educativos que suscriban contratos con empresas de prestación de servicios de plataformas educativas en Internet son los responsables del servicio, mientras que las empresas son las encargadas del tratamiento, y deben poder conocer el procedimiento de recuperación de datos así como transmitir a los usuarios las políticas en materia de seguridad.
- En los contratos con empresas de servicios de plataformas educativas, se deben especificar la naturaleza de los datos de cara a definir y establecer medidas y procedimientos de seguridad, así como las responsabilidades de todos los intervinientes.
- Las empresas prestatarias de servicios de plataformas educativas sólo pueden realizar comunicaciones comerciales a los usuarios de los centros, previo consentimiento por su parte.
- La cesión de datos personales a las editoriales para servicios de adquisición de libros digitales precisa de consentimiento previo de los afectados, no pudiendo ser utilizados dichos datos para otras finalidades.
- Los centros educativos sólo pueden utilizar herramientas de almacenamiento en la nube que cumplan las garantías previstas en la normativa de protección de datos.
- Las aplicaciones utilizadas por los profesores para su labor educativa deben garantizar la política de privacidad definida por el centro educativo, no implicando la transmisión de datos de los alumnos al prestatario del servicio contratado para que los utilice para sus propios fines o los almacene de manera permanente.
- Si se contratan servicios de plataforma educativa con una empresa ubicada en el Espacio Económico Europeo sólo es necesaria la formalización de un contrato con el encargado del tratamiento. Para los casos de empresas ubicadas en territorios no declarados con un nivel adecuado de protección por parte de la Comisión Europea se debe solicitar autorización a la AEPD.
- Al finalizar la contratación de un servicio de plataforma educativa, el centro educativo debe disponer de la portabilidad de la información a sus propios sistemas así como tener la garantía del borrado seguro de los datos personales donde se encuentren almacenados.
- La publicación de datos de docentes en la web del centro de manera restringida a los alumnos y padres o tutores no precisa de consentimiento, aunque se aconseja informar a los afectados, mientras que la publicación en abierto sí precisa de consentimiento.
- Los centros educativos están legitimados para la publicación de datos personales de los alumnos cuando su finalidad sea educativa (publicándolas de manera restrictiva para los alumnos y padres o tutores), para otros fines necesitan consentimiento de padres o tutores (informándoles de la forma de publicación que tendrán).
-
Recogida de datos:
¡No olvides que estamos al otro lado del teléfono!
En ocasiones, la única traba no es carecer de conocimientos sobre el tema ni acerca de las medidas para prevenirlo o solucionarlo, sino simplemente no saber cómo afrontar ciertas situaciones. Por eso, siempre que nos encontremos con cualquier cuestión relacionada con la experiencia online de nuestros hijos o bien estemos sufriendo cualquiera de los riesgos mencionados, podemos acudir a la Línea de Ayuda, 900 116 117 (teléfono gratuito y confidencial), para obtener un asesoramiento cercano y experto. Ya no existen excusas para no navegar de forma segura y responsable: Si dudas online, IS4K te ayuda.
¡Síguenos en nuestras redes sociales y comparte nuestros contenidos (Facebook y Twitter)!
Para ampliar más información sobre el nuevo RGPD, consulta: www.aepd.es
Nota de DavidHellin: La noticia es original de OSI
El factor que habitualmente tiene más peso para las empresas, y en particular para las pymes, a la hora de decidirse por servicios de seguridad gestionada, es la carencia de personal cualificado, con experiencia en protección de datos, sistemas y aplicaciones, dada la creciente sofisticación de las amenazas existentes. El segundo factor es la reducción de costes según revela una reciente encuesta realizada por Alienvault.
El factor que habitualmente tiene más peso para las empresas, y en particular para las pymes, a la hora de decidirse por servicios de seguridad gestionada, es la carencia de personal cualificado, con experiencia en protección de datos, sistemas y aplicaciones, dada la creciente sofisticación de las amenazas existentes. El segundo factor es la reducción de costes según revela una reciente encuesta realizada por Alienvault.
Como podemos ver en la siguiente imagen, los proveedores de servicios gestionados de seguridad (MSSP, Managed Security Service Providers) se encuentran en el último escalón de Servicios dentro de la Cadena de Valor de la Ciberseguridad, antes de llegar a los clientes, en este caso pymes, consumidoras de sus servicios.
Top Ten servicios gestionados
Volviendo a los datos de la encuesta a la que nos hemos referido al comienzo del artículo, esta revela además que los servicios más solicitados son:
- Monitorización de eventos e información de seguridad o SIEM, de sus siglas en inglés Security Information and Event Management y;
- Sistemas de detección y prevención de intrusiones o IDS/IPS, de sus siglas en inglés Intrusion Detection/Prevention Systems
Otros servicios de seguridad ofrecidos por un proveedor MSSP y que en principio no son tan demandados serían:
- asesoría y planificación de servicios de seguridad;
- copias de respaldo;
- operación y monitorización de las soluciones de seguridad implantadas;
- auditoría y actualización (parches y cambios de versión) de productos;
- monitorización y resolución de incidentes de seguridad;
- migraciones y sitios de respaldo;
- escalado de soluciones para adaptarse a los cambios;
- actualizaciones tecnológicas para la incorporación de nuevas tecnologías, etc.
Es conveniente conocer que este tipo de servicios, por norma general, se coordinan y gestionan a través de una comunicación directa con los operadores de la «plataforma» de seguridad para realizar solicitudes u otras acciones, mediante herramientas de ticketing, teléfono o email.
Pros & Cons
Lo primero que debemos considerar como pyme es, ¿realmente necesitamos a un MSSP? En las siguientes líneas comentaremos pros y contras de externalizar la ciberseguridad y qué valorar a la hora de tomar una decisión al respecto.
Comencemos por las ventajas. Por un lado, disponer de servicios de ciberseguridad externalizados, nos hará contar con la experiencia de nuestro proveedor aprovechándonos de su especialización y calidad de servicio, es decir, tendremos a nuestro alcance profesionales expertos en cada campo. Así mismo, también hemos de valorar la posible reducción en los costes. En general, para una pyme no tecnológica en un entorno tecnológico que cambia con tanta rapidez, realizar un gasto en un servicio especializado de seguridad suele resultar más económico que invertir en los recursos humanos y materiales específicos necesarios (personal especializado, formación, dispositivos de seguridad y red, etc.).
En el aspecto técnico también se obtienen ventajas como un menor impacto por obsolescencia, tanto en el hardware, como en el software o la agilidad en la implantación de políticas de copia de seguridad o la de actualización y parcheo de aplicaciones, como ejemplos.
Otros beneficios que podremos disfrutar son los derivados de que nuestro proveedor tenga garantías de seguridad en sus propias instalaciones, y por tanto, para el servicio que nos ofrece. Esto es importante sobre todo si trata con datos de nuestros registros de acceso (logs) o si contratamos copias de seguridad o sitios de respaldo. Los proveedores pueden demostrarlo mediante certificados de seguridad como ISO 27002 o con sellos de confianza. Si el ANS que nos ofrecen fuera negociable, esta es una garantía que sería recomendable solicitar.
Por otro lado, puede que existan algunos inconvenientes a la hora de contratar los servicios de un proveedor de seguridad gestionada. Vamos a tener que adaptarnos a la dependencia de terceros en cuanto a tiempos de respuesta, horarios del servicio, etc. Todo esto puede contrarrestarse adaptando nuestros planes de seguridad y contingencia a la nueva situación y estableciendo claramente en los ANS los protocolos de comunicación (horario, idioma, medios, tiempo de respuesta,…) con nuestro proveedor en caso de tener que coordinarnos para recuperar la normalidad de servicios que hayan sufrido algún tipo de incidente. También deberemos suscribir un acuerdo de confidencialidad en caso de que se trate nuestra información, la de los clientes o cualquier otra.
Igualmente, podríamos pensar en que existe el riesgo de fuga de datos cuyo origen sea el tratamiento realizado por el proveedor si le confiamos nuestros datos. Para ello, el proveedor debe cumplir nuestras necesidades de protección, en particular si se trata de datos personales sujetos al Reglamento General de Protección de Datos, RGPD. En este caso, al firmar el contrato, deberemos conocer las medidas de seguridad implementadas por el proveedor o si el servicio ha obtenido algún sello de seguridad o alguna certificación como la ISO 27001. Si se tratara del caso de que nuestro proveedor sea además nuestro ISP (Internet Service Provider) y el ANS del servicio es negociable, tendremos que verificar que sus instalaciones (centro de datos) tengan, por ejemplo, alguna de las certificaciones Tier del Uptime Institute. De esta forma, podremos asumir con mayor conocimiento un nivel de riesgo específico derivado de nuestro proveedor.
Otro aspecto que habrá que valorar será la dificultad para adquirir know-how y experiencia relativa a los servicios TIC debido a la falta de visibilidad en los procesos de despliegue, operación, resolución de incidencias, etc. de las soluciones de seguridad implicadas en los servicios contratados.
En resumen
Hemos visto las ventajas e inconvenientes de contratar algunos de los servicios de seguridad gestionada que nos podría ofrecer un proveedor. Entre otras, en positivo: la reducción de los costes o la despreocupación por el despliegue y gestión de servicios TIC, para enfocarnos en los procesos propios de nuestro negocio. En negativo: la dependencia de terceros o el riesgo de fuga de datos. En cualquier caso, habrá que realizar un análisis para conocer a qué se enfrenta nuestra empresa en el caso de sufrir un incidente (pérdidas financieras, de imagen, multas,…) o los riesgos que a priori vamos a reducir si contamos con la experiencia en ciberseguridad que nos ofrece una empresa externa.
Etiquetas:
Buenas prácticas, Contratación
Nota de DavidHellin: La noticia es original de INCIBE
Como ya os adelantamos desde nuestra sección de avisos de seguridad,el próximo uno de febrero será de aplicación y de manera obligatoria el estándar PCI DSS v3.2, por lo que cualquier empresa que procese, almacene o transmita datos relacionados con tarjetas bancarias debe actualizar sus procedimientos para adecuarse a la norma.
Como ya os adelantamos desde nuestra sección de avisos de seguridad,el próximo uno de febrero será de aplicación y de manera obligatoria el estándar PCI DSS v3.2, por lo que cualquier empresa que procese, almacene o transmita datos relacionados con tarjetas bancarias debe actualizar sus procedimientos para adecuarse a la norma.
El Estándar de Seguridad de Datos para la Industria de Tarjeta de Pago “Payment Card Industry Data Security Standard” o PCI DSS es un modelo formado por las principales compañías emisoras de tarjetas de crédito y débito. Su principal objetivo es ayudar a las organizaciones que procesan, almacenan o transmiten datos de este tipo a asegurarlos y minimizar los riesgos por fraude. Esta normativa aplica a las organizaciones que gestionen datos de tarjetas de comerciantes, procesadores, adquirentes, entidades emisoras y proveedores de servicios.
El principal objetivo de este estándar es aumentar la seguridad de cualquier operación o transacción en la que se gestione información relacionada con tarjetas bancarias, y de esta forma, minimizar al máximo posible el riesgo de fraude. Según recogemos en el artículo 2017, el año en que las empresas se concienciaron en ciberseguridad, el PIB generado por el cibercrimen ha pasado del 0.8% al 1% entre los años 2016 y 2017 respectivamente. PCI DSS v3.2 es una medida más con la que hacer frente a este aumento adaptando para ello, la normativa a los nuevos tiempos que corren y por ende aumentar los controles de seguridad en algo tan sensible como son las tarjetas de pago.
Esta nueva versión trae consigo varios cambios que antes eran considerados como “buenas prácticas” pero que a partir del próximo 1 de febrero, serán de obligado cumplimiento. A continuación se describen los principales:
- Redes y sistemas seguros
- La organización debe instalar y mantener un cortafuegos “firewall” para proteger los datos del titular.
- Evitar utilizar claves de acceso por defecto.
- Mantener un registro y supervisión de todos los accesos a los recursos de la red y a los datos del titular.
- Comprobar periódicamente la seguridad de los sistemas.
- Protección de los datos del titular
- Los datos del titular de la tarjeta deben estar protegidos frente a posibles intrusos.
- El envío de cualquier información referente a la tarjeta por una red pública como Internet, debe estar cifrada.
- Software de protección.
- Llevar a cabo todas las acciones necesarias para minimizar el riesgo de infección por malware como tener instalado y actualizado el antivirus o mantener todos los sistemas y herramientas actualizados.
- Medidas de control de acceso.
- Mantener los datos del titular de la tarjeta con el máximo nivel de restricción.
- Implementar medidas de identificación y autenticación a los recursos de la organización.
- Restringir el acceso físico a los datos del titular de la tarjeta.
- Política de seguridad de la información.
- Mantener una política que aborde la seguridad de la información para todo el personal de la organización.
En la documentación proporcionada por el Security Standards Council se describen más en profundidad los cambios que deben implementarse para adecuarse a la nueva normativa.
Hay que considerar que el estándar PCI DSS distingue dos tipos diferentes de datos y el trato que debe realizarse sobre ellos:
- Datos del titular de la tarjeta: este tipo de datos hacen referencia a información personal y bancaria del titular de la tarjeta. Este tipo de información según el estándar está permitido almacenarla aunque siempre implementando medidas de seguridad como el cifrado para salvaguardar su confidencialidad. Dentro de esta información se encuentra:
- Número de cuenta principal.
- Nombre y apellidos del titular de la tarjeta.
- Código de servicio.
- Fecha de vencimiento.
- Datos confidenciales de autenticación: ningún tipo de información que permita autenticarnos con una tarjeta puede ser almacenada, ni aunque se encuentre cifrada. Dentro de esta información se encuentra:
- Contenido completo de la banda magnética o del chip de la tarjeta. Tampoco está permitido almacenar este tipo de información si se encuentra en otro dispositivo como por ejemplo, un Smartphone.
- CVV o CVC. Código compuesto por tres dígitos que suele encontrarse en el reverso de la tarjeta.
- Código PIN utilizado para desbloquear la tarjeta.
Este estándar no incluye ningún tipo de sanción por incumplimiento, aunque las entidades emisoras de las tarjetas y las entidades bancarias sí que podrían aplicarlas. Otro punto a destacar es que en caso de que se produzca una fuga de información los más perjudicados serán el comercio y el banco al que se encuentra vinculada esa tarjeta ya que verá afectada negativamente su reputación. Además, puede que incluso se enfrente a sanciones por incumplimiento de la LOPD como responsable.
Sigue las siguientes recomendaciones para implantar el PCI DSS 3.2:
- Nunca almacenes datos de autenticación de las tarjetas, asegúrate de que esto se cumpla aunque tengas el servicio externalizado.
- En caso de necesitar un TPV externaliza el servicio a una entidad de confianza que cumpla con este estándar.
- Antes de almacenar los datos de las tarjetas bancarias de tus clientes asegúrate de que es estrictamente necesario.
- En caso de almacenar cualquier dato del titular de la tarjeta asegúrate que se haga de forma cifrada y por medio de protocolos considerados robustos.
- Implanta autenticación de doble factor para los accesos de administrador, sobre todo si el acceso es desde el exterior de tus instalaciones.
- Si tienes limitaciones técnicas o administrativas para cumplir algún requisito, justifícalas y considera el uso de mecanismos compensatorios o alternativas que ofrezcan una protección similar.
- Si tienes dudas, consulta con un asesor cualificado sobre el tema o encuentra el que más se adecúe a tus necesidades desde nuestra sección Catálogo de Ciberseguridad.
Dentro de la página web oficial del Security Standards Council, organización que gestiona el estándar PCI DSS, podrás encontrar diferentes recursos que te serán de utilidad, como por ejemplo el glosario de términos, un resumen con los principales cambios de esta nueva versión o la propia normativa entre otros.
Además, como información complementaria disponemos de varios recursos como el Kit de concienciación o una herramienta con la que evaluar los riesgos a los que está expuesta tu organización que ayudarán a proteger tu empresa.
Etiquetas:
Empresa, Proteccion clientes, Proteccion informacion
Nota de DavidHellin: La noticia es original de INCIBE
En este artículo analizamos las características de la ciberseguridad en las asociaciones. ¿Cómo están adoptando la tecnología estas entidades? ¿Cómo les afecta la ciberseguridad? ¿Qué han de hacer para ganarse la confianza de sus socios?
En este artículo analizamos las características de la ciberseguridad en las asociaciones. ¿Cómo están adoptando la tecnología estas entidades? ¿Cómo les afecta la ciberseguridad? ¿Qué han de hacer para ganarse la confianza de sus socios?
El sector de las asociaciones
Las asociaciones se caracterizan por representar los intereses de un grupo de personas, sus socios o miembros. Son en su mayoría pequeñas y medianas empresas, entre ellas:
- organizaciones empresariales, profesionales y patronales que defienden los intereses de empleadores, trabajadores por cuenta propia o de la comunidad científica;
- organizaciones sindicales que defienden los intereses de los empleados;
- organizaciones que promueven ideas y actividades políticas, culturales, educativas o recreativas, por ejemplo: organizaciones religiosas, de grupos étnicos, organizaciones juveniles de partidos políticos, iniciativas cívicas, movimientos ecológicos o de defensa del medio ambiente, asociaciones de consumidores, clubes culturales, coleccionistas y artesanos, etc.
En los últimos años, el número de entidades dedicadas a actividades asociativas ha crecido según el INE, llegando, en 2016, a 39.525 asociaciones.
La tecnología también está transformando este sector al igual que ocurre con muchos otros. Aunque son empresas con pocos empleados, para estar en continuo contacto con sus asociados, utilizan de forma intensiva las comunicaciones a través de su página web, correo electrónico y las redes sociales.
La confianza de los socios está en juego
Las nuevas tecnologías transforman la forma de comunicarnos. Es algo que las asociaciones llevan tiempo aprovechando, pues más de la mitad de la interacción con sus asociados se hace de forma no presencial. Son muchas las que cuentan con página web y cuentas en varias redes sociales utilizándolas, con mayor o menor intensidad y éxito, para difundir su actividad.
Del uso seguro de estas tecnologías depende en gran medida la confianza de sus asociados. Si no cuentan con esta confianza no podrán acometer la defensa de sus intereses comunes, su razón de ser. La protección de su página web y de su reputación online son pues dos pilares con los que construir la confianza de sus asociados.
Por otra parte intercambian todo tipo de documentos con sus miembros por email. También a través de este medio se puede ganar o perder la confianza de sus miembros. Por ello, y para evitar ataques por esta vía, es importante conocer cómo hacer un uso seguro del correo electrónico.
Estas y otras medidas de seguridad nos las cuentan los empresarios, Laura y Miguel, en los Itinerarios interactivos sectoriales, unos sencillos y amenos videos interactivos donde podrás ver, para una asociación, estos y otros temas de ciberseguridad que te afectan, como robo y pérdida de datos o derechos de autor, etc.
Firma electrónica: garantía de autenticidad
Algunos de los documentos que se intercambian con sus socios y con las AAPP deben ir firmados (actas, solicitudes, demandas,…), es decir, tener unas garantías de su origen y de que no han sido modificados. Para garantizar la identidad en estos intercambios entre los integrantes de la asociación, es necesario utilizar servicios electrónicos de confianza, es decir firma electrónica y otros servicios como sello de tiempo o entrega certificada.
La confianza que ofrecen las asociaciones en sus actividades depende, aunque no exclusivamente, de la autenticidad e integridad de los documentos que intercambian con socios y otras entidades. Tanto para su relación con sus asociados, como para trámites con la e-Administración, la firma electrónica es la herramienta que aporta estas garantías además de validez legal, agilidad, trazabilidad y seguridad.
Además, muchas asociaciones son transfronterizas y su labor se verá favorecida por las mejoras de los trámites previstas por la Unión Europea en lo relativo a identificación electrónica para garantizar la confianza en las transacciones electrónicas (regulación eIDAS) en todo el territorio de la UE.
En el siguiente video puedes ver los conceptos básicos de la firma electrónica y cómo utilizarla en tu asociación.
Etiquetas:
Proteccion informacion, Video, Asociaciones, Empresa, Identidad online
Nota de DavidHellin: La noticia es original de INCIBE
La Organización de los Estados Americanos (OEA) , en colaboración con INCIBE y Citi Foundation, ofrece la nueva edición del curso MOOC de ciberseguridad para micropymes y autónomos.
Apúntate antes del 1 de febrero a esta edición especial para tener la oportunidad de acceder y aprender a proteger el mayor activo de tu negocio, la información.
Etiquetas:
Amenazas, Area de informática, Buenas prácticas, Ciberdelito, Cloud Computing, Concienciación, Continuidad de negocio, Contratación, Cumplimiento legal, Empresa, Fraude, Identidad online, Movilidad, Plan director, Políticas, Protección, Proteccion clientes, Proteccion informacion, Proteccion puesto de trabajo, Video, Vulnerabilidades, Web
Nota de DavidHellin: La noticia es original de INCIBE
Con esta guía tu empresa podrá almacenar sus datos de forma segura.
La información es un activo para las empresas. Datos de clientes, de facturación, de recursos humanos,…es esencial proteger esta información durante todo su ciclo de vida y destruirla de forma segura cuando deja de ser útil. Esta guía trata de acercar los aspectos esenciales de la gestión de la seguridad de la información: el almacenamiento.
Confidencialidad, disponibilidad e integridad de la información son algunas de las propiedades básicas de su seguridad. Estos serán también los parámetros que nos permitirán clasificarla para seleccionar las medidas de protección que debemos aplicar a cada tipo. Como punto de partida, es fundamental identificar la información crítica, aquella que si se altera, destruye, divulga o resulta inaccesible puede causar graves pérdidas a la empresa.
Se repasan desde la perspectiva de la seguridad las diferentes formas de almacenamiento y recuperación disponibles. También se delinean las distintas políticas que la empresa debe implantar para proteger la información contra pérdida, destrucción o deterioro de dispositivos de almacenamiento, accesos no autorizados, fuga de información, ingeniería social, etc.
Nota de DavidHellin: La noticia es original de INCIBE
