Publicado en

BRECHAS DE SEGURIDAD: ALGUNAS TIPOLOGÍAS DE CASOS QUE PUEDEN DAR LUGAR A UN INCIDENTE

0-day (vulnerabilidad no conocida): Vulnerabilidad que permite a un atacante el acceso a los datos en la medida en que es una vulnerabilidad desconocida. Esta vulnerabilidad estará disponible hasta que el fabricante o desarrollador la resuelva.

APT (ataque dirigido): Se refiere a diferentes tipos de ataques dirigidos normalmente a recabar información fundamental que permita continuar con ataques más sofisticados. En esta categoría se encuadraría por ejemplo una campaña de envío de email con software malintencionado a empleados de una empresa hasta conseguir que alguno de ellos lo instale en su equipo y proporcione una puerta de entrada al sistema.

Denegación de servicio (DoS/DDoS): Consiste en inundar de tráfico un sistema hasta que no sea capaz de dar servicio a los usuarios legítimos del mismo.

Acceso a cuentas privilegiadas: El atacante consigue acceder al sistema mediante una cuenta de usuario con privilegios avanzados, lo que le confiere libertad de acciones. Previamente deberá haber conseguido el nombre de usuario y contraseña por algún otro método, por ejemplo un ataque dirigido.

Código malicioso: piezas de software cuyo objetivo es infiltrase o dañar un ordenador, servidor u otro dispositivo de red con finalidades muy diversas. Una de las posibilidad para que el código dañino alcance a una organización es que un usuario lo instale de forma involuntaria.

Compromiso de la información: Recoge todos los incidentes relacionados con el acceso y fuga, modificación o borrado de información no pública.

Robo y/o filtración de datos: Se incluye en esta categoría la pérdida/robo de dispositivos de almacenamiento con información.

Desfiguración (Defacement): Es un tipo de ataque dirigido que consiste en la modificación de la página web corporativa con la intención de colgar mensajes reivindicativos de algún tipo o cualquier otra intención. La operativa normal de la web queda interrumpida, produciéndose además daños reputacionales.

Explotación de vulnerabilidades de aplicaciones: Cuando un posible atacante logra explotar con éxito una vulnerabilidad existente en un sistema o producto consiguiendo comprometer una aplicación de la organización.

Ingeniería social: Son técnicas basadas en el engaño, normalmente llevadas a cabo a través de las redes sociales, que se emplean para dirigir la conducta de una persona u obtener información sensible. Por ejemplo, el usuario es inducido a pulsar sobre un enlace haciéndole pensar que es lo correcto.

Fuente: AEPD

  • Hackeo de la red y acceso a datos por terceros no autorizados
  • Ransomware  (virus que encriptan los datos y piden un rescate por ellos)
  • Malware u otro tipo de virus que puedan afectar a datos
  • Que los empleados o entre compañeros se compartan contraseñas para acceder a diferentes datos a los que no todos tienen permisos o autorizaciones de acceso.
  • Robo o pérdida de documentación o dispositivos (me han robado o he perdido el portátil, el Smartphone, incluidos los personales si sincronizan el correo de empresa)
  • Acceso no autorizado a las oficinas o instalaciones de la empresa, con la consecuente pérdida o robo de documentación o equipos.
  • Trabajar en remoto desde equipos en casa, pero que esos equipos no tengan las medidas de seguridad que hay en la empresa
  • Olvidar o perder una contraseña de un dispositivo y que no se pueda recuperar la información que almacenaba (no recuerdo la contraseña de un HDD extraíble con la copia de seguridad)
Publicado en

NOTIFICACIÓN BRECHAS DE SEGURIDAD (Protección de Datos)

Una de las novedades del Reglamento General de Protección de Datos (RGPD) es la  NOTIFICACIÓN DE BRECHAS DE SEGURIDAD (violación de la seguridad de datos personales)

  • Deben notificarse a la autoridad de control, la  AEPD  (salvo que sea improbable que constituya un riesgo para los derechos y libertades de personas físicas).
  • Deben notificarse a los interesados, en los casos más graves y si así lo decide la AEPD
  • Hay establecido un plazo para ello: a más tardar, a las 72 horas de que se haya tenido constancia de ello.

¿Qué se considera una brecha de seguridad?  Ver enlace a nuestro sitio web

Las brechas de nuestros PROVEEDORES, que afecten a nuestros datos, también son brechas que debemos notificar.

CONSÚLTENOS en el caso de sufrir una brecha de seguridad. Les tutelaremos y acompañaremos en la valoración, documentación y posible necesidad de notificación.

¿Qué notificar?

  • La naturaleza (y, si es posible, categoría y número de interesados y número de registros afectados) 
  • Datos del DPD y/o de contacto
  • Describir posibles consecuencias
  • Describir las medidas adoptadas o propuestas
  • Si todo de una vez no fuera posible, ir facilitando la información gradualmente
  • Deberá documentarse cualquier violación de seguridad de datos personales notificada
  • Puede llegar a tenerse que comunicarse la violación de la seguridad a los interesados afectados

La propia AEPD tiene un Formulario de notificación de brechas de seguridad, que contempla:

  • Datos de la notificación
  • Identificación del DPD o contacto
  • Identificación del responsable del tratamiento
  • Identificación del encargado del tratamiento
  • Información temporal de la brecha
  • Tipología de la brecha
  • Información datos afectados
  • Información sujetos afectados
  • Posibles consecuencias
  • Comunicación a interesados
  • Implicaciones transfronterizas
  • Documentación referida

Así como también una lista de “Criterios valorativos para la notificación de brechas de seguridad” que ayuda a la toma de decisiones relacionadas con la necesidad, o no, de notificación a la AEPD, teniendo en cuenta unos parámetros matemáticos que contemplan:

  • Volumen
  • Tipología
  • Impacto

Publicado en

CONTROL DE JORNADA LABORAL A PARTIR DEL 12 DE MAYO: IMPLICACIONES A NIVEL DE PROTECCIÓN DE DATOS

Volvemos a recordar que la obligación del control de la jornada laboral lleva también aparejadas obligaciones en materia de protección de datos (RGPD y LOPDGDD).

Real Decreto Ley 8/2019 de medidas urgentes de protección social y de lucha contra la precariedad laboral en la jornada de trabajo.

Artículo 10. Registro de jornada

Se modifica el artículo 34 de la Ley del Estatuto de los Trabajadores, aprobado por el Real Decreto Legislativo 2/2015, de 23 de octubre , añadiendo un nuevo apartado 9, con la siguiente redacción:

9- La empresa garantizará el registro diario de jornada, que deberá incluir el horario concreto de inicio y finalización de la jornada de trabajo de cada persona trabajadora, sin perjuicio de la flexibilidad horaria que se establece en este artículo.

Mediante negociación colectiva o acuerdo de empresa o, en su defecto, decisión del empresario previa consulta con los representantes legales de los trabajadores en la empresa, se organizará y documentará este registro de jornada.

La empresa conservará los registros a que se refiere este precepto durante cuatro años y permanecerán a disposición de las personas trabajadoras, de sus representantes legales y de la Inspección de Trabajo y Seguridad Social.

El registro de jornada establecido en este apartado 9 del artículo 34, será de aplicación a los dos meses de su publicación en el BOE: el 12 de mayo de 2019

Implicaciones a nivel de protección de datos:

  1. Tener en cuenta el derecho a la protección de datos personales de los empleados como uno de los criterios a la hora de escoger la herramienta de sistema de control, que es uno de los principios básicos del RGPD (privacidad desde el diseño).
  2. Prever la creación de la actividad del tratamiento concreta en el Registro de Actividades del Tratamiento o incorporarla a las actividades del tratamiento ya previstas en el mismo, estableciendo las finalidades de ese tratamiento y el periodo de conservación de los datos.
  3. Informar a los empleados de la aplicación de tales medidas para obtener la legitimación al tratamiento de los datos.
  4. Suscribir contrato de encargo del tratamiento con el proveedor externo (si la herramienta de control electrónica la desarrolla y mantiene éste).

Además, si este control de jornada laboral se lleva a cabo por medios electrónicos y contempla la recogida de  (o/y):

  1. la huella dactilar; o “distancia entre cinco puntos” de ésta
  2. reconocimiento facial;
  3. reconocimiento de voz;
  4. datos de geolocalización;
  5. uso de aplicación móvil o cualquier otro sistema de control de jornada realizado por redes de telecomunicaciones u online.

además del análisis de riesgos hay que efectuar una Evaluación de Impacto previa, que deberá incluir el análisis, valoración y evaluación de la necesidad y la proporcionalidad del tratamiento de algunos o varios de estos datos con respecto a la finalidad de llevar el control horario y/o de acceso. Y también el análisis, valoración y evaluación de los riesgos para los derechos y libertades de los interesados por la naturaleza, alcance, contexto o fines del tratamiento, y establecer las medidas de seguridad necesarias.

Esta Evaluación de impacto previa no es una medida de seguridad al uso, sino más bien un mecanismo para evaluar los riesgos y el impacto que un tratamiento de datos tiene sobre los derechos y libertades de los interesados y que, en función de este análisis, el responsable del tratamiento debe implementar unas medidas de Seguridad determinadas u otras, con el fin de mitigar, eliminar o aceptar cada riesgo concreto.

Publicado en

¿ Y después del 25 de mayo de 2018… qué?

Pasó, como pasa todo.

El 25 de mayo de 2018 pasó, causando a su paso un gran revuelo social, mediático y empresarial. Fue como un tsunami. Logró que hablar de privacidad, de proteger tus derechos, de conocerlos, de denunciar, del nuevo reglamento… fuera algo usual y cotidiano en prensa, radio, televisión, redes sociales y en charlas de amigos no necesariamente relacionados con el derecho.

Hoy, a poco más de un mes de cumplirse el primer aniversario de que fuera de plena aplicación “…el Reglamento Europeo de protección de datos” (como de un modo familiar se le conocía) lo que cabe preguntarse es:

¿ Y después del 25 de mayo de 2018… qué ?

Porque la adecuación de las empresas al nuevo marco reglamentario europeo no era, ni es, una opción.

Pero a diferencia de un tsunami , que llega normalmente por sorpresa (casi sin avisar y sin darnos margen de reacción) arrasa y se va, el Reglamento (UE) 2016/679 llegó en 2016 precedido de muchos pequeños oleajes y, además, nos concedió una prórroga de dos años, para que sus efectos no pillaran por sorpresa a empresas y profesionales..

Todos sabemos ya lo que pasó: poca gente movió ficha, y a finales de abril-primeros de mayo todo fueron prisas para tratar de adecuarse al nuevo marco reglamentario, aderezadas con las dudas en su interpretación y aplicación, que la Agencia Española de Protección de Datos, l’Autoritat Catalana de Protecció de Dades y la Agencia Vasca de Protección de Datos se han ido esforzando en mitigar, con la publicación de distintas Guías, Prácticas, Listados de cumplimiento.

El Reglamento 2016/679 ha llegado para quedarse sin dejar, inicialmente al menos, ningún panorama desolador como no podía ser de otro modo en una normativa que lo que pretende es garantizar derechos. Pero, como los tsunami, sus efectos pueden llegar a ser devastadores para las empresas y/o profesionales que no hayan tomado las medidas oportunas para adecuarse a él.

Y con el Reglamento siendo ya de plena aplicación, en diciembre 2018 se publicó en España “la nueva LOPD”, que ahora recibe la extensión de “GDD” (garantía de los derechos digitales) y que lo que ha hecho ha sido adecuar nuestra LOPD al nuevo Reglamento Europeo. Es la LOPDGDD (Ley orgánica de protección de datos y garantía de los derechos digitales).

Delegado de protección de datos, consentimiento, derecho a la portabilidad y a la limitación del tratamiento, responsable de tratamiento, evaluación de impacto, análisis de riesgos. brechas de seguridad, responsabilidad proactiva, protecció de datos desde el diseño y por defecto… son algunos de los términos con los que debemos ya familiarizarnos e incorporarlos a nuestro día a día: en las empresas, no hay “uno que se encarga de lo de la protección de datos”. Es misión de toda empresa el hacer llegar a todos sus empleados la cultura de la privacidad.

Pronto llegará el nuevo 25 de mayo… ¿en qué situación se encuentra tu empresa?.

Publicado en

II – SOBRE EL REGLAMENTO GENERAL DE PROTECCIÓN DE DATOS

La mayor innovación -para los responsables de tratamientos- son dos elementos de carácter general, que se proyectan sobre todas las obligaciones de las empresas:

  • El principio de responsabilidad proactiva
  • El enfoque del riesgo

El primero se describe como “la necesidad de que el responsable del tratamiento aplique medidas técnicas y organizativas apropiadas a fin de garantizar y poder demostrar que el tratamiento es conforme al Reglamento“

Así, debe analizar

  • qué datos tratan,
  • con qué finalidades lo hacen y
  • qué tipo de operaciones de tratamiento llevan a cabo,

y determinar explícitamente la forma en que aplicaran las medidas previstas en el RGPD y asegurándose de que éstas sean las adecuadas (…y que puedan demostrarlo). Se exige una actitud consciente, diligente y proactiva de las empresas en todos los tratamientos de datos personales que lleven a cabo.

En cuanto al enfoque del riesgo, las medidas dirigidas a garantizar el cumplimiento del RGPD deben tener en cuenta la naturaleza, el ámbito, el contexto y las finalidades del tratamiento, así como el riesgo para los derechos y libertades de las personas. Así, algunas de las medidas que establece el RGPD se aplicarán sólo cuando haya un alto riesgo para los derechos y libertades; otras, en función del nivel y tipo de riesgo que los tratamientos presenten.

(Fuente: AEPD)
Publicado en

I – SOBRE EL REGLAMENTO GENERAL DE PROTECCIÓN DE DATOS

Entró en vigor en mayo de 2016, y ya será de plena aplicación en menos de dos meses: el 25 de mayo de 2018.

El Reglamento General de Protección de Datos (RGPD) es una norma directamente aplicable; los responsables de tratamientos deben ante todo asumir que la norma de referencia es el RGPD y no las normas nacionales. La ley que sustituirá a nuestra actual LOPD sí podrá incluir algunas precisiones o desarrollos en materias en las que el RGPD lo permite.

Las empresas que en la actualidad ya cumplen con la LOPD tienen una buena base de partida para adecuarse correctamente al RGPD, aunque éste modifica algunos aspectos del régimen actual y contiene nueva obligaciones.

(Fuente: AEPD)
Publicado en

SI HOY FUERA 26 DE MAYO EN LUGAR DE 26 DE FEBRERO…

 

Si hoy fuera 26 de mayo, en lugar de 26 de febrero, llevaríamos ya un día en el que sería de plena aplicación el REGLAMENTO EUROPEO DE PROTECCIÓN DE DATOS.

Después de que hubieran pasado ya dos años desde su entrada en vigor ¿…en qué situación se encontraría su empresa, a nivel de cumplimiento normativo del REGLAMENTO EUROPEO DE PROTECCIÓN DE DATOS, si hoy fuera 26 de mayo de 2018?.

Pero hoy no es 26 de mayo.

Si su respuesta ha sido “… todavía no he hecho nada”, su empresa todavía está a tiempo de “ponerse al día” …aunque cada vez quedan menos días.

Contacte con nosotros.

Publicado en

28 DE ENERO, DÍA EUROPEO DE LA PROTECCIÓN DE DATOS

A cuatro meses para que sea de plena aplicación el  Reglamento Europeo de Protección de Datos  (RGPD, UE 2016/679, en vigor ya desde mayo de 2016), un año más se conmemora este próximo domingo el  DÍA EUROPEO DE LA PROTECCIÓN DE DATOS.

Y un año más, desde LOGIC DATA CONSULTING seguimos animándoles a que cada día sea el día la protección de datos en su empresa; es la mejor garantía de poder llevar a cabo de una manera “natural”, integrada, cotidiana y habitual, los requerimientos normativos en materia de protección de datos, formando parte del día a día de la empresa, con todos sus componentes comprometidos e implicados en su aplicación en el día a día.  

Publicado en

La AEPD declara adecuadas las garantías para las transferencias de datos a GOOGLE siempre que…

Las diferentes Autoridades de protección de datos de la UE ya habían confirmado recientemente que los compromisos contractuales de los servicios de Google Cloud cumplían plenamente con los requisitos derivados de la Directiva de Protección de Datos de la UE 95/46/CE. A pesar de ello, la Agencia Española de Protección de Datos (AEPD)  ha declarado que las transferencias internacionales de datos a EEUU, a través de sus servicios G-Suite y Google Cloud Platform, cumplen con las debidas garantías de seguridad y confidencialidad, siempre que se cumplan determinadas condiciones y, en particular, las siguientes:

  1. La finalidad de la transferencia deberá ser la prestación de los servicios de Cloud Platform y G-Suite por GOOGLE INC., actuando como encargado del tratamiento.
  2. La autorización sólo se concederá si el contrato firmado entre el Responsable del tratamiento (exportador de los datos) y GOOGLE INC., Inc. incorpora la totalidad de los documentos aportados para la adopción de la resolución (los “Términos y Condiciones de Servicio para la contratación de Cloud Platform o el “Contrato de G Suite a suscribir con el cliente”, las “Cláusulas contractuales tipo de la UE”, los “Términos y Condiciones de Seguridad y Tratamiento de Datos”, el “Contrato de la Adenda de Tratamiento de Datos”).
  3. El Responsable del tratamiento (exportador de datos) deberá notificar al Registro General de Protección de Datos los ficheros cuyos datos vayan a ser objeto de transferencia internacional, con carácter previo, indicando que se producirá la transferencia internacional de los datos al amparo de dicha resolución.
  4. El alcance de la transferencia internacional de datos que se lleve a cabo deberá resultar ajustado a la estructura del fichero, categorías de datos y finalidades del tratamiento establecidas en la inscripción del mismo.
  5. El Responsable del tratamiento deberá poner a disposición de la AEPD, cuando le fueran requeridos, los contratos de prestación de servicios que haya suscrito con GOOGLE INC.

No obstante lo anterior, la AEPD recuerda que la autorización de transferencia internacional podrá denegarse o suspenderse temporalmente cuando concurra alguna de las circunstancias recogidas en el artículo 70.3 del RLOPD, y sin perjuicio de las suspensiones que puedan acordarse de conformidad con lo estipulado en el contrato presentado, es decir cuándo:

a)      La situación de protección de los derechos fundamentales y libertades públicas en el país de destino o su legislación impidan garantizar el íntegro cumplimiento del contrato y el ejercicio por los afectados de los derechos que el contrato garantiza.

b)      La entidad destinataria haya incumplido previamente las garantías establecidas en las cláusulas contractuales aportadas.

c)       Existan indicios racionales de que las garantías ofrecidas por el contrato no están siendo o no serán respetadas por el importador.

d)      Existan indicios racionales de que los mecanismos de aplicación del contrato no son o no serán efectivos.

e)      La transferencia, o su continuación, en caso de haberse iniciado, pudiera crear una situación de riesgo de daño efectivo a los afectados.

Publicado en

LIBRE CIRCULACIÓN DE DATOS NO PERSONALES EN LA UE

La Comisión Europea propone un nuevo Marco

Las nuevas medidas permitirán almacenar y tratar datos no personales en toda la Unión con el objetivo de potenciar la competitividad de las empresas europeas y modernizar los servicios públicos en un mercado único europeo de servicios de datos. Se considera que la eliminación de las restricciones relativas a la localización de datos constituye el factor fundamental para que la economía de los datos pueda duplicar su valor y alcanzar el 4 % del PIB en 2020.

La economía digital de Europa sigue estando muy dividida en función de las fronteras nacionales, lo que supone un freno para el crecimiento digital europeo en su conjunto. La propuesta, junto con las normas sobre protección de datos personales de la UE, permitirá la libre circulación de datos de todo tipo en el mercado único lo que facilitará que las pymes y las empresas emergentes puedan desarrollar nuevos servicios innovadores y acceder a nuevos mercados; si se quiere que Europa triunfe en la nueva era de la economía digital se necesitan reglas firmes y previsibles que regulen la circulación de datos. Los ciudadanos y las empresas gozarán de mejores productos y servicios a medida que aumenten los datos disponibles para la innovación basada en los datos. La eliminación de obstáculos a los flujos transfronterizos de datos es fundamental para una economía de los datos competitiva en Europa.

Para la libre circulación de datos no personales se plantea un marco claro, comprensible y previsible, que ha de contribuir a formar un mercado de servicios de almacenamiento y tratamiento de datos en la UE que sea más competitivo y esté más integrado.

El nuevo marco propone:

El principio de libre circulación transfronteriza de los datos no personales: los Estados miembros ya no podrán obligar a las organizaciones a realizar el almacenamiento o tratamiento de datos dentro de sus fronteras. Solo se justificarán restricciones que respondan a razones de seguridad pública. Los Estados miembros deberán notificar a la Comisión los nuevos requisitos de localización de datos, así como los ya vigentes. La libre circulación de datos no personales permitirá a las empresas operar en varios Estados miembros de forma más fácil y barata, puesto que no se verán en la obligación de duplicar los sistemas informáticos ni de almacenar los mismos datos en varios lugares.

El principio de disponibilidad de los datos para el control reglamentario: las autoridades competentes podrán ejercer sus derechos de acceso a los datos donde sea que se almacenen o traten dentro de la UE. La libre circulación de los datos no personales no afectará las obligaciones a las que están sujetas las empresas y otras organizaciones de proporcionar ciertos datos para fines de control reglamentario.

La elaboración de códigos de conducta de la UE para eliminar obstáculos al cambio de proveedor de almacenamiento en la nube y a la migración de datos al sistema informático del usuario.

Las nuevas normas reforzarán la seguridad jurídica y la confianza de las empresas y organizaciones. También permitirán la creación de un auténtico mercado único europeo de almacenamiento y tratamiento de datos, y por lo tanto de un sector de la nube europeo que sea competitivo, seguro y fiable, así como la reducción de los precios para los usuarios de los servicios de almacenamiento y tratamiento de datos.

El objetivo de las nuevas normas es aumentar la confianza, por lo que se espera que las empresas utilicen más servicios en la nube y no tengan dudas a la hora de acceder a nuevos mercados. También podrán trasladar sus recursos informáticos internos a las ubicaciones que resulten más rentables. Las nuevas medidas complementan la legislación sobre protección de datos personales y suponen un paso más hacia un espacio europeo de datos que opere de manera efectiva.

(Fuente: Comunicado de Prensa de la Comisión Europea)