Cumplimiento: Principios y Políticas

Recientemente la Organización Internacional de Normalización (the International Organization for Standardization - ISO) publico la ISO 19600:2014, la cual  proporciona una  orientación para establecer, desarrollar, ejecutar, evaluar, mantener y mejorar un sistema eficaz y sensible de gestión de cumplimiento dentro de una organización.

Las directrices sobre los sistemas de gestión de cumplimiento son aplicables a todo tipo de organizaciones. El alcance de la aplicación de estas directrices depende del tamaño, la estructura, la naturaleza y complejidad de la organización. Esta norma internacional se basa en los principios de buena gobernanza, proporcionalidad, transparencia y sostenibilidad.

Los principios en los que se basa la gestión del Sistema de Gestión del Cumplimiento son los siguientes:

• Compromiso de liderazgo de la dirección
• Independencia de la función de Cumplimiento
• Definición de Responsabilidades a todos los niveles y
• Soporte de las funciones de negocio

La función de Cumplimiento se dedica a promover un alto nivel de integridad, ética y cumplimiento de la normativa en toda la organización.  Las Políticas de Cumplimiento de una compañía o grupo ayudan a promover una cultura basada en la  ética y la atención a los principios definidos y establecidos por la empresa o grupo.

Estas Políticas se deben articular con las normas de conducta para asegurar que llevar a cabo las actividades de negocio de acuerdo con los requerimientos legales y  profesionales, así como con los estándares éticos existentes.

El Sistema de Gestión del Cumplimiento planteado en la ISO19600, comprende los siguientes elementos:

• Determinación del alcance del sistema de gestión del cumplimiento
•  Identificar los factores internos y externos
• Identificación de los requerimientos de las partes interesadas
•  Principios de buenas prácticas de gobernanza
• Establecimiento de la política
• Identificación de las obligaciones de cumplimiento y evaluación de los riesgos de cumplimiento
• Planificación para dirigir los riesgos de cumplimiento y lograr los objetivos
• Definir el plan operacional y controles los riesgos de cumplimiento
• Evaluación del desempeño y reporting del cumplimiento
• Gestión de los no cumplimientos y mejora continua

Las políticas son aplicables y de cumplimiento obligatorio para todos los empleados de la empresa o grupo.

En consecuencia, todas las localidades, dependencias o sedes deben incorpora las directivas de Cumplimiento como un estándar obligatorio en el desempeño de las tareas de todos sus empleados.

Sin embargo, puede pasar que existan dentro del grupo compañías que debido a su actividad específica no requieran cumplir con todas las políticas de Cumplimiento. Estas compañías o entidades deberán recibir consideración especial, en lo relacionado a concienciación en el cumplimiento de las políticas.

Algunas políticas de Cumplimento de especial consideración son:

• Gestión de los Registros (Records Retention)
• Competencia Leal y Antitrust (Competition and anti-trust)
• Protección, Seguridad y Confidencialidad de los Datos (Protection and Privacy of Employee Data)
• Reporting Concerns
• Conflictos de Intereses (Conflicts of Interest and)
• Comuncación con determinados Externos (External Engagements)
• Antosoborno, Anticorrupción (Anti bribery – anti corruption)

En particular, las normas internas relacionadas con la protección y privacidad de datos de empleados deben ser cuidadosamente cumplidas, siempre que el tratamiento de datos se realice en dicha compañía. Si se realiza un tratamiento de datos personales de empleados se requerirá el asesoramiento específico de las áreas de  Riesgos, Seguridad y Cumplimiento.

Las políticas de Cumplimiento deben ser publicadas bien en medios electrónicos o medios impresos como por ejemplo, intranets, correos electrónicos, posters, etc.

La concienciación continua de los empleados es muy importante para lograr el conocimiento y de las Políticas de Cumplimiento por lo que debe establecerse un calendario con las jornadas de  concienciación en el que se definan aspectos como regularidad, Política de Cumplimiento, medio de comunicación a utilizar (E-learning, Jornada presencial) para la concienciación. 

Por último es igualmente importante informar los mecanismos y cabales a través de los cuales los empleados pueden comunicar dudas relacionadas con las políticas de Cumplimiento.

SAP y La Segregación de funciones

El pasado 12 de noviembre, Abast Systems organizó con éxito el evento “Gestión de Perfiles y Segregación de Funciones en Entornos SAP” en conjunto con @pliRH (empresa Española especializada en la consultoría técnica y funcional en SA).

Al evento asistieron y participaron directores, responsables y administradores de SAP de importantes empresas de los sectores servicios, juegos online y casinos y alimentación, entre otros.

En el evento se realizaron demostraciones de herramientas automatizadas que permiten al  negocio mejorar la gestión de los roles y autorizaciones minimizando los esfuerzos humanos.

La demostración de las herramientas fue complementada con la metodología a seguir para llevar con éxito un proyecto de segregación de funciones. 

• SARC (GRC SAP) à Herramienta para la gestión de riesgos.
• SFS à Solución en SAP de ayuda para la segregación de funciones.
• SMU à Sistema de monitorización de usuarios, control de accesos de cada uno de los                     usuarios, configuraciones de alerta, etc.
• SCMC à Herramienta de ayuda para la gestión del cambio.
• AAM à solución SAP para la gestión automática de redes

Con participación de los asistentes, se realizaron múltiples ejemplos de cómo solucionar varias problemáticas relacionadas con la gestión de roles y autorizaciones en SAP:

• Longevidad en las autorizaciones otorgadas a los perfiles / roles desde la instalación y personalización del sistema SAP.
• Crecimiento de las operaciones de la compañía e incremento de autorizaciones añadidas a los perfiles / roles existentes para afrontar las tareas del día a día
• Consultorías poco eficientes a la hora de la entrega de los resultados, hojas Excel con  los roles-transacciones-autorizaciones sobre objetos + usuarios-funciones y tareas.

Otro de los aspectos más relevantes del evento fue la demostración de la metodología para afrontar un proyecto de segregación de funciones:

1) Identificación de riesgos y adaptación de la empresa.  Es muy importante comenzar la implantación con una matriz estable.

2) Segmentar las estructuras en base a criterios:

• Agrupación de usuarios homogéneos en actividad (empresarial y/o territorial).
• Aprobación de la agrupación por el líder del área. 

    3) Monitorizar las transacciones que utilizan realmente los usuarios durante un periodo de tiempo. Construir el modelo de segregación (matriz de funciones y tareas) en simulación para cada modelo de manera independiente. 

      4) Definir y construir el modelo:

• Asignar directamente los roles previstos al usuario en base a roles pre configurados.
• Automatizar los roles desde la estructura organizativa OM estándar de SAP

5) Planificar la fecha de limitación de los roles.

En la mesa de opinión, los aspectos de más interés comentados por los asistentes al evento, fueron:

• Afectación sobre el control de los usuarios SAP_ALL.
• Gestión de alertas y tipos de alertas (asignación de transacciones incompatibles a roles de usuario)
• Control de las transacciones “Z” (transacciones creadas para operativas específicas)
• Creación de roles “Padre” y no funcionales (utilizados para copiar y crear nuevos roles)
• Fomentar cambios a nivel organizativo para implementar las modificaciones de los roles

Aunque a priori pueda suponer la segregación de funciones un proyecto complejo, la implantación ofrece la oportunidad de mejorar la organización de la empresa, poniendo en marcha mecanismos de re-ingeniería de procesos ofreciendo múltiples beneficios.

Por tanto la segregación de funciones será una consecuencia directa de la implantación de sistemas de control de riegos (GRC) como sistema para prevenir y mitigar riesgos en la organización. 

Tu Otra Identidad - Identidad 2.0

Afirmar que las redes sociales hayan llegado para quedarse es hoy en día indiscutible. Las propias cifras lo demuestran claramente: 700 millones de usuarios en Facebook, 200 millones en Twitter y más de 7 millones para la española Tuenti hacen que el no estar en una red social sea cada vez más la excepción a la regla. Esta irrupción de las redes sociales en nuestras vidas presenta nuevos e importantes retos desde el punto de vista de la privacidad o la protección de datos y la seguridad en general.

La Identidad 2.0 o también conocida como identidad digital, es el nuevo concepto de identidad. Por definición es el rastro que cada usuario de internet deja en la red como resultado de su interrelación con otros usuarios o con la generación de contenidos en portales web y redes sociales. Es decir, estamos hablando de una consecuencia directa de la evolución tecnológica y de comunicación, concretamente del término bautizado como comunicación 2.0.

Los elementos que integran la identidad digital, y que por tanto permiten a las personas diferenciarse frente a otras en ámbitos concretos, son los rasgos de identidad o atributos informativos. Forman parte de estos datos tu nombre y apellidos, la dirección de correo electrónico, los datos de contacto, las fotografías o vídeos, tu información laboral, aficiones o incluso preferencias políticas, religiosas o sexuales. En definitiva, es un rasgo de identidad cualquier pieza de información personal que forme  parte del puzle de la identidad online.  

En general, hay dos categorías principales que componen tu identidad digital:

• Categoría Profesional – es tu huella profesional  y es fácil de entender, se refiere a tu trabajo, tu profesión, tu puesto, y es información que compartes en lugares como LinkedIn, tu blog o el sitio web de tu empresa. 

• Categoría Personal – en este caso es un poco más complicado de identificar, cuando pensamos ‘personal’ lo relacionamos tal vez con privado,. Sin embargo redes sociales como Facebook y Google+, hacen que el concepto de   vida privada lo sea un poco menos, aun sin ser conscientes de los riesgos que esto conlleva desde el punto de vista de la seguridad y el tratamiento de nuestros datos.

Por tanto es muy importante  tener en cuenta que tu identidad digital la vas definiendo tú mismo con lo que compartes, tu presencia e interacción en las diferentes redes sociales, blogs, foros, sitios web, etc. El quién eres, es una pregunta que vas contestando incluso en ocasiones sin darte cuenta, realmente al final del camino somos nosotros como usuarios quien determinamos a través de la información que publicamos que tanto de privacidad queremos tener en la red.

Hoy en día ya es todo un habito “Googlear” el nombre de alguien para conocer quién es, por eso es importante cuidar tu identidad online.

Es de lógica entonces que nuestra identidad digital también conlleve una reputación digital, que nos va a ser difícil separar de nuestro yo. Los problemas se pueden agravar aún más por la propia persistencia de la información en Internet. Todo lo que se hace, bueno o malo, queda grabado casi para siempre. Y, asumiendo que Internet se extiende cada vez más a todos los ámbitos, sin duda este será otro de los aspectos que provoque que el “derecho al olvido” vaya a ser uno de los caballos de batalla de la privacidad en Internet durante la próxima década.

Gestionar este término conocido también como Reputación 2.0 para una persona física ya se ha visto que puede ser complicado, pero si hablamos de una entidad u organización empresarial el tema se complica en exceso.

Una entidad jurídica tiene, por descontado, su propia identidad en la red y con ello su consecuente reputación, pero ¿hasta qué punto está reputación se puede ver afectada por la reputación de un usuario que en su categoría profesional tenga indicaciones de la entidad para la que trabaja?

Es algo difícil de evaluar y actualmente también prácticamente imposible de gestionar sin un adecuado marco de gobierno. Todo lo expuesto invita a reflexionar en la inminente necesidad de crear procedimientos para gestión de la identidad digital en el ámbito corporativo con a finalidad de garantizar la protección de la imagen o reputación. 

La solución pasa por controlar mediante la aplicación de políticas corporativas el uso que los empleados puedan hacer de su identidad en el ámbito laboral dentro de las redes sociales, para evitar con ello problemas de imagen sobre la empresa para la cual una persona física presta sus servicios.

Por eso se debe tener en mente que lo que se comparta online y firmes con tu persona, tarde o temprano puede ser visto por cualquiera. Así hay que procurar no compartir nada que realmente no se quiera compartir con TODO el mundo y que por tanto desde ese momento  sea de dominio público.

Se puede afirmar que aprender a interactuar con terceros y manejar aspectos básicos de personal  o construcción de una marca personal puede convertirse en algo esencial para el desarrollo de la personalidad y el futuro social y profesional.

Sin duda la conclusión que mejor se adapta al mensaje que se quiere transmitir es una frase de Julio Alonso, fundador y Director General de Weblogs SL, una de las principales empresas españolas de contenidos especializados en Internet donde dice: “Dedicar esfuerzo a construir tu propia identidad digital ya no es opcional. Es un acto de pura responsabilidad”.

5 aspectos destacables del Reglamento Europeo de Protección de Datos

El 12 de marzo de 2014 es aprobada la propuesta de Reglamento del Parlamento Europeo y del Consejo, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (Reglamento general de protección de datos).

Visión general del contenido del reglamento:

Objetivos del Reglamento:

• Adaptar la protección de datos a las nuevas demandas del mundo digital.

• Evitar las actuales divergencias en la aplicación de las normas (de 1995) por parte de los diferentes Estados miembros y velar por los derechos fundamentales a la protección de datos personales y la aplicación de manera uniforme en todos los ámbitos de las actividades de la Unión.

• Aumentar la confianza del consumidor en los servicios en línea facilitando una mejor información con respecto a los derechos y a la protección de datos mediante la introducción del derecho a la rectificación, al olvido y a la supresión, derecho a la portabilidad de datos y de oposición.

• Impulsar el mercado único digital reduciendo la fragmentación actual y las cargas administrativas.

Aspectos destacables del reglamento:

1. Los negocios que manejen datos personales de más de 5000 usuarios, deberán efectuar evaluaciones de impacto sobre la privacidad con carácter obligatorio para cualquier operación de procesamiento de datos que entrañe riesgo, considerándose procesamiento arriesgado el efectuado con datos personales de 5000 o más individuos.

2. Sanciones desproporcionadas. La autoridad de control correspondiente impondrá al menos una de las siguientes sanciones:

• (i) un aviso por escrito en casos de primer incumplimiento no deliberado;
• (ii) auditorías regulares del sistema de protección de datos;
• (iii) Las sanciones administrativas oscilarán entre1.000.000€ o el 2% del volumen de negocios total de la empresa, hasta 100.000.000 € o el 5% del volumen de negocios global, prevaleciendo la cantidad que resulte superior.

3. Figura del “Data Protection Officer” (DPO): Se modifican los casos en que será obligatoria la designación del DPO. Ahora será obligatoria para: una autoridad u organismo públicos, si el tratamiento lo lleva a cabo una persona jurídica con respecto a más de 5 000 interesados durante un periodo consecutivo de 12 meses, cuando las actividades principales del responsable o del encargado del tratamiento consistan en operaciones de tratamiento que, en razón de su naturaleza, alcance y/o fines, requieran un seguimiento periódico y sistemático de los interesados y cuando las actividades principales del responsable o del encargado del tratamiento consistan en el tratamiento de categorías especiales de datos con arreglo al artículo 9, apartado 1, datos de localización o datos relativos a niños o a empleados en ficheros a gran escala.

4. Obligaciones del Responsable del tratamiento: El Responsable del tratamiento estará obligado a enfrentarse a responsabilidades muy específicas tales como la obligación de elaborar y aplicar políticas internas de protección de datos que den cumplimiento a los principios del “Privacy by design” y el “Privacy by default” y las cuales deberán ir mucho más allá del mero hecho de disponer de un documento de seguridad.

Puesto que el Reglamento tiene como objetivo la protección de los datos personales de los ciudadanos europeos, las mejoras más destacables son las siguientes:

1. Dificultad para las transferencias de datos a terceros países, sobre todo en casos de transferencias requeridas por tribunales o autoridades administrativas de países terceros. Si un país tercero solicita a una empresa (por ejemplo, una red social o un buscador) información personal procesada en la UE, dicha empresa deberá obtener el permiso de la autoridad nacional de protección de datos e informar a la persona en cuestión antes de enviar la información.

2. Derecho de supresión (que sustituye al derecho al olvido),  por el que cualquier persona podría solicitar que se borren sus datos sí;

• (i) no se cumplen las normas de la UE,
• (ii) los datos ya no son necesarios o
• (iii) la persona retira o no da su consentimiento al almacenamiento de esa información. La invocación de este derecho quedará limitada cuando los datos en cuestión hayan sido recabados con fines estadísticos, para la investigación histórica o científica, por motivos de salud pública o para ejercer la libertad de expresión.

3. Datos que revelen creencias filosóficas, orientación o identidad sexual, sanciones administrativas, fallos judiciales y presuntos delitos no serán susceptibles de ser tratados.

4. Consentimiento explícito y lenguaje claro, será entendido como una “manifestación libre, específica e informada de la voluntad del interesado, ya sea mediante una declaración o una clara acción afirmativa”. Esto impediría, por ejemplo, prácticas como la de mantener marcada la casilla de “aceptar” en las políticas de privacidad.

5. Reforzamiento de los derechos individuales del titular de los datos. Esto es así a través de la definición del derecho al olvido, el derecho a la portabilidad (de extraordinaria relevancia en el sector de las redes sociales) y el principio de rendición de cuentas (Accountability), aspectos analizados en profundidad en nuestra formación, con vistas al impacto que tendrá en las empresas una vez que entre en vigor la norma.

Código Penal (II): Elaboración de un Modelo de Prevención

Es fundamental para cumplir con los requerimientos normativos y legales y potenciar el nivel de control interno exigido, lo cual supone un mayor grado de concienciación por parte de la compañía en el impacto que supone la incorporación del área de seguridad TI como agente de articulación entre los procesos de negocio y las TIC.

Ahora bien, pero ¿Qué tipo de controles o medidas pueden ser implementados?  

Existen múltiples controles que desde el área de seguridad TI pueden ser diseñados, desarrollados y/o evaluados para responder a cada delito. A continuación se mencionan algunos de los controles a tener en cuenta:

1. Descubrimiento y revelación  de secretos:

•  Controles técnicos:
• Registro “centralizado” de alertas de auditoría.
• Acceso remoto a los sistemas informáticos (clientes, proveedores, etc).
• Antivirus, malware y software malicioso.
• Filtrado o detección de uso no autorizado de los recursos TIC.
• Auditorías técnicas de sistemas de información.
• Monitorización de usuarios.

• Controles organizativos:
• Revisión técnica de contratos con terceros.
• Políticas de seguridad de la información.
• Políticas de uso de los recursos TIC.
• Formación y concienciación de empleados.
• Protocolos de actuación de accesos no autorizados.
• Procedimientos de seguridad para proveedores y personal externo.

2. Daños informáticos:

• Controles técnicos:
• Revisión de autorizaciones y privilegios de los usuarios.
• Revisión de servicios, protocolos y puertos de comunicación.
• Auditorías de seguridad de la red interna y externa.

•  Controles organizativos:
• Matriz de autorizaciones de usuarios.

3. Acceso no autorizado:

• Controles técnicos:
• Gestión de identidades.
• Control de acceso basado en Role-Based Access Control.
• Validaciones automáticas en transacciones críticas.
• Medidas de autenticación robustas.
• Restricción de accesos a transacciones críticas (por ejemplo modificación de márgenes de tolerancia por encima del límite).
• Restricción del acceso a las funcionalidades de administración y configuración del sistema.

•  Controles organizativos:
• Documentación de las matriz de roles y responsabilidades de usuarios, directivos, proveedores.
• Documentación de la segregación de funciones.
• Documentación de las transacciones incompatibles.
• Definición de key users.
• Definición de flujos de autorización para el control de acceso (alta/baja de usuarios y modificación de accesos).
• Revisión de accesos de usuarios.

Entre las novedades y acciones de la nueva reforma del código penal está la obligatoriedad por parte de las empresas de definir un Modelo o Plan de Prevención del Delito. La implantación de este modelo se estima para el año 2015, por lo que las empresas tendrán un periodo de tiempo para evaluar los riesgos a los que el negocio está expuesto y en base a los riesgos deberán desarrollar e implementar, entre otros:

• Protocolos de actuación por ejemplo protocolos de evidencias, o de  acceso a los documentos de un trabajador, etc.
• Medidas de control
• Pruebas de las medidas de control
• Controles de proveedores
• Repositorio de evidencias
• Formación de los empleados

En resumen las áreas claves para elaborar el Modelo de Prevención son:

Código Penal (I): Delitos TI

En los últimos años las presiones impuestas por las normativas como Basilea II o Sarbanes-Oxley o bien los requerimientos legales de obligatorio cumplimiento como la LOPD o Blanqueo de Capitales, han supuesto que desde las áreas de Legal y/o Cumplimiento se requiera el conocimiento de los expertos de seguridad TI para incorporar las medidas de seguridad técnicas y organizativas necesarias para cumplir con los requerimientos normativos y legales exigidos.

En esta línea, desde la reforma del código penal, que entró en vigor el 23 de diciembre de 2010, se ha incorporado en el catálogo de riesgos del negocio y en el marco de cumplimiento de las compañías, los riesgos relacionados con la responsabilidad penal de personas jurídicas y su consecuente impacto en el control interno y seguridad TI de la compañía. 

En la siguiente figura se muestran algunos de los delitos definidos en el Código Penal:

Delito	Nivel de riesgo
Descubrimiento y revelación de secretos	ALTO
Delitos relativos al mercado y a los consumidores
Daños informáticos	MEDIO
Delitos relativos a la propiedad intelectual
Blanqueo de capitales
Estafa	BAJO
Pornografía infantil
Falsedades documentales

Algunas de las penas podrían establecerse en:

• Multa por cuotas o proporcional.
• Disolución de la persona jurídica.
• Suspensión de sus actividades por un plazo que no podrá exceder de cinco años.
• Clausura de sus locales y establecimientos por un plazo que no podrá exceder de cinco años.
• Prohibición de realizar en el futuro las actividades relacionadas con el delito

En lo que respecta al área de TI, los riesgos identificados son:

• Acceso no autorizado
• Descubrimiento de secretos y datos personales
• Revelación de secretos y cesión de datos personales
• Estafa informática
• Daños informáticos – Denegación de servicio
• Delito contra la propiedad intelectual – sw sin licencia
• Delitos contra la propiedad industrial – patentes tecnológicas
• Apoyo tecnológico a la comisión de otros delitos (blanqueo)

  

Matriz ejemplo de identificación de riesgos 

La participación del área de seguridad TI en todas las fases del Modelo de Prevención es fundamental para integrar: Procesos de Negocio->Procedimientos de Control Interno->Tecnología -> Seguridad TI.

A grandes rasgos, los principales pasos para el desarrollo del Modelo de Prevención son:

• Análisis global del Riesgo que supone cada delito.
• Recopilación de los controles y evidencias existentes.
• Valoración de la consistencia de los controles y detección de gaps.
• Elaboración del Modelo de Prevención de Delitos.

Gestión de Licencias de Software

Las organizaciones se gastan una fortuna en licencias cada año y muchas veces no tienen implementados los mecanismos de gestión adecuados para garantizar que 1) sólo tienen instalado software legal y 2) sólo se han comprado e instalado las licencias necesarias.

Por tanto, la gestión de las licencias de software ha de servir para garantizar que se mantiene un número óptimo de licencias para apoyar los requerimientos del negocio y que el número de licencias en propiedad es suficiente para cubrir el software instalado en uso.

La primera fase para implementar una gestión de licencias de software consiste en realizar una auditoría con el objetivo de conocer:

• ¿Qué licencias hemos comprado y a qué contratos van asociadas?. Podemos tener licencias de todo tipo: licencias numeradas, concurrentes, asociadas a Enterprise Agreements (EA), OEM, de evaluación, free…
• ¿Cuánto nos están costando?
• ¿Qué instancias de software tenemos instaladas?
• ¿Quién está usando este software?
• Y si realmente lo está usando, ¿es necesario?

Para responder a las dos primeras preguntas sería muy bueno disponer de una herramienta de gestión de activos que permitiera a la organización gestionar de forma adecuada todo el ciclo de vida de los mismos. Si no es así, habrá que recurrir a un inventario manual. Para responder a las tres últimas, es necesario utilizar una herramienta de auditoría de software que realice el inventario de todo el software existente en los equipos.

Una vez respondidas las preguntas anteriores, es necesaria una segunda fase de análisis en la que comparemos el número de instancias de software instalado con el número de licencias de propiedad. En caso de que dichas instancias sean inferiores al número de propiedad, se deberá decidir si existe la necesidad de mantener o cancelar las licencias, teniendo en cuenta la posibilidad de ahorrar en costes de mantenimiento innecesario, capacitación y otros costes.

Cuando las instancias instaladas sean superiores a las de propiedad, será interesante plantearse la posibilidad de desinstalar licencias no necesarias o justificadas o, si es necesario, comprar las licencias que faltan para cumplir con los acuerdos de licenciamiento. La herramienta de auditoría de software nos puede ayudar a conocer el uso del software instalado y justificar la desinstalación de aquellas licencias no usadas.

Por último, en una tercera fase debemos:

• Implementar los procesos necesarios para gestionar el ciclo de vida del software. Mantener actualizada una línea base de software comprado e instalado mediante la implementación de políticas de usuario y del proceso de gestión de peticiones de servicio que  lleven asociada una instalación, retirada o actualización de software. 
• Asignar las responsabilidades necesarias para mantener y mejorar dicho proceso.
• Regularmente, analizar si podemos obtener más valor para el negocio a través de la actualización o renovación de productos y licencias.

5 razones para realizar un Plan Director de Seguridad

Actualmente, las empresas y organizaciones han de hacer frente a diversos retos en lo que respecta a la gestión de la seguridad de la información.

• Un marco de cumplimiento legal y normativo cada vez más amplio y complejo.
• Una creciente dependencia, diversidad y complejidad tecnológica.
• Una organización cada vez más extensa donde clientes, proveedores, partners y empleados quieren y/o necesitan acceder a información en cualquier momento y desde cualquier lugar.
• Nuevos entornos tecnológicos, de relación y gestión como las redes sociales, la tecnología móvil, el cloud, etc.

Además, las organizaciones en general y los departamentos de TI en particular han de afrontar estos retos intentando aportar valor al negocio y ajustando los costes asociados a las Inversiones y al soporte y entrega de los servicios de TI.

Para abordar esta situación es imprescindible identificar los requerimientos de seguridad y el nivel adecuado de gestión que ha de implementar la organización. La respuesta para poder cumplir con estos requerimientos de seguridad e idoneidad consiste en la definición e implementación de controles de tipo técnico, legal, procedimental y organizativo que se han de establecer en el marco de un Plan Director de Seguridad.

El Plan Director de Seguridad nos va a permitir:

1. Reducir los riesgos. Es necesario conocer a qué riesgos ha de hacer frente el negocio mediante un análisis de los mismos con el objetivo de eliminarlos o minimizar el impacto asociado a la materialización de las amenazas existentes.
2. Ahorrar costes. Racionalización de los recursos en base a la eliminación de Inversiones o costes innecesarias o ineficientes debidos a la infra o sobreestimación de los riesgos.
3. Cumplir con la legislación vigente. Aseguramiento del cumplimiento del marco legal y normativo que protege a la empresa eliminando los riesgos y sanciones asociados.
4. Disponer de una visión integral de la seguridad desde una visión estratégica de la misma que desemboque en planes y medidas tácticas y operativas. Visión integral que permite aunar esfuerzos a la hora de implementar y gestionar controles idénticos o similares que provienen de requerimientos diferentes (LOPD, SOX, ISO27000, PCI, etc…). El objetivo final es disponer de un cuadro de mando de la seguridad que llegue a permitirnos conocer el nivel de riesgo de la organización.
5. Mejorar la competitividad en el mercado. Mejorar la confianza en el negocio entre clientes, proveedores y socios con los que se comparte e intercambia información.

El Data Privacy Institute publica el libro “Estudio de impacto y comparativa con la normativa española de la propuesta de Reglamento General de Protección de Datos de la Unión Europea”

Desde que viera la luz el pasado 25 de enero de 2012 el borrador del Reglamento General de Protección de Datos de la Unión Europea, surgió la necesidad entre los profesionales de la privacidad de evaluar el “gap” que suponía este reglamento con respecto a la legislación vigente a nivel nacional en materia de protección de datos, es decir la Ley 15/1999 y el RD 1720/2007.

Este duro y necesario trabajo lo ha realizado los profesionales que conforman el Data Privacy Institute que durante 9 largos meses se han dedicado a analizar detalladamente este borrador de Reglamento General, generando un libro que compara cada  articulo del mismo con la legislación vigente a nivel nacional. Este libro es sin duda una base de conocimiento inicial y esencial que deben obtener las empresas de cara al cambio sustancial que se aproxima.

He de recordar que este futuro Reglamento (que deberá aprobarse antes de marzo de 2014) tendrá una aplicación directa sobre todas las organizaciones europeas que tienen que cumplir con la normativa, logrando una armonización inexistente hoy en día. Sin embargo, este Reglamento General nace con el reto de coexistir con la normativa nacional de los Estados miembros, hecho donde quizás en España tengamos cierta ventaja ya que existe una cultura y conocimiento de la protección de datos gracias a las normas publicadas desde el año 1992 (LORTAD, LOPD, RMS y RD 1720/2007 principalmente) aunque en este borrador existen novedades que sin duda requerirán de esfuerzos importantes en el seno de las empresas españolas.

No pretendo en este artículo explicar en detalle el conjunto de novedades que se exponen en este borrador, (para ello recomiendo este libro) pero si me gustaría hacer hincapié en la nueva visión que aporta este borrador, describiendo un marco de GRC (Gobierno, Riesgo y Cumplimiento)  donde se alineen los objetivos de negocio con requerimientos de privacidad, analizando los riesgos y teniendo en cuenta la privacidad desde la concepción de los sistemas de tratamiento de datos. Es aquí donde nacen los conceptos de Accountability, Privacy by Design, Privacy by Default y el Privacy Impact Assesment que obligaran a las empresas a preocuparse de la privacidad desde el primer momento que se implementen nuevos procesos en las empresas. En mi opinión será necesario hacer un importante esfuerzo entre los profesionales de la privacidad para hacer ver al negocio que los requerimientos de privacidad no son un impedimento al negocio sino que puede ser desencadenantes de retornos de la inversión a través de un reforzamiento de la imagen, un mejor posicionamiento en el mercado y una mayor confianza de los stakeholders.

Otros puntos novedosos a destacar es la incorporación de la figura del Delegado de Protección de Datos una figura que deberá existir en organizaciones de más de 250 empleados y que será la encargada de velar por la privacidad en la organización. Será un rol directivo cuya misión deberá ser trasladar los requerimientos de privacidad a la Dirección y cuyo reto deberá residir en el retorno de la inversión como valor añadido al cumplimiento legal. Otras novedades son la aparición de mecanismos y procedimientos como las consultas previas, certificaciones orientadas a privacidad, la notificación de violaciones de seguridad, el establecimiento de los derechos al olvido y a la portabilidad de datos, la evaluación del impacto desde el punto de vista de la privacidad de los nuevos sistemas de tratamiento de datos (Privacy Impact Assesment) y los cambios sustanciales que se producen tanto en el ámbito de aplicación de la norma como los criterios sancionadores.

A modo de conclusión es importante señalar que este borrador define una serie importante de novedades, algunas con impactos mínimos pero otras con impactos severos como hemos comentado y que requerirán esfuerzos muy importantes por parte de las organizaciones. La mayor incógnita reside en las dudas existentes en cuanto a cómo va a ser la estrategia de evolución entre el modelo europeo y el nacional, cuestión todavía por definir.  Sin duda alguna se aproximan tiempos de duro trabajo tanto para los profesionales de la privacidad como para las empresas europeas.

Datos elocuentes en la publicación de la Memoria Anual de la AEPD

La Agencia Española de Protección de Datos ha hecho pública su Memoria de Actividades de 2011 a través de su página web (www.agpd.es) mostrando datos muy interesantes que dejan patente que existe un mayor conocimiento de la LOPD en la sociedad, además de una creciente preocupación en los ciudadanos por la seguridad de los datos.

La Memoria hace una exposición de las actuaciones llevadas a cabo por la Agencia en el año 2011 y expone cifras muy relevantes entre las que me gustaría destacar:

-          El número de escritos de denuncia han aumentado un 51,60% respecto al periodo anterior, alcanzado la cifra de 7.648 denuncias, frente a las 5.045 de 2010. Este dato ha generado un crecimiento en el número de resoluciones declarativas de infracción del 37,7%, alcanzándose un total de 898 resoluciones declarativas de infracción, de las cuales 817 tuvieron como destinatarios a responsables privados y 81 a Administraciones Públicas.

-          El montante total de las sanciones económicas superó la suma de 19,5 millones de euros, incrementándose un 12% respecto al año anterior.

-          En cuanto a la distribución de la cuantía de las sanciones, los sectores con mayor importe global de sanciones fueron: el sector de telecomunicaciones -que aglutinó más del 63% del global de las sanciones- con 12,3 millones de euros, seguido por el sector financiero, con 3,8 millones, las entidades de suministro y comercialización de gas, electricidad y agua, con algo más de 1 millón de euros, la videovigilancia con 494.000 euros y las comunicaciones electrónicas comerciales - spam (LSSI)-, con 305.000 euros.

-          De las sanciones impuestas en 2011, un 66,49% de ellas son graves, un 32,78% leves y solo 0,73% muy graves.

-          La Memoria pone de relieve que «el derecho al olvido» en internet se ha configurado como un derecho cada vez más reclamado por los ciudadanos, ya que de las tres solicitudes recibidas en la Agencia en 2007 se ha pasado a las 160 de 2011. La Agencia da respuesta a esta demanda ciudadana «a través de los derechos de cancelación y oposición». Este último se aplica para evitar la indexación de datos personales por los motores de búsqueda.

-          En cuanto a las áreas temáticas en las que se produce un mayor crecimiento de las actuaciones, destacan la difusión de datos personales en internet y la vulnerabilidad de las medidas de seguridad en la red, así como la inclusión de datos de morosidad en ficheros. 

 

Por tanto concluyendo:

Hay una tendencia al alza en el número de resoluciones declarativas de infracción, las cuantías económicas se han elevado significativamente y además, la gran mayoría de ellas son graves.  Uno de los motivos que ha provocado el aumento del  número de sanciones es tal y como muestran los números, el crecimiento exponencial que ha sufrido la solicitud del derecho de cancelación y oposición y la imposibilidad de respuesta por parte de muchas organizaciones. La ley cada vez es más conocida por la sociedad y así se refleja en este dato, ya que los ciudadanos cada vez ejercitan más a las organizaciones los derechos ARCO. Durante mi trayectoria profesional, he adecuado y auditado a empresas de muy diferentes tipos a los requerimientos de la LOPD y de RD 1720/2007, y las solicitudes que se producían de los derechos ARCO eran poco frecuentes por lo general. La Agencia siempre ha insistido en la importancia de estos derechos como uno de los principios básicos de la LOPD, y yo como consultor, siempre he intentado trasladar esto a mis clientes. Sin embargo, en ocasiones, he visto como las organizaciones se han relajado en recomendaciones sobre la “ejercitación de derechos”  convencidas de que el desconocimiento de la ley por parte de la sociedad garantizaba que nadie los solicitaría. Por tanto estos datos deben “poner en alerta” a las organizaciones definiendo procedimientos de atención y respuesta a los derechos ARCO y cumpliendo las medidas de seguridad del Titulo VIII del RD 1720/2007, ya que sin duda 2011 ha supuesto el “empujón definitivo” que los derechos ARCO necesitaban para ser finalmente reconocidos en las organizaciones como uno de los pilares fundamentales de la protección de datos.