La seguridad de los datos ha estado entre las tareas prioritarias
del responsable de seguridad. En la actualidad esta tarea ha cobrado mayor
importancia debido a los siguientes factores:
- Incremento de los requerimientos de cumplimiento de la legislación vigente sobre protección de datos personales, protección de datos de tarjetas de debido y crédito, blanqueo de capitales, entre otros requerimientos regulatorios.
- Los datos del negocio son accedidos desde distintos puntos, distintos repositorios y por diferentes tipos de usuario empleados, operadores/administradores/programadores de las compañías de servicios TI contratadas.
- La creciente externalización de servicios a proveedores de TI (comunicaciones, alojamiento de servidores, explotación de sistemas, etc).
- Incidentes de pérdida de datos, sanciones e investigaciones de organismos reguladores locales y Europeos.
Para construir un Marco de gestión de la seguridad de datos accedidos por terceros, aconsejamos seguir los siguientes pasos:
1. Definir el enfoque global para la identificación y categorización de proveedores:
- Crear un inventario de proveedores.
- Evaluar el riesgo de seguridad de datos.
- Priorizar y clasificar los proveedores por el nivel de seguridad de datos.
- Desarrollar e implementar un programa para mitigar los riesgos identificados.
2. Estandarizar el procesos de gestión de la
seguridad del acceso a datos por terceros:
- Revisión anual de contratos.
- Definición obligaciones contractuales basadas en requerimientos de seguridad.
- Desarrollar e implementar indicadores de seguimiento y revisar de forma periódica dichos indicadores.
- Definir reuniones de seguimiento de los requerimientos de seguridad con los proveedores.
- Definir un calendario de visitas anuales/regulares según el tipo de proveedor.
- Realizar auditorias a las operaciones del proveedor.
- Establecer requerimientos adicionales de seguridad a los proveedores de riesgo alto.
3. Definir el marco de seguridad de datos:
- Desarrollar e implementar las políticas y procedimientos con los requerimientos de seguridad dirigidos a terceros que acceden datos personales y del negocio.
- Definir controles técnicos para el control de accesos, caducidad de conexiones remotas, registros de auditoria para la descarga de datos, traspaso de programas al entorno de producción, etc.
- Definición de roles de usuario con accesos específicos, asignación de privilegios basados en funciones específicas.
- Revisión mensual de accesos asignados, supervisar la rotación de personal del proveedor
- Establecer un programa de concienciación del personal interno y del proveedor.
4. Definir roles y responsabilidades:
- Establecer el rol de responsable del servicio en ambas partes (tanto en la compañía como en el proveedor).
- Establecer responsabilidades a los responsables.
- Definir una matriz RACI incluyendo a todos los niveles que intervienen en la prestación del servicio.
- Establecer el proceso de revisión de los roles cuando se realicen cambios en el servicio.
5. Monitorizar la ejecución del marco
de gestión:
- Revisión de la ejecución de indicadores de seguimiento.
- Revisión de la ejecución de los controles técnicos, registros de auditoria, cambios de claves de acceso, etc.
- Revisión de la aplicación de las políticas y procedimientos definidos, revisiones de accesos, autorizaciones, actas de reuniones con el proveedor.
