Módulo 3 Clase 3 Correc cat ENSymedidas AYES eTwinning,AnRiesg,cert&RGP

Clase sobre Seguridad de la Información

Corrección de Ejercicios Anteriores

• Se inicia la clase corrigiendo ejercicios sobre categorización y medidas de seguridad para la confidencialidad y el acceso.

• Enrique se ofrece a presentar su solución, que se basa en el esquema nacional de seguridad y la guía CCNestic 803.

Categorización del Sistema AES

• La categorización del sistema AES debe cumplir con el Real Decreto 311/2022, no solo ser una referencia. Esto es crucial para asegurar un cumplimiento estricto.

• Los activos esenciales son valorados en dimensiones como confidencialidad, integridad, trazabilidad, autenticidad y disponibilidad. La valoración comienza por los activos de tipo información.

Dimensiones de Seguridad

• Se establece que la disponibilidad puede no ser relevante para ciertos tipos de información, como en el caso del sistema AES. Después se evalúan los activos de tipo servicio según su disponibilidad.

• Es importante sintetizar las explicaciones teóricas para centrarse en lo esencial durante las evaluaciones prácticas. Esto ayuda a preparar mejor a los estudiantes para preguntas centrales relacionadas con sistemas de información.

Evaluación de Activos Esenciales

Confidencialidad e Integridad

• La confidencialidad implica que revelar información a personas no autorizadas podría causar daños significativos; se estima su nivel en medio.

• La integridad también tiene un nivel medio debido al riesgo significativo que representa modificar información sin autorización, lo cual puede resultar en perjuicios difíciles de reparar.

Trazabilidad y Autenticidad

• La trazabilidad tiene un nivel bajo ya que no poder rastrear modificaciones provoca un perjuicio limitado principalmente a la organización.

• La autenticidad es considerada media porque falsificar identidad dentro del sistema puede causar daños graves a los individuos afectados por dicha acción.

Disponibilidad

• La disponibilidad se estima baja si no se puede acceder a la información o servicios cuando son necesarios; esto también incluye considerar el RTO (Tiempo Objetivo de Recuperación).

Análisis de la Disponibilidad y Seguridad en Sistemas de Información

Evaluación del Tiempo de Inactividad

• La disponibilidad del sistema se evalúa en función del tiempo que puede estar inactivo, con un rango entre menos de un día y más de cinco días. Esto se relaciona con el RTO (Recovery Time Objective) y su impacto limitado en caso de fallos prolongados.

Clasificación del Sistema AIS

• Se determina que el sistema AIS es de categoría media según las categorías definidas en el ALESO del Esquema Nacional de Seguridad. Esta clasificación influye en las medidas de seguridad a implementar.

Medidas de Seguridad Necesarias

• Las medidas necesarias incluyen la gestión de capacidad, protección eléctrica, prevención contra incendios y copias de seguridad, todas enfocadas en mantener la disponibilidad del servicio.

Importancia del Anexo 2

• Se menciona la necesidad de hacer referencia al anexo 2 para una mejor comprensión sobre las medidas específicas relacionadas con la disponibilidad del servicio, sugiriendo que se debe incluir más texto explicativo.

Redacción Formal y Técnica

• Se discute la importancia de utilizar un lenguaje impersonal y técnico al redactar informes, evitando un tono coloquial para asegurar claridad y profesionalismo en los documentos presentados. Esto incluye seguir directrices como las establecidas por el Real Decreto 311/2022.

Dimensiones Clave para Valorar la Seguridad

Impacto Potencial en Incidentes

• La valoración del impacto que tendría un incidente sobre la organización es crucial; esto se basa en dimensiones como autenticidad, confidencialidad e integridad, utilizando guías como CCN Stick 803 para evaluar cada aspecto.

Autenticidad y Riesgos Asociados

• El nivel medio de autenticidad implica riesgos significativos si hay suplantación; esto podría permitir accesos no autorizados a cuentas bancarias ajenas, causando perjuicios importantes a los solicitantes afectados.

Confidencialidad y Normativa RGPD

• Un nivel medio también se aplica a la confidencialidad; si los datos son expuestos sin autorización, esto podría resultar en incumplimientos graves respecto a normativas como el RGPD (Reglamento General sobre Protección de Datos). La distinción entre incumplimiento material y formal es relevante aquí.

Incumplimiento Material y sus Consecuencias

Impacto del Incumplimiento de Normativas

• El incumplimiento material de la normativa de protección de datos tiene un impacto significativo en la organización, afectando a las personas cuyos datos han sido robados o revelados. Aunque no es subsanable, sí es indemnizable.

• La falta de conocimiento en derecho administrativo puede complicar la gestión del incumplimiento, sugiriendo que un nivel medio de comprensión sería adecuado para abordar estas situaciones.

Dimensiones del Impacto

• Se menciona que el impacto del incumplimiento se puede resumir en varias dimensiones: perjuicio al solicitante, limitación en funciones del organismo e incumplimiento legal. Esto implica que el ejercicio realizado es una simplificación y no exhaustivo.

• En caso de una brecha, podría resultar en indemnizaciones para las personas afectadas. Es importante entender que aunque hay niveles diferentes (alto, medio), lo relevante es mantener un enfoque equilibrado.

Evaluación de Niveles

• Se discute la tendencia a calificar situaciones como "altas", lo cual podría ser perjudicial tanto para exámenes como para el trabajo diario. Un enfoque más moderado se sugiere como más efectivo.

• La integridad se evalúa a un nivel bajo si los datos alterados pueden ser fácilmente restaurados. Se enfatiza la importancia de tener flexibilidad y no ser demasiado rígidos en las evaluaciones.

Trazabilidad y Seguridad Jurídica

• La pérdida de trazabilidad durante procedimientos administrativos puede causar inseguridad jurídica y potencialmente sanciones administrativas. Es crucial mantener registros claros para evitar problemas legales futuros.

• Se destaca cómo perder trazabilidad afecta todo el proceso administrativo, desde la concesión hasta la denegación de ayudas, subrayando la importancia de los logs y documentación adecuada.

Categorías y Medidas de Seguridad

• Para definir un sistema de información seguro, se deben considerar tres categorías basadas en cinco dimensiones clave. Las medidas correspondientes se aplicarán según normativas específicas como el anexo 2 y artículos relevantes.

Proceso de Autorizaciones y Seguridad en Sistemas de Información

Elementos Clave del Proceso

• Se establecerá un proceso formal de autorizaciones que cubra todos los elementos del sistema de información, incluyendo políticas normativas y procedimientos de seguridad.

• Se realizará un análisis de riesgos semiformal utilizando la herramienta Pilar y siguiendo la metodología Magerit, haciendo referencia al artículo 14 de LENS.

• Se implementarán procesos para la gestión de incidentes, configuración de seguridad y cambios; este último es crucial para el nivel medio.

Importancia del Enfoque Metódico

• La creación de plantillas mentales es esencial para recordar los conceptos clave sin obsesionarse con detalles excesivos.

• Es importante seleccionar medidas relevantes en lugar de incluir todas las posibles, evitando así una sobrecarga informativa.

Medidas de Seguridad: Disponibilidad y Confidencialidad

Análisis Crítico

• Enrique se centró en medidas orientadas a la disponibilidad, pero no incluyó aspectos sobre confidencialidad ni acceso, lo cual generó confusión.

• La declaración de aplicabilidad debe ser clara y concisa; se sugiere dar una charla breve sobre cómo aplicar las medidas en situaciones reales.

Contextualización en Exámenes

• Es fundamental responder a las preguntas del examen con precisión, contextualizando las respuestas según lo que se pide.

• La autenticidad es vital; por ejemplo, la suplantación podría causar perjuicios significativos aunque sean subsanables.

Impacto en la Regulación y Fiscalización

Consecuencias Potenciales

• Alterar la integridad puede llevar a pagos incorrectos a solicitantes, causando daños importantes pero manejables.

• La falta de trazabilidad puede afectar gravemente la capacidad organizativa para fiscalizar gastos relacionados con ayudas.

Estrategias para Responder Preguntas

• Leer cuidadosamente las preguntas es crucial; hay que demostrar esfuerzo analítico usando vocabulario específico relacionado con el caso presentado.

• Aunque usar plantillas es útil, deben adaptarse para no parecer evidentes o forzadas durante el examen.

¿Cómo abordar la fiscalización y auditoría en sistemas de información?

Importancia de la fiscalización y auditoría

• La fiscalización es esencial para seguir el rastro de las acciones dentro de un sistema, lo que implica auditar y monitorizar cambios.

• En situaciones de examen, se sugiere utilizar tablas para categorizar información sin necesidad de frases complejas, evitando así la parálisis por análisis.

• Se menciona que la categorización debe hacerse siguiendo guías específicas, como la guía 803, sin complicarse con detalles innecesarios.

Desafíos en la aplicación práctica

• Un error común es centrarse demasiado en la teoría al describir medidas a aplicar en cada dimensión del sistema, lo que puede llevar a una falta de especificidad.

• Es crucial traducir conceptos teóricos a aplicaciones prácticas concretas, como el uso del doble factor de autenticación para mejorar la seguridad.

Preparación para exámenes

• La categorización del sistema es un tema recurrente en los exámenes; se recomienda estar preparado con ejemplos claros y específicos.

• Se enfatiza la importancia de tener un folio preparado para cada dimensión relacionada con medidas de seguridad.

Medidas específicas a considerar

• Las preguntas sobre seguridad física son comunes; se deben preparar listas específicas relacionadas con aplicaciones informáticas y entornos web.

• Se hace referencia a documentos relevantes como el anexo 2 del LENS para organizar las medidas necesarias según diferentes grupos.

Estrategias durante el examen

• No hay que paralizarse ante el deseo de perfección; es mejor optar por respuestas adecuadas dentro de categorías razonables (bajo o medio).

• Las medidas propuestas deben ser flexibles y no exhaustivas; generalmente no se requiere listar todas las posibles medidas en los exámenes.

¿Cómo abordar las medidas de seguridad en exámenes?

Reflexiones sobre la implementación de medidas

• Se discute la dificultad de cumplir con todas las medidas requeridas, señalando que cada uno aporta lo que puede, pero no se está cumpliendo completamente con el marco establecido.

• Se menciona que en exámenes anteriores, muchos participantes han presentado pocas medidas de seguridad, lo que lleva a cuestionar el nivel de conocimiento y preparación ante un examen extenso.

• La importancia de memorizar frases clave para niveles bajos y medios es destacada como una estrategia útil para enfrentar preguntas complejas durante los exámenes.

Estrategias para la preparación del examen

• Se enfatiza la necesidad de tener plantillas simplificadas debido a la gran cantidad de información disponible; aprender todo es prácticamente imposible.

• La discusión incluye cómo aplicar las medidas de seguridad organizativa y cómo proteger la confidencialidad mediante redes privadas virtuales (VPN).

Detalles técnicos sobre seguridad

• Se menciona el uso literal del marco Lens para asegurar la confidencialidad y se hace referencia a guías específicas como CCNCK 811 para seguridad perimetral.

• La importancia de etiquetar soportes informáticos con metadatos adecuados según su nivel de seguridad es subrayada, así como el uso de mecanismos criptográficos.

Medidas específicas a considerar

• Las medidas del anexo 2 son discutidas, incluyendo protección de datos personales y firma electrónica; se recomienda preparar respuestas específicas para cada área temática.

• Se aconseja personalizar plantillas según diferentes dimensiones temáticas (confidencialidad, movilidad, acceso), facilitando así el estudio individualizado.

Autenticación y accesos

• Se propone utilizar sistemas AES para autenticación en servicios electrónicos clave, resaltando la personalización en función del contexto específico del examen o situación.

• La conversación gira en torno al uso práctico de contraseñas combinadas con OTP (One Time Password), sugiriendo que esto puede ser más efectivo que memorizar múltiples requisitos.

Medidas de Protección y Autenticación en el ENS

Conceptos Clave sobre la Autenticación

• Se discute la relación entre las medidas de protección del Esquema Nacional de Seguridad (ENS) y su aplicación práctica, destacando la importancia de utilizar métodos como "clave" y "autentica".

• Se menciona que los ciudadanos acceden a sistemas mediante un nivel adecuado de autenticación, enfatizando la necesidad de un sistema común para empleados públicos.

• Se anticipa una revisión del nuevo reglamento EIDAS, con énfasis en las novedades que impactarán a los usuarios en futuras evaluaciones.

Sistemas de Identificación

• Los diferentes sistemas de identificación mencionados incluyen: certificado digital, DNI electrónico, clave PIN, clave permanente con OTP y otros identificadores europeos basados en EIDAS.

• La estrategia para responder preguntas en exámenes se centra en no repetir información innecesaria y referirse a apartados específicos según corresponda.

Niveles de Seguridad

• Se explica cómo clasificar los niveles de seguridad para diferentes métodos de autenticación; por ejemplo, clave PIN es considerado nivel bajo mientras que clave permanente con OTP es nivel medio.

• La discusión incluye la necesidad de actualizar el conocimiento sobre los niveles actuales del ENS debido a modificaciones recientes.

Mecanismos Específicos

• Para un sistema con nivel medio, se requiere implementar mecanismos como R2 (contraseña más OTP), R3 o R4 junto con registros detallados (R5).

• El uso del certificado digital debe estar protegido por un segundo factor como PIN o biometría. Esto asegura una mayor seguridad durante el acceso al sistema.

Complejidades en la Clasificación

• Se aclara que el nivel medio no solo depende del tipo sino también de las dimensiones relacionadas con autenticación, confidencialidad e integridad.

• La clasificación puede ser confusa; se enfatiza que cada mecanismo debe cumplir ciertos requisitos para ser considerado seguro dentro del marco establecido por el ENS.

Discusión sobre Seguridad en Sistemas de Información

Métodos de Autenticación y Niveles de Seguridad

• Se discuten diferentes métodos de autenticación, incluyendo el uso de OTP (One-Time Password) y claves PIN. La clave PIN puede ser reforzada con OTP para mayor seguridad.

• El nivel bajo de seguridad no requiere OTP, solo usuario y contraseña. Esto se considera un aspecto interesante que se debe tener en cuenta.

• Se menciona la existencia de una tabla relacionada con la identificación, que es similar a otra vista anteriormente, aunque no exactamente igual.

Evaluación del Sistema Ewinning

• Se hace referencia al tiempo limitado para discutir los temas importantes relacionados con el sistema Ewinning y su categorización según el Real Decreto 31/2022.

• La categoría de seguridad del sistema se basa en la valoración del impacto que un incidente podría tener sobre la información tratada y los servicios prestados.

Dimensiones de Seguridad

• Las dimensiones consideradas incluyen autenticidad, confidencialidad, integridad, disponibilidad y trazabilidad. Cada dimensión se valora en niveles bajo, medio y alto según criterios establecidos.

• Para autenticidad a nivel medio: si hay suplantación de identidad, podría haber un perjuicio significativo. En confidencialidad a nivel bajo: no se captura información personal especialmente protegida.

Observaciones sobre Integridad y Disponibilidad

• La integridad a nivel medio implica que cualquier alteración en las valoraciones podría causar un grave perjuicio reputacional al organismo.

• En cuanto a disponibilidad a nivel bajo: si el servicio es indisponible por más de 5 días, causaría un perjuicio limitado pero subsanable.

Trazabilidad e Implementación de Medidas

• La trazabilidad a nivel medio es crucial para averiguar quién realizó qué acción en caso de incidentes relacionados con las valoraciones.

• Se discute la declaración política de aplicabilidad como documento clave firmado por el responsable de seguridad que detalla las medidas aplicables al sistema Ewinning.

Medidas de Seguridad en el Sistema ETWIN

Importancia de la Confidencialidad y Disponibilidad

• Se discute la necesidad de simplificar las frases relacionadas con la confidencialidad y disponibilidad, sugiriendo que la confidencialidad debería tener un nivel medio debido a regulaciones como la ley de protección de datos para menores.

Medidas de Seguridad Implementadas

• Se mencionan medidas de seguridad específicas para usuarios internos, incluyendo autenticación doble (OTP) y registro de intentos de acceso exitosos y fallidos.

• Los evaluadores tienen privilegios limitados para modificar evaluaciones antes de su publicación. Además, se implementarán copias de seguridad utilizando un sistema estructurado (abuelo, padre e hijo).

Infraestructura del Ministerio

• El sistema ETWIN formará parte del Ministerio de Educación y Ciencia, con medidas adecuadas contra incidentes como inundaciones y cortes eléctricos.

Registro y Monitoreo

• Se registrará información sobre quién realiza acciones en el sistema para rastrear alteraciones por incidentes de seguridad. Esto incluye herramientas para detectar intrusiones.

Herramientas Adicionales

• Se instalarán herramientas en los equipos evaluadores para proteger contra código dañino, asegurando así una mayor integridad del sistema.

Declaración de Aplicabilidad: Proceso y Metodología

Contextualización del Anexo Dos

• Se sugiere orientar mejor las preguntas hacia el contexto del anexo dos, explicando cómo se elaborará la declaración de aplicabilidad.

Categorización del Sistema

• La categorización es fundamental; se menciona que debe hacerse antes que nada según el Esquema Nacional de Seguridad regulado por el Real Decreto 311/2022.

Selección de Medidas Oportunas

• Una vez categorizado el sistema, se deben seleccionar medidas adecuadas formalizadas en un documento firmado por el responsable de seguridad.

Guías Utilizadas

• Para categorizar el sistema se utilizará la guía CCN TIC 803, determinando niveles bajos, medios o altos en dimensiones como autenticidad y confidencialidad.

Organización Estructural

• Las medidas seleccionadas se organizan dentro del marco organizativo (política de seguridad), operacional (análisis riesgos), entre otros aspectos clave necesarios para asegurar el sistema.

¿Qué es la declaración de aplicabilidad?

Definición y Contenido

• La declaración de aplicabilidad incluye todas las medidas de seguridad implementadas, tanto las del anexo 2 como las complementarias decididas por la organización.

• Es importante centrarse en el caso práctico al responder preguntas sobre medidas de seguridad o la declaración de aplicabilidad.

Estrategias para Responder Preguntas

• Leer cuidadosamente la pregunta y contextualizarla adecuadamente es crucial para proporcionar respuestas relevantes.

• Ejemplos concretos de medidas incluyen: instalación de microcláusulas, formación en ciberseguridad, seguridad perimetral, uso de VPNs y cifrado de información.

Análisis de Riesgos

Concepto y Proceso

• El análisis de riesgos es un proceso sistemático que estima los riesgos a los que está expuesta una organización y ayuda en la toma de decisiones.

• Se puede realizar antes o después del despliegue de un servicio; aunque es preferible hacerlo previamente.

Naturaleza del Riesgo

• Un riesgo se define como una estimación probabilística del grado de exposición a amenazas que pueden causar daños a la organización.

• Ejemplo ilustrativo: un pendrive sin cifrar olvidado por un abogado puede resultar en graves consecuencias legales.

Tratamiento del Riesgo

• El tratamiento del riesgo implica modificarlo para minimizar su impacto, organizando defensas adecuadas y preparándose para emergencias.

• El análisis está intrínsecamente relacionado con las medidas de seguridad, ya que busca reducir la probabilidad de manifestación de amenazas.

Elementos Clave del Análisis

Componentes Fundamentales

• Los elementos esenciales son activos, amenazas y salvaguardas. Estos conceptos son fundamentales para entender el análisis global.

• Aprender estos conceptos permite abordar preguntas relacionadas con el análisis de riesgos con mayor claridad.

Análisis de Riesgos en Sistemas de Información

Introducción a los Activos y su Categorización

• Para realizar un análisis de riesgo, es fundamental contar con un catálogo que liste los activos y sus dimensiones. La categorización del sistema de información es una entrada clave para este análisis.

• Se mencionan ocho sistemas de información que comparten datos en Oracle y otros subsistemas, lo cual es crucial para entender la protección necesaria sobre la información.

Identificación de Amenazas

• Las amenazas se definen como eventos perjudiciales que pueden afectar a los activos, incluyendo orígenes naturales y humanos. Ejemplos incluyen fuego, daños por agua, y fuga de información.

• Se enumeran diversas amenazas como corrupción de datos, interrupciones eléctricas, fallos en servicios de comunicación y ataques cibernéticos (sniffing).

Clasificación y Características de las Amenazas

• Las amenazas pueden ser causadas por errores humanos o deliberados. Esto incluye desde configuraciones incorrectas hasta ataques externos como ransomware.

• Cada amenaza puede comprometer un activo en múltiples dimensiones: probabilidad, impacto y riesgo son conceptos interrelacionados que ayudan a evaluar el daño potencial.

Evaluación del Riesgo

• El riesgo se mide considerando la probabilidad e impacto de cada amenaza. Es esencial calcular cómo estas variables interactúan para determinar el nivel general del riesgo.

• La fórmula básica para calcular el riesgo implica multiplicar la probabilidad por el impacto. Esto permite clasificar riesgos desde muy altos hasta improbables.

Proceso Final del Análisis

• El proceso concluye con un listado detallado donde se caracterizan las amenazas asociadas a cada activo, asignando probabilidades e impactos específicos antes de determinar el nivel final del riesgo.

• Se especifica cómo cada tipo de amenaza afecta diferentes dimensiones de seguridad: integridad, confidencialidad y disponibilidad son aspectos críticos a considerar durante el análisis.

Análisis de Riesgos en Seguridad Informática

Conceptos Fundamentales del Análisis de Riesgos

• El análisis de riesgos es un proceso esencial que implica la identificación de activos, amenazas y salvaguardas. Se considera relativamente sencillo si se comprende la categorización del sistema y las medidas de seguridad.

• Las amenazas son eventos que pueden perjudicar los activos. Se deben evaluar sus características, como la probabilidad de ocurrencia y el impacto potencial sobre los activos, lo cual determina el nivel de riesgo.

• Las salvaguardas son medidas implementadas para minimizar el riesgo. Su efecto principal es reducir la probabilidad o limitar el daño causado por las amenazas identificadas.

Proceso del Análisis de Riesgos

• El análisis se realiza considerando un escenario sin salvaguardas, evaluando qué pasaría si no existieran protecciones ante diversas amenazas como inundaciones o fallos en servidores.

• La definición literal de salvaguarda incluye procedimientos o mecanismos tecnológicos diseñados para reducir riesgos. Existen diferentes tipos: preventivas, disuasorias, correctivas y que consolidan otros efectos.

Metodología Magerit

• La metodología Magerit es una herramienta clave para realizar análisis de riesgos. Incluye pasos como caracterización de activos, identificación y valoración de amenazas y evaluación del estado del riesgo basado en las salvaguardas aplicadas.

• Un ejemplo práctico puede incluir un análisis detallado utilizando una hoja Excel donde se evalúan servidores y las amenazas a las que están expuestos, así como su probabilidad e impacto.

Evaluación Práctica del Riesgo

• En un caso práctico se evalúa cómo una amenaza específica (como fuga de información) afecta a un servidor determinado. Se asigna una probabilidad baja a media según la frecuencia esperada con que podría materializarse dicha amenaza.

• El impacto se clasifica en niveles: desde daños irrelevantes hasta consecuencias graves que podrían afectar significativamente a la organización. Esto ayuda a calcular el riesgo total multiplicando probabilidad por impacto.

Análisis de Riesgos y Conceptos Clave

Introducción a la Probabilidad e Impacto del Riesgo

• Se discute la probabilidad de impacto del riesgo relacionado con la degradación de los soportes de almacenamiento, asignando una probabilidad de uno y un impacto de tres. La frecuencia anual se multiplica para evaluar el riesgo total.

Conceptos Fundamentales en Análisis de Riesgos

• Se presentan tres conceptos clave: activos, amenazas y su relación con probabilidad, impacto y riesgo. Estos son esenciales para el examen sobre análisis de riesgos.

Catálogo de Amenazas

• Se menciona un catálogo que lista las amenazas y activos necesarios para realizar un análisis efectivo en una empresa.

Herramientas para el Análisis

• Se describe una plantilla que permite cruzar activos con amenazas, aunque se señala que la macro utilizada no funciona correctamente. El objetivo es visualizar el análisis completo.

Ejercicio Práctico para la Semana Siguiente

• Para la próxima semana, se asigna un ejercicio donde los participantes deben realizar un análisis de riesgos en formato breve (máximo folio y medio), utilizando ejemplos prácticos como ayudas comedor o "te winning".

Reflexiones sobre el Aprendizaje

• Gisela comparte su impresión sobre lo aprendido, destacando que muchos conceptos son lógicos y razonables. La claridad en términos como activo, amenaza, probabilidad e impacto es crucial para abordar el examen.

Estrategias para Identificar Activos

• Se enfatiza que los activos principales serán bases de datos y servicios accesibles por web. Esto proporciona una base sólida para identificar amenazas relevantes.

Detalles Adicionales sobre Análisis

• Con los activos identificados (base de datos y servicio web), se pueden formular varias amenazas específicas relacionadas con cada uno.

Incorporación de Salvaguardas

• En el análisis final se sugiere incluir salvaguardas que ayuden a mitigar riesgos, como alta disponibilidad mediante granjas de servidores.

Herramientas EA: Pilar y Micropilar

• Se introduce "Pilar", una herramienta diseñada para el análisis y gestión de riesgos siguiendo metodologías específicas. Existen variantes adaptadas a diferentes contextos organizacionales.

Este resumen proporciona una visión clara del contenido discutido en relación al análisis de riesgos, sus componentes fundamentales y herramientas prácticas aplicables en entornos empresariales.

Introducción a la Protección de Datos

Contexto y Herramientas

• Se menciona la utilidad de herramientas que facilitan el manejo de múltiples medidas y niveles en el análisis de riesgos, especialmente para aquellos que trabajan solos en entidades locales.

Análisis Teórico

• El presentador introduce un análisis teórico sobre la protección de datos, reconociendo que será una charla más teórica que práctica, pero esencial para entender los supuestos prácticos.

Preguntas Teóricas

• Se advierte sobre la posibilidad de preguntas teóricas encubiertas en exámenes, enfatizando la importancia de estar preparados para responder sobre derechos relacionados con el tratamiento de datos personales.

Normativa Fundamental

• Se destaca la necesidad de tener presente el contexto normativo al redactar informes ejecutivos, mencionando específicamente el artículo 18.4 de la Constitución Española como clave en la protección de datos.

Leyes Relevantes

• La ley limita el uso informático para proteger los derechos fundamentales y se menciona cómo ha evolucionado desde la LORTAD hasta las leyes actuales como la LOPD y RGPD, subrayando su importancia en el marco jurídico español.

Evolución Legislativa y Regulaciones

Directivas Europeas

• Se explica cómo las directivas europeas requieren transposición por parte de los Estados miembros, lo cual llevó a crear reglamentos que se aplican directamente sin necesidad de adaptación nacional.

Adaptación del RGPD

• La Ley Orgánica de Protección de Datos y Garantía de Derechos Digitales adapta el RGPD al ordenamiento jurídico español, asegurando tanto el tratamiento adecuado como los derechos digitales.

Características del Sector Público

• Se discute cómo las administraciones públicas tienen responsabilidades adicionales respecto a los derechos ciudadanos comparadas con empresas privadas, destacando su proactividad necesaria en este ámbito.

Definiciones Clave en Protección de Datos

Conceptos Fundamentales

• Se presentan definiciones extraídas del RGPD sobre qué constituye un dato personal: cualquier información que permita identificar a una persona física ya sea directa o indirectamente.

RGPD y Datos Personales

Introducción al RGPD y tipos de datos personales

• El RGPD se implementó en 2019, coincidiendo con el inicio del COVID-19. Se presentan ejemplos sobre la identificación de datos personales como nombre, apellidos, DNI, dirección, entre otros.

• Se definen los datos de salud según el RGPD como aquellos que hacen referencia a la salud física o mental de una persona, incluyendo servicios de atención sanitaria.

• Es importante destacar que los datos de salud abarcan tanto aspectos físicos como mentales. Esto incluye información sobre el estado general de salud.

Datos Genéticos y Biométricos

• Los datos genéticos son aquellos obtenidos tras analizar muestras biológicas que revelan características heredadas o adquiridas. Son considerados sensibles y están relacionados con la salud.

• Los datos biométricos se refieren a características físicas o conductuales que permiten identificar a una persona única e inequívocamente, como imágenes faciales o huellas dactilares.

Identificación Personal

• La noción de dato personal incluye cualquier información que permita identificar a una persona física directamente o mediante combinación de datos (ejemplo: teléfono, correo electrónico).

• Según el RGPD, un dato personal es aquel que permite identificar directa o indirectamente a una persona física. Ejemplos incluyen nombre completo y dirección.

Tratamiento de Datos Personales

• Si una administración pública tiene acceso a datos personales (como nombre y DNI), estos permiten la identificación individualizada del ciudadano.

• En contraste, si solo se manejan datos empresariales, no es necesario aplicar el RGPD en esos tratamientos.

Definición Ampliada y Concepto de Fichero

• Un dato personal puede ser identificado por elementos directos (nombre) o indirectos (IP). Estos últimos pueden no revelar identidad inmediata pero permiten su deducción con poco esfuerzo.

• El tratamiento abarca cualquier operación realizada con datos personales: recogida, organización, modificación y destrucción. Este concepto fue relevante desde la Ley Orgánica de Protección de Datos del 99.

Conceptos Clave sobre el RGPD y el Tratamiento de Datos

Definición de Fichero según el RGPD

• El RGPD define un fichero como un conjunto estructurado de datos personales que puede estar centralizado, descentralizado o repartido geográficamente.

• Un fichero no necesita estar en una única base de datos; puede ser accesible mediante criterios determinados, ya sea de forma automatizada o manual.

Importancia del Consentimiento

• El consentimiento se refiere a la aceptación explícita por parte de una persona para que un tercero trate sus datos personales, siendo libre, específica, informada e inequívoca.

• Es crucial capturar este consentimiento cuando no hay otra legitimación legal para tratar los datos. La inacción no se considera consentimiento válido.

Diferencias con la Ley Orgánica Anterior

• A diferencia de la Ley Orgánica anterior, donde la falta de respuesta podía interpretarse como consentimiento, ahora es necesario que el individuo exprese su acuerdo claramente.

• Las empresas deben solicitar permiso explícito para utilizar los datos personales con fines específicos como marketing.

Roles en el Tratamiento de Datos

• Se diferencian dos roles importantes: el responsable del tratamiento (quien decide sobre los datos y su uso) y el encargado del tratamiento (quien realiza las operaciones sobre esos datos).

• El responsable del tratamiento es quien determina los fines y medios del tratamiento; por ejemplo, en una administración pública podría ser un alcalde.

Ejemplos Prácticos y Consideraciones Legales

• En contextos administrativos, diferentes unidades pueden encargarse del tratamiento sin que sean la misma persona quien ostente ambos roles.

• Es fundamental entender quién tiene la responsabilidad sobre los datos personales en diversas entidades como bancos, hospitales o empresas privadas.

¿Qué es el Encargado del Tratamiento de Datos?

Definición y Roles

• El encargado del tratamiento es una persona física o jurídica que trata datos por cuenta del responsable, quien le encarga esta tarea.

• No debe confundirse con la persona que recoge los datos directamente; el encargado actúa bajo las instrucciones del responsable.

• Las administraciones pueden actuar como responsables o encargados, dependiendo del contexto específico.

Ejemplos Prácticos

• Se menciona el registro electrónico general donde la Dirección General de Gobernanza Pública es responsable de los datos.

• El encargado del tratamiento proporciona soporte a la operación del servicio, destacando la importancia de diferenciar roles en este proceso.

Elaboración de Perfiles: Un Concepto Clave en Protección de Datos

Definición y Aplicaciones

• La elaboración de perfiles implica tratar datos personales automáticamente para evaluar aspectos específicos de una persona.

• Este concepto se relaciona con prácticas modernas como cookies y captura de datos, utilizadas por empresas para marketing y análisis.

Implicaciones Legales

• Es crucial informar a los usuarios sobre la elaboración de perfiles al proporcionar sus datos personales.

• Se deben realizar evaluaciones del impacto y mantener un registro claro de las actividades relacionadas con el tratamiento de datos.

Pseudonimización: Un Método para Proteger Datos Personales

Concepto y Consideraciones

• La pseudonimización consiste en asignar un identificador artificial a los datos personales para proteger la identidad real.

• Es fundamental que la información adicional necesaria para identificar a una persona esté sujeta a medidas técnicas adecuadas.

Riesgos Asociados

• Se debe tener cuidado al manejar procesos estadísticos que puedan revelar identidades en poblaciones pequeñas, como víctimas de violencia.

Introducción a la Protección de Datos Personales

Definición y Contexto

• El RGPD define una "violación de seguridad" como cualquier evento que cause destrucción, pérdida o alteración ilícita de datos personales.

• Se establece la importancia de entender qué son los datos personales y su protección en el contexto actual.

Dificultades en la Comprensión

• El presentador expresa frustración por no poder modificar su presentación debido a problemas técnicos, lo que refleja las dificultades prácticas en el manejo de información.

• Se busca confirmar si la introducción es útil para los asistentes, destacando la necesidad de claridad en temas complejos como la protección de datos.

Roles y Responsabilidades en Protección de Datos

Diferenciación entre Roles

• Es crucial diferenciar entre el encargado del tratamiento, el responsable del tratamiento y el delegado de protección de datos; cada uno tiene funciones específicas dentro de una organización.

• El responsable del tratamiento se encarga del sistema de información, mientras que el encargado es quien efectivamente maneja los datos.

Ejemplos Prácticos

• Se mencionan ejemplos prácticos sobre cómo diferentes entidades (como administraciones públicas) abordan la transparencia y comunicación sobre protección de datos.

Esquema Nacional de Seguridad (ENS)

Certificación y Políticas

• Todos los organismos deben certificar su conformidad con el ENS antes del 31 de mayo de 2024; esto implica tener políticas formales aprobadas.

• La guía CCNCK 809 proporciona directrices sobre cómo implementar estas políticas y procedimientos necesarios para cumplir con las normativas actuales.

Roles Específicos

• Dentro del ENS, se debe designar un responsable de seguridad que cumpla con requisitos específicos al momento de contratar servicios externos relacionados con el tratamiento de datos.

Análisis y Monitoreo

Implementación Práctica

• Se enfatiza la importancia del análisis previo para determinar políticas adecuadas, normas y procedimientos relacionados con la seguridad informática.

• La monitorización continua es esencial para asegurar que las medidas implementadas sean efectivas; esto incluye auditorías regulares para mantener certificaciones.

Guía de Conformidad con el Esquema Nacional de Seguridad

Importancia del Certificado de Conformidad

• Se menciona la guía 802 como referencia para realizar auditorías y asegurar la conformidad con el Esquema Nacional de Seguridad (ENS).

• El objetivo final del ENS es establecer un sistema de certificación que garantice que todos los servicios comunes cumplen con un nivel medio de seguridad.

• La declaración de aplicabilidad se mantiene válida al integrar nuevos subsistemas dentro del mismo entorno tecnológico, siempre que compartan nodos y tratamientos similares.

• Se enfatiza la necesidad de que todas las administraciones públicas y empresas estén certificadas para poder colaborar y contratar entre sí.