Módulo 3 Clase 4 Correc análisis de riesgos y medidas de seguridad

Análisis de Riesgos en el Sistema ETWIN

Introducción al Análisis de Riesgos

• Se inicia la corrección del análisis de riesgos, donde se revisa lo que cada participante ha realizado.

• El análisis y gestión de riesgos son actividades continuas requeridas por el Real Decreto 311/2022, regulando el Esquema Nacional de Seguridad.

Metodología y Herramientas

• El análisis de riesgos del sistema ETWIN implica estimar los riesgos a los que está expuesto el Ministerio de Educación, Cultura y Deporte antes de desarrollar e implantar el sistema.

• Se utilizará la metodología Magrid 3.0 para realizar el análisis, comenzando con la herramienta micropilar y luego trasladando resultados a pilar para un estudio más detallado.

Elementos Clave en el Análisis

• Según Maguerit, se deben considerar activos (elementos del sistema), amenazas (eventos dañinos), probabilidad (vulnerabilidad), impacto (daño causado) y riesgo (daño potencial).

• La cuantificación del riesgo se basa en una escala que va desde muy alto hasta muy bajo.

Salvaguardias y Resultados

• Tras el análisis, es necesario implementar salvaguardias para minimizar los riesgos sobre los activos del sistema, generando así un riesgo residual.

• Se discuten ejemplos específicos como corrupción o destrucción de información, con evaluaciones sobre su nivel de riesgo.

Evaluación Crítica

• Se menciona la posibilidad de errores en las evaluaciones iniciales debido a la complejidad del cruce entre activos y amenazas.

• Un participante destaca que no ve fallos significativos en las evaluaciones presentadas; sin embargo, enfatiza la importancia del tiempo dedicado a escribir correctamente.

Gestión del Tiempo en Análisis

Reflexiones sobre Estrategias

• Un participante expresa su preocupación por la gestión del tiempo durante el examen y cómo esto afecta su rendimiento.

Detalles Adicionales sobre Análisis

• El análisis incluirá determinar amenazas sobre activos existentes utilizando la metodología Magerit con herramientas específicas como pilar.

Consideraciones Finales

• Se mencionan diferentes tipos de amenazas: intencionadas y naturales; además se identifican activos relevantes como datos personales y servicios disponibles.

Análisis de Riesgos en Ciberseguridad

Medidas de Protección y Salvaguardas

• Se discuten las salvaguardas necesarias para proteger la información, incluyendo herramientas como IDS e IPS, así como el análisis de logs mediante sistemas S.

• Es fundamental aumentar la capacidad del sistema para manejar picos de demanda durante ataques de denegación de servicio, coordinando esfuerzos con proveedores de comunicaciones.

Formación del Personal

• Se enfatiza la importancia de establecer planes regulares de formación en ciberseguridad para el personal funcionario tramitador.

• Estas medidas buscan disminuir el riesgo sobre los activos plantados, logrando un riesgo residual aceptable.

Análisis Crítico y Comparaciones

• Se menciona que los activos deben ser considerados más concretos que solo información y servicios; ejemplos incluyen bases de datos y servidores web.

• La discusión incluye cómo un análisis adecuado puede ser crucial en evaluaciones académicas, destacando su relevancia en exámenes.

Esquema Nacional de Seguridad (ENS)

• El ENS es mencionado como una medida operativa que obliga a realizar análisis de riesgos según la categoría del sistema.

• Se debate sobre la inclusión o exclusión del ENS en presentaciones debido a limitaciones temporales.

Definición de Probabilidades e Impactos

• Surge la necesidad de definir claramente qué se entiende por probabilidad baja, media o alta, así como impacto bajo, medio o alto.

• La ambigüedad en las definiciones puede llevar a confusiones; se propone aclarar estos términos para mejorar el entendimiento común entre los participantes.

Metodología Magerit y Análisis Detallado

• Se presenta un análisis detallado utilizando la metodología Magerit versión 3 y herramientas específicas para evaluar riesgos sobre activos críticos.

• Las amenazas identificadas incluyen corrupción de datos y acceso no autorizado; se establece un umbral para determinar si un riesgo es reseñable o no.

Análisis de Riesgos en el Sistema E-twinning

Enfoque y Metodología

• Se enfatiza la importancia de considerar múltiples soluciones para abordar los riesgos, destacando que cada participante debe desarrollar su enfoque personal.

• La decisión sobre las salvaguardas es flexible y puede ser adaptada según el contexto del ejercicio, lo que permite un enfoque personalizado en la gestión de riesgos.

• Enrique menciona la relevancia del personal en el análisis, mientras que Mónica contextualiza su trabajo dentro de la normativa vigente, sugiriendo una mejora continua en los ejemplos presentados.

Análisis Específico del Riesgo

• Se propone seguir la metodología Mageri para analizar y gestionar los riesgos asociados al sistema E-twinning, evaluando activos e información crítica.

• La probabilidad de materialización de amenazas se clasifica como baja, media o alta, con definiciones claras sobre qué implica cada nivel.

• El impacto se mide en términos de daño potencial al sistema: bajo (sin consecuencias relevantes), medio (daño reputacional), alto (consecuencias graves).

Criterios y Evaluación

• Se establecen criterios para aceptar riesgos: aquellos menores o iguales a cuatro son considerados poco reseñables; mayores a cuatro requieren tratamiento específico.

• Los activos identificados incluyen servidores y routers. Las amenazas abarcan desde alteraciones hasta abusos de privilegios, con probabilidades asignadas a cada riesgo identificado.

Implementación de Salvaguardas

• A partir del análisis realizado, se revisan las salvaguardas necesarias para mitigar riesgos significativos. Esto incluye establecer roles limitados y alertas ante posibles fallos.

• Se destaca la importancia de mencionar metodologías reconocidas como Magerit durante el análisis para fortalecer la credibilidad del trabajo presentado.

Consejos Prácticos

• Se sugiere estar preparado para preguntas abiertas sobre seguridad durante exámenes o presentaciones. Un sólido análisis de riesgos puede servir como respuesta efectiva.

• La presentación visual también es crucial; mantener márgenes adecuados y utilizar guías puede mejorar significativamente la claridad del documento final.

Análisis de Riesgos y Clasificación

Importancia de las Tildes y Clasificación de Niveles

• Se discute la relevancia de las tildes en la escritura, enfatizando su importancia en el contexto del análisis.

• Se plantea una duda sobre la escala utilizada para clasificar los niveles (alto, medio, bajo), sugiriendo que puede haber diferentes formas de hacerlo.

• La clasificación incluye cinco niveles: muy alto, alto, medio, bajo y muy bajo; se menciona que esto puede variar según el método utilizado.

Modelado Cualitativo y Cuantitativo

• Se menciona que el análisis de riesgos puede modelarse cualitativamente o cuantitativamente, dependiendo de la elección del analista.

• El riesgo se determina combinando probabilidad y vulnerabilidad; se destaca que esta decisión es parte del proceso analítico.

Ejemplos Prácticos y Plantillas

• Se sugiere crear plantillas personalizadas para facilitar el aprendizaje y destacar en los exámenes.

• Un análisis bien estructurado permite responder preguntas sobre seguridad con confianza; se enfatiza la importancia de entender todos los conceptos involucrados.

Medidas de Seguridad

• La discusión gira en torno a cómo implementar medidas de seguridad efectivas ante un entorno hostil.

• Se propone un enfoque sistemático para estudiar medidas de seguridad mediante bloques temáticos para asegurar una respuesta completa durante evaluaciones.

Referencias Normativas

• Las medidas deben alinearse con el Esquema Nacional de Seguridad, organizándose en grupos diferenciados según su categoría (alta, media o baja).

• Se hace referencia a guías específicas como CCNSTIC 804 para fundamentar las decisiones sobre medidas a implementar.

Guía de Seguridad en Aplicaciones Móviles y Web

Medidas de Seguridad Generales

• Se pueden aplicar medidas de seguridad a cualquier dimensión o pregunta relacionada con la seguridad, incluyendo políticas organizativas y análisis de riesgos.

• Es importante mencionar guías específicas como la CCNestic 827, que son relevantes para el examen y la gestión de seguridad.

• El esquema nacional de seguridad se complementa con guías del CCN Stick para dispositivos móviles en administraciones públicas, lo cual es un aspecto poco mencionado pero crucial.

Estrategias para el Examen

• Aunque leer todas las guías del CCN puede ser abrumador, es beneficioso ya que proporciona un amplio conocimiento sobre la gestión de dispositivos móviles.

• En el examen, es útil recordar al menos cuatro o cinco medidas de protección sin necesidad de ser exhaustivo.

Medidas Específicas para Dispositivos Móviles

• Algunas medidas incluyen: requisitos de calidad en claves concertadas, monitorización de accesos fallidos y auditoría del comportamiento del usuario.

• No almacenar datos confidenciales en terminales durante la ejecución; si se almacenan, deben estar cifrados.

• Verificar si el dispositivo está ruteado antes de permitir acceso a aplicaciones; usar cifrado TLS para comunicaciones.

Formación y Concienciación

• Informar a los usuarios sobre cómo proteger sus dispositivos es esencial; utilizar herramientas como keychain en iOS y key store en Android.

• La metodología de desarrollo seguro debe incluir prácticas como eliminar comentarios en producción y realizar pruebas de penetración.

Vulnerabilidades Comunes en Aplicaciones Web

• La validación exhaustiva de entradas es crucial para prevenir ataques como inyección SQL o cross-site scripting (XSS).

• Uso responsable de biometría sin almacenamiento en servidores; esto debe ser parte integral del diseño seguro.

Este resumen proporciona una visión clara sobre las medidas necesarias para garantizar la seguridad tanto en aplicaciones móviles como web, así como estrategias útiles para abordar exámenes relacionados con estos temas.

Vulnerabilidades de Seguridad en Aplicaciones Web

Vulnerabilidades Comunes

• Las vulnerabilidades más comunes en aplicaciones web incluyen Cross-Site Scripting (XSS), inyección SQL, implementaciones inseguras de control de acceso y configuraciones criptográficas inseguras.

• Se mencionan otros tipos de ataques como CSRF (Cross Request Forgery) y la publicación de información sensible. No se proporcionan definiciones, pero se sugiere consultar un enlace para más detalles.

OWASP Top 10

• Se hace referencia a la lista OWASP Top 10 del 2021, que actualiza las vulnerabilidades más relevantes desde el 2017. Esta lista es importante para entender las amenazas actuales.

• La discusión incluye cómo han cambiado las amenazas a lo largo del tiempo y la importancia de estar al tanto de estas actualizaciones.

Medidas de Protección

• Se menciona un documento actualizado que detalla las medidas de protección recomendadas, incluyendo formación en seguridad y arquitectura segura.

• Entre las medidas propuestas están: formación en seguridad, sistemas seguros, y una arquitectura diferenciada por firewalls siguiendo guías específicas.

Desarrollo Seguro

• La metodología para el desarrollo seguro debe incluir todos los aspectos relacionados con la seguridad durante el ciclo de vida del software.

• Se sugieren recomendaciones generales como el uso de HTTPS, métodos adecuados para solicitudes HTTP (GET/POST), filtrado de datos y gestión adecuada de errores.

Mejores Prácticas

• Es crucial minimizar la información proporcionada a los usuarios o atacantes mediante mensajes de error menos descriptivos.

• Se enfatiza la importancia en la gestión adecuada de logs, incluyendo rotación, ubicación y políticas necesarias para asegurar una buena trazabilidad.

Metodología de Análisis de Seguridad en Aplicaciones Web

Enfoques de Análisis

• Se discute la importancia de no ser rígidos en la aplicación de medidas de seguridad, sugiriendo un enfoque más flexible y menos clasificado.

• Se presentan dos metodologías: Caja Negra, que analiza vulnerabilidades desde el punto de vista del atacante externo, y Caja Blanca, que lo hace desde la perspectiva del desarrollador.

Seguridad Física y Nube

• La conversación se centra en cómo estructurar un documento sobre seguridad física antes de abordar temas relacionados con la nube.

• Se menciona la importancia de referirse a anexos específicos para asegurar que todas las medidas requeridas sean consideradas.

Medidas de Protección

• Se enumeran diversas medidas como mecanismos biométricos para acceso a CPDs, redundancia eléctrica y sistemas antiincendios.

• La protección contra inundaciones y el diseño adecuado para refrigeración son esenciales para mantener la disponibilidad del sistema.

Estrategias Adicionales

• Importancia del registro adecuado al entrar o salir del CPD, así como el borrado seguro de información al desechar sistemas físicos.

• Resalta la necesidad de tener sistemas alternativos y redundantes en caso de contingencias, incluyendo backups planificados.

Preguntas Comunes y Respuestas Estructuradas

• Se sugiere realizar diagramas arquitectónicos físicos y lógicos como parte del análisis requerido en preguntas específicas sobre seguridad.

• Discusión sobre cómo estructurar respuestas a preguntas relacionadas con medidas de seguridad a implantar en FIRE, enfatizando una respuesta organizada.

Despliegue en la Nube

• El organismo debe prestar atención a guías específicas como CCN TIC 820/823 al utilizar servicios en la nube.

Introducción a la Infraestructura en la Nube

Conceptos Básicos de Servicios en la Nube

• La infraestructura en la nube incluye servicios como Azure y AWS, así como software como servicio (SaaS), ejemplificado por herramientas como Power BI.

• Se diferencia entre "infraestructura como servicio" (IaaS), que permite el control sobre máquinas virtuales, y SaaS, donde el proveedor gestiona el software.

Proveedor de Servicios en la Nube (CSP)

• Es fundamental exigir al CSP medidas de protección a través de cláusulas contractuales para garantizar seguridad y cumplimiento normativo.

• Siempre habrá una empresa intermediaria al contratar con un CSP; esta empresa tiene responsabilidades específicas junto con el CSP.

Gestión de Seguridad y Logs

• El CSP debe proporcionar acceso a logs y herramientas de monitorización, lo cual es esencial para asegurar los servicios ofrecidos.

• Es importante ser coherente al implementar medidas de seguridad según las infraestructuras contratadas, evitando contradicciones.

Cumplimiento Normativo y Certificaciones

Requisitos del Proveedor

• Los proveedores deben cumplir con el Esquema Nacional de Seguridad (ENS); esto incluye certificaciones necesarias para operar legalmente.

• Cualquier software utilizado debe estar certificado bajo el ENS si se instala localmente o se utiliza como SaaS.

Categorías de Seguridad

• Los productos deben clasificarse en categorías adecuadas durante su proceso de categorización; muchos intentarán categorizarse en alto para cumplir requisitos más estrictos.

Acuerdos de Nivel de Servicio (SLAs)

Importancia de los SLAs

• Los acuerdos deben establecer claramente las expectativas sobre capacidad, disponibilidad y soporte técnico entre las partes involucradas.

• Un SLA efectivo es crucial para gestionar incidencias, asegurando que haya soporte disponible cuando sea necesario.

Consideraciones Legales

• Se deben considerar requisitos legales relacionados con la protección de datos, especialmente bajo regulaciones como el RGPD que limitan la ubicación geográfica del almacenamiento.

Análisis de Seguridad en la Nube

Importancia de los Logs y Notificaciones

• Se destaca la necesidad de tener acceso a logs para monitorear el estado del sistema, incluyendo caídas y notificaciones sobre incidentes de seguridad.

• Se menciona el SDA25 2022 como un sistema dinámico que regula la adquisición de software, tanto en nube como local.

Restricciones y Cláusulas Contractuales

• Los pliegos deben incluir cláusulas sobre la ubicación geográfica de los servidores, asegurando que estén dentro de la Unión Europea y cumplan con normativas como ISO 27001.

• Es esencial establecer conexiones seguras (HTTPS, VPN) y garantizar el borrado seguro de datos.

Cumplimiento Legal y Condiciones Geográficas

• La relación entre el Esquema Nacional de Seguridad, RGPD y leyes contractuales es crucial para asegurar un marco legal sólido al contratar servicios en la nube.

• Las condiciones geográficas pueden ser impuestas en contratos para proteger datos personales durante su transporte.

Riesgos Asociados a Proveedores

• Se discute el riesgo inherente al depender de proveedores externos; si fallan, puede haber consecuencias graves para la gestión de datos e infraestructura.

• La importancia de las cláusulas contractuales que aseguran continuidad del servicio ante posibles quiebras o problemas del proveedor.

Ventajas y Desafíos del Uso en Nube

• Aunque se reconoce que los servicios en la nube pueden ofrecer actualizaciones constantes y reducir carga operativa, también hay preocupaciones sobre riesgos asociados a proveedores inestables.

• Para pequeñas administraciones, las soluciones basadas en nube son vistas como una opción avanzada que permite flexibilidad sin necesidad de grandes infraestructuras propias.

Seguridad en la Nube y Autenticación Multifactor

Consideraciones sobre la Seguridad en Nubes

• La seguridad es un aspecto crucial al elegir un proveedor de nube, considerando su certificación y madurez operativa. Es importante que el CPD esté certificado como alto en el Esquema Nacional de Seguridad (EN).

• Un defecto notable de Nubes Sara es la falta de un acuerdo de nivel de servicio bien definido y una operativa madura, comparada con proveedores como AWS o Azure.

Autenticación Multifactor

• Se discute la necesidad de establecer recomendaciones claras para la autenticación multifactor, sugiriendo crear una tabla para facilitar su comprensión.

• Se menciona una guía útil sobre recomendaciones de seguridad para autenticación multifactor, que incluye tipos de autenticadores y contenido relevante.

Requisitos según el Esquema Nacional de Seguridad

• Los sistemas bajo el alcance del EN deben cumplir con requisitos específicos relacionados con integridad, confidencialidad, autenticidad y trazabilidad.

• El cumplimiento del EN se extiende más allá del sector público a entidades privadas como bancos y redes sociales, lo que resalta su relevancia generalizada.

Factores de Autenticación

• Para niveles bajos se permite un único factor de autenticación; sin embargo, para niveles medios se requieren al menos dos factores. Esto incluye contraseñas o PIN que deben cumplir con criterios específicos.

• El Esquema Nacional de Seguridad hace referencia a guías específicas sobre criptografía que son esenciales para entender los requisitos técnicos necesarios.

Mecanismos Específicos para Usuarios

• Para usuarios externos en nivel medio se utilizará un sistema clave que garantice una calidad sustancial en la autenticación conforme a las normativas vigentes.

• Se mencionan varios métodos aceptables bajo Eidas 2, incluyendo certificados digitales y claves móviles con OTP. Estos métodos son fundamentales para asegurar la identidad digital.

Importancia del Estudio Detallado

• La preparación adecuada es esencial; conocer las normativas y guías relacionadas permitirá responder eficazmente a preguntas durante evaluaciones o exámenes relacionados con seguridad informática.

• La guía sobre criptología es compleja pero necesaria; abarca aspectos técnicos críticos como longitud de claves y funciones hash que son vitales para garantizar la seguridad en sistemas informáticos.

Guía de Seguridad: Confidencialidad, Integridad y Disponibilidad

Confidencialidad

• Se menciona la importancia de documentar adecuadamente en los diagramas de casos de uso y arquitectura lógica para asegurar la confidencialidad. Se sugiere utilizar la guía CCNC 807 sobre criptología.

• La guía CCN Stick 811 se cita como referencia para asegurar el perímetro y proteger soportes de información que contengan datos sensibles.

• Se deben atender las medidas específicas del anexo 2 relacionadas con protección de datos personales y firma electrónica, así como clasificar amenazas según el tipo de individuo.

• Se discute quién puede acceder al sistema, enfatizando que los ataques pueden provenir incluso de empleados autorizados, lo que requiere medidas preventivas robustas.

• Es importante personalizar las medidas mencionadas en la guía para reflejar un entendimiento profundo del contenido.

Integridad

• Para proteger la integridad, se vuelve a citar la guía CCNC 807. Se menciona el uso de medidas MPC con 3 para prevenir ataques activos a la integridad.

• Los tipos de ataques a prevenir incluyen alteración en tránsito e inyección de información espuria; se destaca que estas son definiciones literales extraídas del documento.

• La necesidad de ser prácticos al abordar preguntas es subrayada; se sugiere preparar respuestas concisas basadas en el contenido relevante.

• El uso de productos certificados por el CCN es esencial, así como implementar redes privadas virtuales cifradas para mantener la integridad durante las comunicaciones externas.

• La firma electrónica es destacada como un mecanismo clave para garantizar tanto la integridad como la confidencialidad mediante acceso controlado.

Disponibilidad

• La disponibilidad se define como todo lo necesario para mantener el sistema operativo. Se establece un objetivo RTTO menor a 4 horas basado en consideraciones prácticas del examen.

• Se advierte sobre posibles incoherencias al categorizar niveles; se debe tener cuidado con las dimensiones establecidas previamente en seguridad física.

• En cuanto a seguridad física, se mencionan estrategias como CPDs redundados y separación física para contener ataques potenciales relacionados con disponibilidad.

• Al hablar sobre trazabilidad, se hace referencia nuevamente a guías relevantes (CCN stick 811), enfatizando registros detallados y auditorías sistemáticas.

• Las mejores prácticas en gestión de logs son esenciales; esto incluye auditoría y control riguroso del acceso a registros críticos dentro del sistema.

Reflexiones Finales

• El presentador busca simplificar conceptos complejos relacionados con seguridad informática, sugiriendo una aproximación práctica ante preguntas difíciles durante evaluaciones o exámenes.

¿Cómo aplicar el Esquema Nacional de Seguridad y la Protección de Datos?

Introducción al Esquema Nacional de Seguridad

• Se menciona la importancia del Esquema Nacional de Seguridad, aunque se critica su simplificación excesiva. La idea es que cada uno llegue a donde pueda en su comprensión.

Protección de Datos: Teoría y Práctica

• La protección de datos se presenta como un tema teórico, pero se enfatiza la necesidad de ejercicios prácticos que involucren derechos y principios aplicables.

• Se destaca una desconexión entre el estudio teórico y los supuestos prácticos, sugiriendo que muchos ignoran aspectos importantes del contenido teórico al enfrentarse a situaciones prácticas.

Principios Relativos al Tratamiento de Datos

• Se introduce el concepto de licitud en el tratamiento de datos personales, cuestionando si es lícito solicitar información sensible como el grupo sanguíneo sin consentimiento.

Consentimiento Informado

• Para que un tratamiento sea considerado lícito, debe basarse en condiciones específicas como el consentimiento informado, que debe ser claro y específico para cada tratamiento.

• El consentimiento debe incluir información sobre la identidad del responsable del tratamiento, los fines del mismo y cómo puede ser retirado por el interesado.

Condiciones Alternativas para la Licitud

• Existen otras bases legales para tratar datos sin necesidad de consentimiento explícito:

• Por contrato: Cuando se trata datos necesarios para cumplir con un contrato (ejemplo: inscripción en un gimnasio).

• Obligación legal: Tratamientos realizados por administraciones públicas bajo mandato legal.

• Interés público: Actividades realizadas por entidades públicas en cumplimiento de sus funciones.

Ejemplos Prácticos

• Ejemplos incluyen tratamientos relacionados con multas o gestión fiscal por parte de administraciones públicas. Estos tratamientos son considerados legítimos bajo interés público o obligación legal.

Interés Vital y Legítimo

• Se menciona también el interés vital en situaciones críticas (como emergencias sanitarias), así como tratamientos basados en intereses legítimos para prevenir fraudes.

¿Cuáles son los principios del tratamiento de datos personales?

Principios Relativos al Tratamiento de Datos

• La licitud es fundamental en el tratamiento de datos; las administraciones públicas deben actuar con lealtad y transparencia.

• Se sugiere que la información se presente por capas para evitar la fatiga informativa, facilitando así el ejercicio de derechos a los ciudadanos.

• Es importante adaptar la información según el colectivo vulnerable, considerando diferencias entre jóvenes y ancianos en el contexto del tratamiento de datos.

Limitación y Finalidad del Tratamiento

• Los datos deben ser recogidos para finalidades específicas, explícitas y legítimas; no se pueden usar para fines incompatibles posteriormente.

• Existen excepciones para fines estadísticos o archivísticos que no se consideran incompatibles con los propósitos iniciales.

Exactitud y Conservación de Datos

• Los responsables del tratamiento deben asegurarse de que los datos sean exactos y actualizados, tomando medidas razonables para corregir cualquier inexactitud.

• La conservación de datos debe limitarse al tiempo necesario; sin embargo, pueden ser útiles para fines estadísticos o aprendizaje.

Integridad, Confidencialidad y Responsabilidad Proactiva

• Es crucial mantener la integridad y confidencialidad de los datos personales; esto implica protegerlos adecuadamente.

• La responsabilidad proactiva es esencial; el responsable del tratamiento debe demostrar cumplimiento con los principios establecidos en el RGPD.

Tratamiento de Categorías Especiales de Datos

• El RGPD establece directrices claras sobre cómo tratar categorías especiales como origen étnico, opiniones políticas o salud.

• Se prohíbe el tratamiento que revele información sensible a menos que cumpla con condiciones específicas establecidas por la ley.

Reglamento General de Protección de Datos (RGPD) y su Aplicación

Prohibiciones Generales en el Tratamiento de Datos

• El RGPD prohíbe el tratamiento de datos sensibles como salud, vida sexual, orientación sexual y datos biométricos que permitan identificar a una persona.

• La prohibición general puede ser levantada en casos excepcionales, siempre que se justifique adecuadamente el tratamiento de estos datos.

Consentimiento Explícito para Datos Biométricos

• Se requiere consentimiento explícito para el uso de huellas digitales o iris, especialmente en contextos como acceso a instalaciones deportivas.

• La Agencia Española de Protección de Datos ha sancionado a gimnasios por no cumplir con la normativa sobre el tratamiento de huellas digitales.

Excepciones al Tratamiento Prohibido

• El tratamiento es lícito si es necesario para cumplir obligaciones legales o si la persona ha dado su consentimiento expreso.

• Ejemplos incluyen datos médicos publicados en redes sociales; sin embargo, esto plantea dilemas sobre la protección del honor y derechos de las víctimas.

Consideraciones Prácticas en el Tratamiento de Datos

• Es crucial tener presente cómo se manejan los datos sensibles y solicitar consentimiento explícito cuando sea necesario.

• Se deben considerar las implicaciones éticas y legales al tratar información sensible, especialmente en casos mediáticos.

Responsabilidades del Responsable del Tratamiento

• El responsable del tratamiento debe demostrar cumplimiento con el RGPD mediante evidencias documentadas.

• La responsabilidad recae sobre el responsable del tratamiento, quien debe estar preparado ante inspecciones por parte de la Agencia Española de Protección de Datos.

Cambios Normativos y Efectos Prácticos

• Con la nueva LOPD GDD, los registros deben ser públicos y gestionados por responsables designados.

• La carga administrativa ha cambiado; ahora se espera que los responsables mantengan un registro claro sin necesidad constante de notificación a la agencia reguladora.

Cumplimiento proactivo del RGPD

Importancia de la Proactividad en el Cumplimiento

• Es esencial cumplir de forma proactiva con el RGPD y demostrarlo ante la autoridad competente y las personas cuyos datos se manejan.

• La falta de actualización en los textos legales, como la LOPD 1999, puede resultar en sanciones. Es importante estar al tanto de las normativas vigentes.

Registro de Actividades del Tratamiento (RAT)

• El RAT es una herramienta clave que exige el RGPD para que los responsables demuestren su conformidad.

• En el contexto del RGPD, solo existe un "responsable del tratamiento", a diferencia de otros roles dentro de una organización.

Mantenimiento y Supervisión

• Los responsables deben mantener registros detallados sobre las actividades de tratamiento y colaborar con la autoridad de control.

• Se debe incluir información sobre el responsable del tratamiento y, si aplica, sobre el delegado de protección de datos en el RAT.

Delegado de Protección de Datos: Funciones y Requisitos

Necesidad del Delegado

• Las administraciones públicas están obligadas a tener un delegado; sin embargo, no todos los dentistas o pequeñas empresas lo requieren.

• Un delegado es necesario cuando se realiza un tratamiento sistemático a gran escala o se manejan categorías especiales de datos.

Funciones Clave del Delegado

• Actúa como asesor para informar y documentar actividades relacionadas con la protección de datos.

• Supervisa políticas internas, auditorías anuales y gestiona quiebras de seguridad.

Relación entre Responsable y Delegado

Supervisión y Consultas

• El delegado supervisa que se notifiquen incidentes a la Agencia Española en plazos establecidos.

• Debe cooperar con la Agencia Española durante sus tareas e interactuar directamente con interesados.

Posición Organizativa

• El delegado debe tener un alto nivel dentro de la organización, asegurando recursos adecuados para desempeñar su función efectivamente.

• Su nombramiento debe ser comunicado a todo el personal; no puede ser alguien sin experiencia o poder suficiente.

Registro de Actividades del Tratamiento y Delegado de Protección de Datos

Importancia del Delegado de Protección de Datos

• El delegado de protección de datos es nombrado por el responsable del tratamiento y debe ser registrado en las actividades del tratamiento, especialmente en la administración pública.

Elementos Clave del Registro de Actividades

• Es fundamental que el registro incluya los fines del tratamiento, como cumplimiento normativo relacionado con subvenciones y censos electorales.

• Se menciona la centralización de la seguridad social en temas relacionados con protección de datos, lo cual es crucial para gestionar derechos.

Ejemplos Prácticos en Seguridad Social

• Se revisan tratamientos específicos como el acceso al archivo de clases pasivas, donde se identifica al delegado y su contacto.

• La información sobre el delegado incluye su rol dentro de una subdirección específica, destacando la importancia organizativa.

Fines y Bases Jurídicas

• El registro electrónico general permite gestionar documentos a través del sistema SIR; se discute quién es responsable del tratamiento.

• Se enfatiza que los fines deben estar claramente definidos junto con la base jurídica correspondiente según el RGPD.

Evaluación Crítica del Registro

• Se señala que algunos registros carecen de referencias legales específicas necesarias para una gestión adecuada.

• La discusión resalta que ciertos registros están incompletos respecto a categorías e información personal necesaria para un manejo efectivo.

Ejercicio de Registro de Actividades del Tratamiento

Introducción al ejercicio

• Se propone un ejercicio para la próxima semana: escribir un registro de actividades del tratamiento basado en uno de los supuestos presentados.

• Los participantes deben reflexionar sobre cómo redactarían este registro en un examen.

Contenido mínimo del registro

• El contenido debe incluir destinatarios, transferencia internacional, plazos para la supresión de datos y medidas técnicas y de seguridad.

• Es importante identificar quién es el responsable del tratamiento, que generalmente será una unidad de negocio.

Legitimación y normativa aplicable

• La Agencia Española de Protección de Datos exige incluir la base legal del tratamiento, especialmente para administraciones públicas.

• Las administraciones deben elaborar y publicar sus registros en páginas web o portales de transparencia.

Publicidad y Derechos de los Ciudadanos

Publicación del registro

• Al finalizar el registro, se debe indicar que será publicado en el portal correspondiente para cumplir con la normativa sobre publicidad.

Ejemplo práctico: Ayuntamiento de Madrid

• Se menciona cómo el Ayuntamiento proporciona información sobre protección de datos a los ciudadanos mediante su Delegación de Protección de Datos.

Derechos afectados

• Se enumeran derechos como acceso, rectificación, derecho al olvido y limitación del tratamiento.

• Se destaca la importancia del cumplimiento normativo y proactividad en la gestión.

Proactividad en el Registro

Actualización constante

• Un buen ejemplo incluye mantener datos actualizados (ejemplo: hasta mayo 2024), lo cual refleja responsabilidad proactiva.

Comparativa con otros registros

• Se comparan diferentes registros administrativos destacando las mejoras en presentación e información proporcionada.

Gestión de Brechas de Seguridad

Análisis caso por caso

• La gestión ante brechas implica analizar cada caso individualmente evaluando impacto sobre derechos y libertades.

Implementación organizacional

• El responsable debe establecer sistemas dentro de su organización para detectar brechas efectivamente.

¿Cómo se gestionan las brechas de seguridad en el tratamiento de datos?

Notificación de Brechas de Seguridad

• El responsable del tratamiento tiene un plazo de 72 horas para notificar a la Agencia Española de Protección de Datos sobre una brecha de seguridad.

• La notificación debe incluir información sobre la naturaleza de la violación, así como los derechos y libertades alterados.

• Se deben especificar las categorías y número aproximado de interesados afectados, así como los registros personales comprometidos.

• Es importante proporcionar el nombre y contacto del delegado de protección de datos o un punto de contacto alternativo si no hay delegado designado.

• Las posibles consecuencias incluyen daños a la reputación y riesgos para los afectados, como extorsiones.

Evaluación del Impacto

• La evaluación del impacto es un proceso sistemático que identifica riesgos para la privacidad antes del tratamiento, especialmente si se utilizan nuevas tecnologías.

• Se realiza una evaluación exhaustiva cuando el tratamiento puede presentar un alto riesgo o involucra decisiones automatizadas que afectan legalmente a personas.

• Ejemplos incluyen la elaboración automática de perfiles que pueden identificar potenciales clientes o delincuentes basándose en datos sensibles.

• En casos donde se observa sistemáticamente una zona pública, es necesario realizar una evaluación previa al tratamiento para gestionar riesgos adecuadamente.

• El proceso incluye describir el tratamiento, gestionar riesgos e implementar medidas correctivas documentadas en un informe.

Consideraciones Finales sobre Tratamiento y Seguridad

• La evaluación del impacto es crucial cuando se manejan datos sensibles o se realizan tratamientos a gran escala con alto riesgo asociado.

• No es necesario realizar evaluaciones si los datos no son considerados categorías especiales según el artículo 9 del RGPD; sin embargo, sí deben inscribirse en el registro correspondiente.

• Es fundamental designar un delegado de protección por ser administración pública y aplicar medidas adecuadas según lo estipulado por la ley vigente.

• La plataforma debe permitir consultar datos solo con consentimiento expreso del interesado, habilitando opciones claras para ejercer este derecho.

Evaluación del Impacto y Gestión de Derechos en Protección de Datos

Importancia de la Evaluación del Impacto

• Se menciona que el tratamiento de datos debe incluirse en el Registro de Actividades del Tratamiento (RAT) del Ministerio, y es crucial consultar con el delegado de protección de datos sobre la necesidad de realizar una evaluación del impacto.

Procedimientos para la Gestión de Derechos

• Es necesario desarrollar procedimientos que faciliten a los ciudadanos gestionar sus derechos ante los responsables de la aplicación. Esto se considera esencial para cerrar el círculo en la protección de datos.

Reflexiones sobre el Curso

• El presentador destaca que ha sido un tema denso y rápido, sugiriendo que los participantes revisen el material por su cuenta debido a la complejidad y velocidad del contenido presentado.

Preguntas sobre Contenido Examinable

• Se discute si ciertos temas son preguntables en exámenes, mencionando específicamente derechos como acceso y rectificación, lo cual podría ser relevante para futuros exámenes.

Roles en Protección de Datos

• Se aclara la diferencia entre responsable y encargado del tratamiento: el responsable determina fines y medios, mientras que el encargado ejecuta las acciones relacionadas con los datos. Esta distinción es fundamental para entender las responsabilidades dentro del marco legal.

Registro de Actividades del Tratamiento

• La capacidad para elaborar un registro detallado es vital; debe incluir aspectos como licitud, fines, categorías, delegado responsable y transferencias internacionales. Este conocimiento es clave para enfrentar preguntas teóricas durante evaluaciones.