Deber de adoptar medidas de seguridad
El responsable de datos debe adoptar las medidas necesarias para resguardar el cumplimiento del principio de seguridad establecido en esta ley, considerando el estado actual de la técnica y los costos de aplicación, junto con la naturaleza, alcance, contexto y fines del tratamiento, así como la probabilidad de los riesgos y la gravedad de sus efectos en relación con el tipo de datos tratados. Las medidas aplicadas por el responsable deben asegurar la confidencialidad, integridad, disponibilidad y resiliencia de los sistemas de tratamiento de datos. Asimismo, deberán evitar la alteración, destrucción, pérdida, tratamiento o acceso no autorizado. En consideración al estado de la técnica, los costos de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como los riesgos de probabilidad y gravedad variables para los derechos y libertades de los titulares, el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, que en su caso incluya, entre otros: a) La seudonimización y el cifrado de datos personales. b) La capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento. c) La capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico. d) Un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento. Ante la ocurrencia de un incidente de seguridad, y en caso de controversia judicial o administrativa, corresponderá al responsable acreditar la existencia y el funcionamiento de las medidas de seguridad adoptadas en base a los niveles de riesgo y a la tecnología disponible.
Controles del Anexo A de ISO 27001 relacionados32
Los 93 controles del Anexo A de ISO/IEC 27001:2022 tienen la misma numeración y título que ISO/IEC 27002:2022, que aporta la guía de implantación de cada uno. Los derechos de los titulares se cubren con 5.34 y, en detalle, con ISO 27701.
Justificación Técnica
Las políticas de seguridad son la base documental de las medidas técnicas y organizativas que exige el deber de seguridad.
⚡ Acción Requerida para TI (Enfoque Informático)
Para dar cumplimiento al Principio de Juridicidad, el área de TI debe formalizar, documentar y publicar la Directriz General de Seguridad, asegurando que existan políticas explícitas sobre el ciclo de vida y protección de los datos personales.
Evidencias Sugeridas
Política de Seguridad de la Información aprobada, Evidencia de comunicación a empleados
Justificación Técnica
La segregación de funciones reduce el riesgo de acceso no autorizado a datos personales como medida organizativa de seguridad.
Evidencias Sugeridas
Matriz de segregación de funciones, Controles de acceso basados en roles
Justificación Técnica
El control de acceso es una medida técnica fundamental para proteger datos personales contra acceso no autorizado.
Evidencias Sugeridas
Política de control de acceso, Matriz de acceso, Configuración de sistemas
Justificación Técnica
La gestión segura de credenciales protege el acceso a sistemas que procesan datos personales.
Evidencias Sugeridas
Política de contraseñas, Configuración de requisitos de autenticación
Justificación Técnica
La gestión de derechos de acceso es una medida organizativa que asegura que solo personal autorizado acceda a datos personales.
Evidencias Sugeridas
Procedimiento de gestión de accesos, Registro de autorizaciones
Justificación Técnica
Los acuerdos deben incluir las medidas de seguridad que el proveedor debe implementar.
Evidencias Sugeridas
Anexos de seguridad en contratos, SLAs de seguridad
Justificación Técnica
La gestión de la cadena de suministro TIC asegura que los componentes no comprometan la seguridad de datos personales.
Evidencias Sugeridas
Evaluación de seguridad de proveedores TIC
Justificación Técnica
El aprendizaje de incidentes mejora las medidas de seguridad implementadas para prevenir futuras violaciones.
Evidencias Sugeridas
Informes post-incidente, Acciones de mejora implementadas
Justificación Técnica
El control exige identificar y aplicar los requisitos de protección de la PII; es el punto de apoyo de ISO 27002 para las medidas de seguridad que exige la ley.
Evidencias Sugeridas
Política de protección de datos, Análisis de impacto de privacidad
Justificación Técnica
La selección adecuada de personal reduce el riesgo de que personas no confiables accedan a datos personales.
Evidencias Sugeridas
Procedimiento de selección, Verificación de antecedentes
Justificación Técnica
La capacitación en seguridad es una medida organizativa fundamental para que el personal proteja adecuadamente los datos.
Evidencias Sugeridas
Programa de capacitación, Registros de asistencia, Evaluaciones
Justificación Técnica
El proceso disciplinario disuade y sanciona violaciones de seguridad que puedan afectar datos personales.
Evidencias Sugeridas
Política disciplinaria, Registros de sanciones relacionadas con seguridad
Justificación Técnica
La seguridad en trabajo remoto protege los datos personales cuando se acceden desde fuera de la organización.
Evidencias Sugeridas
Política de trabajo remoto, Controles de seguridad para teletrabajo
Justificación Técnica
Los perímetros de seguridad física protegen las instalaciones donde se procesan datos personales.
Evidencias Sugeridas
Planos de zonas seguras, Controles de perímetro
Entradas físicas
Justificación Técnica
El control de entradas físicas previene el acceso no autorizado a áreas donde se tratan datos personales.
Evidencias Sugeridas
Registros de acceso, Sistema de control de acceso físico
Justificación Técnica
La supervisión física (CCTV, guardias) disuade y detecta intentos de acceso no autorizado a datos.
Evidencias Sugeridas
Sistema de videovigilancia, Procedimiento de monitoreo
Justificación Técnica
La gestión segura de medios de almacenamiento protege los datos personales en dispositivos portátiles y removibles.
Evidencias Sugeridas
Procedimiento de gestión de medios, Cifrado de dispositivos portátiles
Justificación Técnica
La protección de dispositivos endpoint previene el acceso no autorizado a datos personales desde dispositivos de usuario.
Evidencias Sugeridas
Política de dispositivos, Configuración de seguridad de endpoints
Justificación Técnica
La gestión de accesos privilegiados es crítica para proteger datos personales contra uso indebido por usuarios con altos privilegios.
Evidencias Sugeridas
Política de privilegios, Revisiones de cuentas privilegiadas, PAM
Justificación Técnica
La restricción de acceso a información asegura que solo personal autorizado acceda a datos personales según su rol.
Evidencias Sugeridas
Matriz de control de acceso, Configuración de permisos
Justificación Técnica
La autenticación segura es fundamental para verificar la identidad antes de permitir acceso a datos personales.
Evidencias Sugeridas
Configuración de autenticación, MFA implementado, Logs de autenticación
Justificación Técnica
La protección contra malware previene el robo o corrupción de datos personales por software malicioso.
Evidencias Sugeridas
Solución antimalware, Registros de detección, Configuración de protección
Justificación Técnica
La gestión de vulnerabilidades reduce el riesgo de explotación de debilidades que podrían comprometer datos personales.
Evidencias Sugeridas
Reportes de escaneo de vulnerabilidades, Plan de remediación
Justificación Técnica
La gestión de configuración asegura que los sistemas estén configurados de forma segura para proteger datos personales.
Evidencias Sugeridas
Líneas base de configuración, Revisiones de configuración
Justificación Técnica
La prevención de fuga de datos (DLP) es una medida técnica directa para evitar divulgación no autorizada de datos personales.
Evidencias Sugeridas
Solución DLP, Políticas de prevención de fuga, Alertas configuradas
Justificación Técnica
Las copias de seguridad protegen la disponibilidad de datos personales ante pérdida o daño.
Evidencias Sugeridas
Política de backup, Registros de respaldo, Pruebas de restauración
Justificación Técnica
El registro de actividades (logging) permite detectar y auditar accesos no autorizados a datos personales.
Evidencias Sugeridas
Política de logging, Logs de acceso a datos, Retención de logs
Justificación Técnica
La criptografía es una medida técnica fundamental para proteger la confidencialidad e integridad de datos personales.
Evidencias Sugeridas
Política de cifrado, Cifrado de datos en reposo y tránsito, Gestión de llaves
Justificación Técnica
La seguridad de redes protege los datos personales durante su transmisión por la red.
Evidencias Sugeridas
Diseño de red segura, Firewalls, Segmentación
Justificación Técnica
La segregación de redes aísla los sistemas que procesan datos personales de otras redes.
Evidencias Sugeridas
Diagrama de segmentación, VLANs configuradas
Justificación Técnica
La separación de entornos asegura que los datos personales de producción no se expongan en desarrollo o pruebas.
Evidencias Sugeridas
Política de separación de ambientes, Evidencia de ambientes aislados
Justificación Técnica
La inteligencia de amenazas informa la valoración de la probabilidad y gravedad de los riesgos para elegir las medidas de seguridad.
Evidencias Sugeridas
Informes de amenazas, Metodología de análisis de riesgos