Seguridad del tratamiento
1. Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, que en su caso incluya, entre otros: a) la seudonimización y el cifrado de datos personales; ES 4.5.2016 b) la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento; c) la capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico; d) un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento. 2. Al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, en particular como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos. 3. La adhesión a un código de conducta aprobado a tenor del artículo 40 o a un mecanismo de certificación aprobado a tenor del artículo 42 podrá servir de elemento para demostrar el cumplimiento de los requisitos establecidos en el apartado 1 del presente artículo. 4. El responsable y el encargado del tratamiento tomarán medidas para garantizar que cualquier persona que actúe bajo la autoridad del responsable o del encargado y tenga acceso a datos personales solo pueda tratar dichos datos siguiendo instrucciones del responsable, salvo que esté obligada a ello en virtud del Derecho de la Unión o de los Estados miembros.
Controles del Anexo A de ISO 27001 relacionados34
Los 93 controles del Anexo A de ISO/IEC 27001:2022 tienen la misma numeración y título que ISO/IEC 27002:2022, que aporta la guía de implantación de cada uno. Los derechos de los titulares se cubren con 5.34 y, en detalle, con ISO 27701.
Justificación Técnica
Confidencialidad protege datos procesados por personal.
Evidencias Sugeridas
NDAs firmados
Justificación Técnica
Trabajo remoto seguro protege datos fuera de oficina.
Evidencias Sugeridas
Política de teletrabajo
Justificación Técnica
Capacitación es medida organizativa fundamental.
Evidencias Sugeridas
Programa de formación, registros
Justificación Técnica
Las políticas definen el marco de seguridad del tratamiento.
⚡ Acción Requerida para TI (Enfoque Informático)
Para dar cumplimiento al Principio de Juridicidad, el área de TI debe formalizar, documentar y publicar la Directriz General de Seguridad, asegurando que existan políticas explícitas sobre el ciclo de vida y protección de los datos personales.
Evidencias Sugeridas
Política de Seguridad de la Información
Justificación Técnica
La segregación de funciones es una medida organizativa de seguridad.
Evidencias Sugeridas
Matriz de segregación, controles de acceso
Justificación Técnica
La clasificación determina el nivel de seguridad requerido.
Evidencias Sugeridas
Política de clasificación
Justificación Técnica
Reglas de transferencia segura protegen datos en tránsito.
Evidencias Sugeridas
Política de transferencia, cifrado de datos
Justificación Técnica
El control de acceso es medida técnica fundamental para seguridad del tratamiento.
Evidencias Sugeridas
Política de acceso, configuración de sistemas
Justificación Técnica
Gestión de credenciales es medida técnica de seguridad.
Evidencias Sugeridas
Política de contraseñas, MFA
Justificación Técnica
Gestión de derechos de acceso asegura acceso autorizado.
Evidencias Sugeridas
Procedimiento de gestión de accesos
Justificación Técnica
Cadena de suministro segura protege datos en subcontratistas.
Evidencias Sugeridas
Evaluación de cadena de suministro
Justificación Técnica
Seguridad en cloud es parte de medidas técnicas.
Evidencias Sugeridas
Contratos cloud, certificaciones del proveedor
Justificación Técnica
Aprendizaje mejora medidas de seguridad.
Evidencias Sugeridas
Informes post-incidente, acciones correctivas
Justificación Técnica
El control exige identificar y aplicar los requisitos de protección de la PII; es el punto de apoyo de ISO 27002 para la seguridad del tratamiento.
Evidencias Sugeridas
Política de protección de datos
Justificación Técnica
Selección adecuada reduce riesgo de amenazas internas.
Evidencias Sugeridas
Procedimiento de selección
Justificación Técnica
Términos de empleo incluyen obligaciones de seguridad.
Evidencias Sugeridas
Contratos con cláusulas de confidencialidad
Justificación Técnica
Seguridad física es medida técnica complementaria.
Evidencias Sugeridas
Planos de zonas seguras
Entradas físicas
Justificación Técnica
Control de entradas previene acceso no autorizado.
Evidencias Sugeridas
Registros de acceso físico
Justificación Técnica
Escritorio limpio previene exposición de datos.
Evidencias Sugeridas
Política de escritorio limpio
Justificación Técnica
Gestión de medios protege datos en dispositivos.
Evidencias Sugeridas
Cifrado de medios, inventario
Justificación Técnica
Seguridad de endpoints es medida técnica.
Evidencias Sugeridas
Política de dispositivos, configuración
Justificación Técnica
Gestión de privilegios es control crítico de seguridad.
Evidencias Sugeridas
PAM, revisiones de privilegios
Justificación Técnica
Restricción de acceso es medida técnica fundamental.
Evidencias Sugeridas
Configuración de permisos
Justificación Técnica
Autenticación segura es base de control de acceso.
Evidencias Sugeridas
MFA, políticas de autenticación
Justificación Técnica
Antimalware protege integridad y disponibilidad.
Evidencias Sugeridas
Solución antimalware, registros
Justificación Técnica
Gestión de vulnerabilidades reduce riesgos técnicos.
Evidencias Sugeridas
Escaneos, plan de remediación
Justificación Técnica
Seudonimización es medida técnica del Art. 32.
Evidencias Sugeridas
Implementación de seudonimización
Justificación Técnica
DLP es medida técnica contra fugas de datos.
Evidencias Sugeridas
Solución DLP, políticas
Justificación Técnica
Backup garantiza disponibilidad y resiliencia.
Evidencias Sugeridas
Política de backup, pruebas
Justificación Técnica
Logging permite detectar y auditar accesos.
Evidencias Sugeridas
Política de logging, retención
Justificación Técnica
Cifrado es medida técnica explícita del Art. 32.
Evidencias Sugeridas
Política de cifrado, implementación
Justificación Técnica
Seguridad de redes protege datos en tránsito.
Evidencias Sugeridas
Diseño de red segura, firewalls
Justificación Técnica
Segregación de redes aísla sistemas críticos.
Evidencias Sugeridas
Segmentación de red
Justificación Técnica
Separación evita exposición de datos reales en desarrollo.
Evidencias Sugeridas
Ambientes separados