Seguridad de datos personales
El responsable o encargado del tratamiento de datos personales según sea el caso, deberá sujetarse al principio de seguridad de datos personales, para lo cual deberá tomar en cuenta las categorías y volumen de datos personales, el estado de la técnica, mejores prácticas de seguridad integral y los costos de aplicación de acuerdo a la naturaleza, alcance, contexto y los fines del tratamiento, así como identificar la probabilidad de riesgos. El responsable o encargado del tratamiento de datos personales, deberá implementar un proceso de verificación, evaluación y valoración continua y permanente de la eficiencia, eficacia y efectividad de las medidas de carácter técnico, organizativo y de cualquier otra índole, implementadas con el objeto de garantizar y mejorar la seguridad del tratamiento de datos personales. El responsable o encargado del tratamiento de datos personales deberá evidenciar que las medidas adoptadas e implementadas mitiguen de forma adecuada los riesgos identificados Entre otras medidas, se podrán incluir las siguientes; 1) Medidas de anonimización, seudonomización o cifrado de datos personales; 2) Medidas dirigidas a mantener la confidencialidad, integridad y disponibilidad permanentes de los sistemas y servicios del tratamiento de datos personales y el acceso a los datos personales, de forma rápida en caso de incidentes; y 3) Medidas dirigidas a mejorar la residencia técnica, física, administrativa, y jurídica. 4) Los responsables y encargados del tratamiento de datos personales, podrán acogerse a estándares internacionales para una adecuada gestión de riesgos enfocada a la protección de derechos y libertades, así como para la implementación y manejo de sistemas de seguridad de la información o a códigos de conducta reconocidos y autorizados por la Autoridad de Protección de Datos Personales.
Controles del Anexo A de ISO 27001 relacionados31
Los 93 controles del Anexo A de ISO/IEC 27001:2022 tienen la misma numeración y título que ISO/IEC 27002:2022, que aporta la guía de implantación de cada uno. Los derechos de los titulares se cubren con 5.34 y, en detalle, con ISO 27701.
Justificación Técnica
Las políticas de seguridad son la base documental para implementar las medidas de seguridad técnicas y organizativas que exige el artículo 37.
⚡ Acción Requerida para TI (Enfoque Informático)
Para dar cumplimiento al Principio de Juridicidad, el área de TI debe formalizar, documentar y publicar la Directriz General de Seguridad, asegurando que existan políticas explícitas sobre el ciclo de vida y protección de los datos personales.
Evidencias Sugeridas
Política de Seguridad de la Información aprobada, Evidencia de comunicación a empleados
Justificación Técnica
La segregación de funciones reduce el riesgo de acceso no autorizado a datos personales como medida organizativa de seguridad.
Evidencias Sugeridas
Matriz de segregación de funciones, Controles de acceso basados en roles
Justificación Técnica
El control de acceso es una medida técnica fundamental para proteger datos personales contra acceso no autorizado.
Evidencias Sugeridas
Política de control de acceso, Matriz de acceso, Configuración de sistemas
Justificación Técnica
La gestión segura de credenciales protege el acceso a sistemas que procesan datos personales.
Evidencias Sugeridas
Política de contraseñas, Configuración de requisitos de autenticación
Justificación Técnica
La gestión de derechos de acceso es una medida organizativa que asegura que solo personal autorizado acceda a datos personales.
Evidencias Sugeridas
Procedimiento de gestión de accesos, Registro de autorizaciones
Justificación Técnica
Los acuerdos deben incluir las medidas de seguridad que el proveedor debe implementar.
Evidencias Sugeridas
Anexos de seguridad en contratos, SLAs de seguridad
Justificación Técnica
La gestión de la cadena de suministro TIC asegura que los componentes no comprometan la seguridad de datos personales.
Evidencias Sugeridas
Evaluación de seguridad de proveedores TIC
Justificación Técnica
El aprendizaje de incidentes mejora las medidas de seguridad implementadas para prevenir futuras violaciones.
Evidencias Sugeridas
Informes post-incidente, Acciones de mejora implementadas
Justificación Técnica
El control exige identificar y aplicar los requisitos de protección de la PII; es el punto de apoyo de ISO 27002 para las medidas de seguridad que exige la ley.
Evidencias Sugeridas
Política de protección de datos, Análisis de impacto de privacidad
Justificación Técnica
La selección adecuada de personal reduce el riesgo de que personas no confiables accedan a datos personales.
Evidencias Sugeridas
Procedimiento de selección, Verificación de antecedentes
Justificación Técnica
La capacitación en seguridad es una medida organizativa fundamental para que el personal proteja adecuadamente los datos.
Evidencias Sugeridas
Programa de capacitación, Registros de asistencia, Evaluaciones
Justificación Técnica
El proceso disciplinario disuade y sanciona violaciones de seguridad que puedan afectar datos personales.
Evidencias Sugeridas
Política disciplinaria, Registros de sanciones relacionadas con seguridad
Justificación Técnica
La seguridad en trabajo remoto protege los datos personales cuando se acceden desde fuera de la organización.
Evidencias Sugeridas
Política de trabajo remoto, Controles de seguridad para teletrabajo
Justificación Técnica
Los perímetros de seguridad física protegen las instalaciones donde se procesan datos personales.
Evidencias Sugeridas
Planos de zonas seguras, Controles de perímetro
Entradas físicas
Justificación Técnica
El control de entradas físicas previene el acceso no autorizado a áreas donde se tratan datos personales.
Evidencias Sugeridas
Registros de acceso, Sistema de control de acceso físico
Justificación Técnica
La supervisión física (CCTV, guardias) disuade y detecta intentos de acceso no autorizado a datos.
Evidencias Sugeridas
Sistema de videovigilancia, Procedimiento de monitoreo
Justificación Técnica
La gestión segura de medios de almacenamiento protege los datos personales en dispositivos portátiles y removibles.
Evidencias Sugeridas
Procedimiento de gestión de medios, Cifrado de dispositivos portátiles
Justificación Técnica
La protección de dispositivos endpoint previene el acceso no autorizado a datos personales desde dispositivos de usuario.
Evidencias Sugeridas
Política de dispositivos, Configuración de seguridad de endpoints
Justificación Técnica
La gestión de accesos privilegiados es crítica para proteger datos personales contra uso indebido por usuarios con altos privilegios.
Evidencias Sugeridas
Política de privilegios, Revisiones de cuentas privilegiadas, PAM
Justificación Técnica
La restricción de acceso a información asegura que solo personal autorizado acceda a datos personales según su rol.
Evidencias Sugeridas
Matriz de control de acceso, Configuración de permisos
Justificación Técnica
La autenticación segura es fundamental para verificar la identidad antes de permitir acceso a datos personales.
Evidencias Sugeridas
Configuración de autenticación, MFA implementado, Logs de autenticación
Justificación Técnica
La protección contra malware previene el robo o corrupción de datos personales por software malicioso.
Evidencias Sugeridas
Solución antimalware, Registros de detección, Configuración de protección
Justificación Técnica
La gestión de vulnerabilidades reduce el riesgo de explotación de debilidades que podrían comprometer datos personales.
Evidencias Sugeridas
Reportes de escaneo de vulnerabilidades, Plan de remediación
Justificación Técnica
La gestión de configuración asegura que los sistemas estén configurados de forma segura para proteger datos personales.
Evidencias Sugeridas
Líneas base de configuración, Revisiones de configuración
Justificación Técnica
La prevención de fuga de datos (DLP) es una medida técnica directa para evitar divulgación no autorizada de datos personales.
Evidencias Sugeridas
Solución DLP, Políticas de prevención de fuga, Alertas configuradas
Justificación Técnica
Las copias de seguridad protegen la disponibilidad de datos personales ante pérdida o daño.
Evidencias Sugeridas
Política de backup, Registros de respaldo, Pruebas de restauración
Justificación Técnica
El registro de actividades (logging) permite detectar y auditar accesos no autorizados a datos personales.
Evidencias Sugeridas
Política de logging, Logs de acceso a datos, Retención de logs
Justificación Técnica
La criptografía es una medida técnica fundamental para proteger la confidencialidad e integridad de datos personales.
Evidencias Sugeridas
Política de cifrado, Cifrado de datos en reposo y tránsito, Gestión de llaves
Justificación Técnica
La seguridad de redes protege los datos personales durante su transmisión por la red.
Evidencias Sugeridas
Diseño de red segura, Firewalls, Segmentación
Justificación Técnica
La segregación de redes aísla los sistemas que procesan datos personales de otras redes.
Evidencias Sugeridas
Diagrama de segmentación, VLANs configuradas
Justificación Técnica
La separación de entornos asegura que los datos personales de producción no se expongan en desarrollo o pruebas.
Evidencias Sugeridas
Política de separación de ambientes, Evidencia de ambientes aislados