Notificación de vulneración de seguridad
El responsable del tratamiento deberá notificar la vulneración de la seguridad de datos personales a la Autoridad de Protección de Datos Personales y la Agencia de Regulación y Control de las Telecomunicaciones, tan pronto sea posible, y a más tardar en el término de cinco (5) días después de que haya tenido constancia de ella, a menos que sea improbable que dicha violación de la seguridad constituya un riesgo para los derechos y las libertades de las personas físicas. Si la notificación a la Autoridad de Protección de Datos no tiene lugar en el término de cinco (5) días, deberá ir acompañada de indicación de los motivos de la dilación. El encargado del tratamiento deberá notificar al responsable cualquier vulneración de la seguridad de datos personales tan pronto sea posible, y a más tardar dentro del término de dos (2) días contados a partir de la fecha en la que tenga conocimiento de ella.
Controles del Anexo A de ISO 27001 relacionados7
Los 93 controles del Anexo A de ISO/IEC 27001:2022 tienen la misma numeración y título que ISO/IEC 27002:2022, que aporta la guía de implantación de cada uno. Los derechos de los titulares se cubren con 5.34 y, en detalle, con ISO 27701.
Justificación Técnica
El contacto establecido con las autoridades facilita notificar la vulneración a la Autoridad de Protección de Datos Personales y a la ARCOTEL dentro del término de cinco (5) días.
Evidencias Sugeridas
Procedimiento de notificación, Datos de contacto de la Autoridad
Justificación Técnica
La planificación de la gestión de incidentes establece los procesos para detectar las vulneraciones y notificarlas a la Autoridad y a la ARCOTEL dentro del término de cinco (5) días.
Evidencias Sugeridas
Plan de respuesta a incidentes, Procedimiento de notificación a la Autoridad
Justificación Técnica
La evaluación de eventos permite determinar si constituyen una violación de datos que debe notificarse.
Evidencias Sugeridas
Criterios de clasificación de incidentes, Plantilla de evaluación
Justificación Técnica
La respuesta a incidentes incluye notificar la vulneración a la Autoridad de Protección de Datos Personales y a la ARCOTEL dentro del término de cinco (5) días.
Evidencias Sugeridas
Registros de incidentes, Notificaciones realizadas a la Autoridad
Justificación Técnica
La recopilación de pruebas apoya la documentación de violaciones para la notificación a la Autoridad.
Evidencias Sugeridas
Procedimiento de preservación de evidencia, Registros forenses
Justificación Técnica
La notificación de eventos por parte del personal permite detectar rápidamente potenciales violaciones de datos.
Evidencias Sugeridas
Procedimiento de reporte de incidentes, Canal de comunicación
Justificación Técnica
El monitoreo permite detectar tempranamente potenciales violaciones de seguridad de datos personales.
Evidencias Sugeridas
Sistema de monitoreo, Alertas configuradas, Dashboard de seguridad