RGPD y ciberseguridad gestionada: 10 controles técnicos clave

• Artículo 32 Impone una seguridad técnica efectiva: cifrado, confidencialidad, recuperación de datos y evaluación periódica.
• 72 horas Es el plazo general para notificar a la autoridad, contado desde que la empresa tiene conocimiento, mediante el formulario correspondiente.
• Registro de todo Cada brecha se documenta, incluidas las que no llegan a notificarse.
• Artículo 28 Quien le presta servicios de IT y accede a sus datos es, por regla general, encargado del tratamiento; el contrato tiene que respetar este artículo.

El Reglamento (UE) 2016/679 no impone marcas ni productos. Pide una seguridad proporcional al riesgo. El apartado 1 del artículo 32 enumera ejemplos: seudonimización y cifrado; confidencialidad, integridad, disponibilidad y resiliencia permanentes; restablecimiento rápido del acceso a los datos tras un incidente; y pruebas periódicas de la eficacia de las medidas.

En términos de gestión, cuatro garantías: acceso solo para quien lo necesita, cambios controlados, recuperación a tiempo y verificación periódica. Y datos personales son todo lo que identifica a una persona: nombre, email, número fiscal, dirección, expediente de cliente, nómina.

1. Inventario de datos personales: recorrer servidor, Microsoft 365, facturación, discos externos, software de RR. HH. y buzones antiguos. Resultado: una tabla con el tipo de datos, el sistema y el responsable.
2. Mínimo privilegio: permisos definidos por función: el comercial no ve nóminas, la recepción no accede a la carpeta de la gerencia. Con cada cambio de puesto, se revisan de nuevo.
3. Contratos con quien trata datos por usted: proveedor de IT, nube, gestoría de nóminas. El artículo 28 obliga a garantías suficientes y a un contrato escrito que defina instrucciones, confidencialidad, seguridad, condiciones para recurrir a terceros, colaboración ante una brecha y devolución o destrucción de los datos al final. Vea qué comprobar en cláusulas de salida y de datos en un contrato de IT.

4. Autenticación multifactor: gran parte de las intrusiones nace de una contraseña comprometida. El segundo factor, normalmente en el móvil, tiene que proteger correo, nube y acceso remoto.
5. Cifrado: una de las dos medidas que cita el propio artículo 32: discos cifrados en los portátiles, móviles gestionados y bloqueados, backups cifrados.
6. Actualizaciones con plazo definido: los sistemas sin parches son la vía más frecuente para perder integridad y resiliencia. Fije plazos de instalación y retire los equipos que el fabricante ha dejado de soportar.
7. Copias de seguridad restauradas en la práctica: sin restauración probada, el backup es solo una hipótesis. Recomendamos al menos una prueba por trimestre: vea el simulacro de restauración de 30 minutos y el servicio de backup gestionado.

8. Logs de acceso: inicios de sesión, entradas en carpetas sensibles, cambios de permisos. Ante un incidente, son estos registros los que permiten decir a la autoridad qué datos se han visto afectados.
9. Plan de respuesta para las primeras 72 horas: quién decide, quién reúne la información técnica, quién rellena la notificación. Todo acordado antes de que haga falta.
10. Revisión anual por escrito: la exigencia del artículo 32 que más se olvida. Una revisión al año, con las correcciones registradas, es la mejor prueba de que la empresa ha actuado con diligencia.

El artículo 33 y las orientaciones de la CNPD fijan la notificación en un máximo de 72 horas desde que se tiene conocimiento, salvo que la brecha no suponga un riesgo para los derechos de los interesados. Si el riesgo es alto, el artículo 34 obliga además a comunicarlo a los propios interesados.

Dos detalles sorprenden a muchas empresas. Documentar es obligatorio aunque no haya notificación. Y el encargado del tratamiento, proveedor de IT incluido, tiene que avisar al cliente sin dilación indebida. Un portátil perdido sin cifrar puede constituir una brecha; con el disco cifrado, la evaluación del riesgo es otra.

En un contrato público con la União de Freguesias de Massamá e Monte Abraão, DataRoad instaló y configuró un servidor nuevo, colocó SAI (baterías que mantienen los equipos funcionando cuando falla la energía), implantó backups locales y en la nube y migró datos y configuraciones. Es disponibilidad tal como la describe el artículo 32: datos guardados en más de un lugar y recuperables. Conozca el proyecto en Massamá y Monte Abraão.

Implantamos y documentamos los controles técnicos: accesos, cifrado, backups, actualizaciones, logs, firewall. No prestamos asesoramiento jurídico. En 11 años, DataRoad nunca ha sufrido un incidente de seguridad.

Cualquier contrato IT Unlimited incluye seguridad. Con el plan Premium gana además asistencia presencial ilimitada, útil cuando hay que actuar físicamente en un servidor o un puesto. Más información sobre ciberseguridad gestionada para empresas y las siete políticas internas que toda empresa debe tener.

• EUR-Lex: RGPD, Reglamento (UE) 2016/679 (arts. 28, 32, 33 y 34)
• CNPD: violaciones de datos personales (en portugués)
• CNPD: notificación de brechas (en portugués)

En 10 días laborables evaluamos los diez controles en sus sistemas y le dejamos por escrito las carencias y el orden para cerrarlas. Pida una propuesta sin compromiso.

Más de 10 puestos · contrato de asistencia · soporte remoto, presencial y telefónico. Llame al +351 211 459 950 * o escriba a sales@dataroad.pt.

*Llamada a la red fija portuguesa.