![]() | EL DOCUMENTO DE SEGURIDAD |
El Documento de Seguridad está regulado en el Reglamento de Medidas de Seguridad en el artículo 8 de la LOPD para todos los niveles y en el artículo 15 de dicha Ley Orgánica para los niveles medio y alto (ver apartados anteriores).
Se hacen unas consideraciones de lo que debe contener como mínimo pero no se aclara cómo debe ser -documento escrito o electrónico-, por lo que cualquier opción, en principio, es válida. Tampoco si debe estar referido a una ubicación física o es válido para todas las ubicaciones de ordenadores que tenga la organización. O si tiene que haber un documento por fichero o por tipos de niveles de fichero o uno único para todos.
Como fácilmente se desprende de lo anterior, la elección queda para cada uno, que debe estudiar el sistema mas favorable para su organización.
Hemos de tener en cuenta que los documentos de seguridad deben estar actualizados por lo que, cuantos menos existan, mejor. Quizás lo conveniente sería un cuerpo común para todos los ficheros de la organización y después, tantas partes específicas como sean necesarias.
El grado de vinculación entre unas instalaciones y otras de una propia organización será uno de los indicativos de lo que tenemos que hacer.
En el caso de grupos de empresas hay que tener en cuenta siempre que cada empresa, aunque pertenezca al grupo, se considera independiente de las demás y que, a estos efectos, deberá tener su propio Documento de seguridad.
Según el artículo 8 del Reglamento, el Documento de seguridad, ya sea de una institución pública (patronato, empresa municipal, gerencia, instituto municipal...), como privada (empresa mixta, fundación, entidad sin ánimo de lucro, mercantil con mayoría de accionariado municipal), deberá contener, como mínimo, la siguiente información:
El artículo 15 amplia la obligación de incorporar también la información siguiente cuando son medidas de nivel superior:
Para dar cumplimiento a todo lo anterior es necesario examinar escrupulosamente el articulado del Reglamento para averiguar qué procedimientos se deben incluir, así como qué registros o listados tienen que incorporarse al Documento de seguridad.
Entenderemos que un contenido de las características de éste cumple con creces lo regulado en el Reglamento y, a la vez, es válido para reforzar la seguridad de los sistemas informáticos de la organización.
Como vemos, en el artículo 15, incluido entre las medidas a adoptar en los ficheros de nivel medio y alto, se encuentra determinar los controles periódicos que se deban realizar para verificar el cumplimiento de lo dispuesto en el propio documento.
De nada serviría disponer de un Documento de seguridad casi perfecto si no controlamos que, efectivamente, lo que se indica en el mismo, por un lado, cumple lo que dispone el Reglamento y, por otro, es lo que se viene realizando en la práctica. Algo que, si no se Ilevasen a cabo dichos controles, se averiguaría cada dos años al efectuar la auditoria bienal.
Si los controles se establecen correctamente, se convierten en un control interno y podríamos decir que hasta en una auditoría continua, con las ventajas que esto conlleva.
El control del cumplimiento se puede establecer semestralmente de forma aleatoria de modo que cada dos años complementa la auditoria bienal.
La auditoria bienal que regula el Reglamento en su artículo 17 sólo es obligatoria para los ficheros de nivel medio y alto, no siéndolo para el nivel básico.
La previsión de realizarla cada dos años que establece el Reglamento debe ser considerada como un mínimo. Por lo tanto, no existe ningún inconveniente para acometer la auditoría con una periodicidad inferior.
La auditoría, que es un híbrido entre auditoría informática y auditoría jurídica, podríamos decir que se trata de auditoría jurídica de sistemas de información con base informática, de ahí el problema que existe a la hora de determinar quién está autorizado a realizarla. Viene a ser un complemento de los controles periódicos que ha de realizar el responsable de seguridad para verificar el cumplimiento de lo dispuesto en el Documento de seguridad.
Ahondando en lo dicho en el párrafo anterior respecto a quién puede realizar una auditoría de datos de carácter personal, hemos de decir que no hay ningún profesional que monopolice esta función, por lo que, en principio, cualquiera puede realizarla, ya sea Ia interna, con personal propio y/o externo, o Ia externa, con personal externo al mismo.
En cuanto a la independencia, entendemos que es mas difícil que exista en el caso de una auditoría interna pero, dado los casos que se han producido recientemente con alguna gran auditora (Caso ENRON) relacionados con la auditoría de cuentas, no parece el momento más idóneo para exaltar la independencia de la auditoría externa.
En el informe, que quedará a disposisión de la Agencia de Protección de Datos, pues no es necesario enviárselo, se dictaminará sobre las medidas y controles establecidos; se identificarán las deficiencias encontradas y se propondrán las medidas correctoras o complementarias que se consideren precisas. En él se incluirán también los datos, hechos y observaciones en que se basen los dictámenes alcanzados y recomendaciones propuestas.
Los informes deberán ser analizados por el responsable de seguridad competente, que enviará las conclusiones al responsable del fichero que será quien adopte las medidas correctoras que se precisen.
Centro de Servicios Empresariales de Andalucía
C/ Arquímedes, 2 Isla de la Cartuja,
41092, Sevilla
Federación Andaluza de Autónomos
CEAT-Andalucía
C/ Arquímedes, 2. Isla de la Cartuja,
41092, Sevilla
Servicio Andaluz de Empleo
Consejería de Empleo
Junta de Andalucía
Confederación de Empresarios de Andalucía
C/ Arquimedes, 2.Isla de la Cartuja 41092
Sevilla ESPAÑA
http://www.cea.es
Teléfono: 954 48 89 00
Fax: 954 48 89 11