Lo primero que tenemos que configurar correctamente es el sistema operativo, como ya explicamos.
Una vez configurado para que las actualizaciones automáticas se realicen en el equipo, tenemos que configurar los usuarios, que serian el primer anillo de seguridad.
Tenemos que diferenciar las labores de Administrador del equipo y las de los usuarios. Aunque solo lo utilice una persona, se han de crear dos cuentas de usuario, una con categoría de Administrador, para realizar las tareas de mantenimiento y administración, por lo tanto con control total sobre el equipo y su configuración.
La otra cuenta, será de usuario y con privilegios restringidos, pues para el trabajo diario no es necesario más. En todo caso, para casos concretos y específicos, se pueden utilizar las políticas de seguridad de Windows, que aunque complejas son suficientemente eficientes o programas especiales como Windows Steady State.
Por supuesto que cada usuario tendrá una clave personal asignada, que solo cambiara el administrador, generalmente una vez al año. Siendo necesario introducir la clave para cada inicio de sesión en el equipo.
Algunas versiones de este sistema operativo crean automáticamente una “Sesión de Invitado”, nosotros recomendamos deshabilitarla, pues en ocasiones genera problemas al poder ser utilizada por software malintencionado que instale programas en nuestros equipos, con consecuencias no deseadas, como el robo de identidad.
También resulta interesante y obligatorio en algunos casos, la utilización de un salvapantallas cuando el equipo este sin actividad tres o mas minutos, obligando a volver a introducir la clave de usuario para poder continuar trabajando.
Si el equipo es usado por más de una persona, cada persona ha de tener su propio usuario y su clave personal. Eso facilita el mantenimiento y la seguridad de los equipos y de los datos.
miércoles, 3 de septiembre de 2008
miércoles, 27 de agosto de 2008
La seguridad Informática (I)
Tener un sistema informático para trabajar en lo usual a día de hoy, pero es algo más que tener un PC y utilizarlo.
Las PYME, los profesionales liberales, las asociaciones o cualquier tipo de organización trabajan con equipos informáticos aislados o en red, incluso con equipos conectados vía Internet.
Como es difícil que cuenten con un informático y más aun con un especialista en seguridad informática, queremos ayudar desde aquí para conseguir mejorar los niveles de seguridad y evitar problemas indeseados.
Para ello, iniciamos ahora una serie de artículos con pequeñas tareas de administración y seguridad que ayudaran a mejorar nuestro sistema, pero en especial su seguridad, tal y como exige la Ley Orgánica de Protección de Datos y su Reglamento. Las organizaciones a las que hemos realizado la adaptación a la ley, ya las conocen y las utilizan, pero siempre es bueno un recordatorio en estos temas.
1.- El sistema operativo:
Es el encargado de gestionar todas las operaciones que realiza el equipo o hardware, se carga en la memoria nada mas encenderlo y por tanto es “el alma” de cualquier sistema informático, independientemente de su configuración y del tipo de sistema operativo utilizado. Sin el no funciona nada.
Los hay comerciales, como Windows o libres como Linux, pero no son los únicos, hay gran numero de sistemas operativos, algunos de ellos propietarios, es decir que solo sirven para un determinado equipo.
Sea el que sea que utilizamos, es importante saber exactamente cual es, como funciona y que versiones y actualizaciones tenemos instaladas. Por descontado que los sistemas operativos comerciales han de ser originales. Si el ordenador ya trae instalado de fábrica el sistema operativo, han de entregarnos los discos de la versión correspondiente y las etiquetas y manuales originales.
Todo ello nos permite mantener el sistema actualizado durante un gran número de años, incluidas las actualizaciones o parches originales del fabricante, que solucionan pequeños problemas detectados en el sistema. Pero sin ello no podremos activar el sistema y no dispondremos de las mejoras que implementan los fabricantes.
Como la mayoría del parque de ordenadores utiliza Windows en sus diferentes versiones, desde este momento nos referiremos a este sistema operativo. Aunque la mayoría de funciones también están disponibles para otros sistemas.
Una buena función de Windows es las actualizaciones automáticas, que se cargan solas en el equipo, liberando trabajo extra y mejorando la seguridad, pues la mayoría son parches para solventar agujeros de seguridad detectados.
En el próximo artículo explicaremos como configurar Windows, para que sea mas seguro de utilizar.
Las PYME, los profesionales liberales, las asociaciones o cualquier tipo de organización trabajan con equipos informáticos aislados o en red, incluso con equipos conectados vía Internet.
Como es difícil que cuenten con un informático y más aun con un especialista en seguridad informática, queremos ayudar desde aquí para conseguir mejorar los niveles de seguridad y evitar problemas indeseados.
Para ello, iniciamos ahora una serie de artículos con pequeñas tareas de administración y seguridad que ayudaran a mejorar nuestro sistema, pero en especial su seguridad, tal y como exige la Ley Orgánica de Protección de Datos y su Reglamento. Las organizaciones a las que hemos realizado la adaptación a la ley, ya las conocen y las utilizan, pero siempre es bueno un recordatorio en estos temas.
1.- El sistema operativo:
Es el encargado de gestionar todas las operaciones que realiza el equipo o hardware, se carga en la memoria nada mas encenderlo y por tanto es “el alma” de cualquier sistema informático, independientemente de su configuración y del tipo de sistema operativo utilizado. Sin el no funciona nada.
Los hay comerciales, como Windows o libres como Linux, pero no son los únicos, hay gran numero de sistemas operativos, algunos de ellos propietarios, es decir que solo sirven para un determinado equipo.
Sea el que sea que utilizamos, es importante saber exactamente cual es, como funciona y que versiones y actualizaciones tenemos instaladas. Por descontado que los sistemas operativos comerciales han de ser originales. Si el ordenador ya trae instalado de fábrica el sistema operativo, han de entregarnos los discos de la versión correspondiente y las etiquetas y manuales originales.
Todo ello nos permite mantener el sistema actualizado durante un gran número de años, incluidas las actualizaciones o parches originales del fabricante, que solucionan pequeños problemas detectados en el sistema. Pero sin ello no podremos activar el sistema y no dispondremos de las mejoras que implementan los fabricantes.
Como la mayoría del parque de ordenadores utiliza Windows en sus diferentes versiones, desde este momento nos referiremos a este sistema operativo. Aunque la mayoría de funciones también están disponibles para otros sistemas.
Una buena función de Windows es las actualizaciones automáticas, que se cargan solas en el equipo, liberando trabajo extra y mejorando la seguridad, pues la mayoría son parches para solventar agujeros de seguridad detectados.
En el próximo artículo explicaremos como configurar Windows, para que sea mas seguro de utilizar.
domingo, 3 de agosto de 2008
¿Como cubre la LOPD? (Parte II)
Continuado con el “como cubre la LOPD”, queremos aclarar los niveles de seguridad, que han ido apareciendo en el anterior articulo.
Nivel básico, todos los ficheros que contienen datos de carácter personal, han de adoptar las medidas de seguridad calificadas de nivel básico.
Nivel medio, han de implantar las medidas de seguridad de nivel medio, además de las de nivel básico, los siguientes ficheros:
- Los relativos a la comisión de infracciones administrativas o penales.
- Los de las administraciones tributarias.
- Los de las entidades financieras.
- Los de entidades gestoras y servicios comunes de la Seguridad Social, así como las mutuas de accidentes de trabajo y enfermedades profesionales.
- Los que permitan evaluar determinados aspectos de la personalidad o del comportamiento.
Nivel alto, han de implantar las medidas de seguridad de nivel alto, además de las de nivel medio y básico, los siguientes ficheros:
- Los que tengan datos de ideología, afiliación sindical, religión, creencias, origen racial, salud o vida sexual.
- Los que contengan o se refiera a datos recabados para fines policiales sin consentimiento de las personas afectadas.
- Los que contengan datos derivados de actos de violencia de genero.
Existen excepciones para algunos tratamientos de datos, que dejan de ser de nivel alto, cuando sean datos tratados accesoriamente y de forma no automatizada, o cuando la única finalidad es realizar transferencias dinerarias de socios o miembros, etc.
En definitiva, como cubre la LOPD es amplio y complejo, por lo que recomendamos que cuando adapte su organización para cumplir con la ley, si aun no lo ha hecho, lo realice un especialista, de manera personalizada para su organización. Puede contar con nosotros en www.bono-che.es, donde le ofrecemos un servicio completo y personalizado para usted, de forma sencilla, eficaz y económica.
Nivel básico, todos los ficheros que contienen datos de carácter personal, han de adoptar las medidas de seguridad calificadas de nivel básico.
Nivel medio, han de implantar las medidas de seguridad de nivel medio, además de las de nivel básico, los siguientes ficheros:
- Los relativos a la comisión de infracciones administrativas o penales.
- Los de las administraciones tributarias.
- Los de las entidades financieras.
- Los de entidades gestoras y servicios comunes de la Seguridad Social, así como las mutuas de accidentes de trabajo y enfermedades profesionales.
- Los que permitan evaluar determinados aspectos de la personalidad o del comportamiento.
Nivel alto, han de implantar las medidas de seguridad de nivel alto, además de las de nivel medio y básico, los siguientes ficheros:
- Los que tengan datos de ideología, afiliación sindical, religión, creencias, origen racial, salud o vida sexual.
- Los que contengan o se refiera a datos recabados para fines policiales sin consentimiento de las personas afectadas.
- Los que contengan datos derivados de actos de violencia de genero.
Existen excepciones para algunos tratamientos de datos, que dejan de ser de nivel alto, cuando sean datos tratados accesoriamente y de forma no automatizada, o cuando la única finalidad es realizar transferencias dinerarias de socios o miembros, etc.
En definitiva, como cubre la LOPD es amplio y complejo, por lo que recomendamos que cuando adapte su organización para cumplir con la ley, si aun no lo ha hecho, lo realice un especialista, de manera personalizada para su organización. Puede contar con nosotros en www.bono-che.es, donde le ofrecemos un servicio completo y personalizado para usted, de forma sencilla, eficaz y económica.
martes, 15 de julio de 2008
¿Como cubre la LOPD? (Parte I)
La Ley Orgánica de Protección de Datos, y su correspondiente Reglamento de Desarrollo, aprobado por Real Decreto 1720/2007, marca un gran número de medidas a adoptar, por parte de las organizaciones que tienen datos de carácter personal, que son diferentes y acumulativas según el nivel de seguridad que marcan los datos.
Pero para empezar, aclarar que los datos no son de las organizaciones que los tienen, son de las propias personas físicas, que disponen del derecho de acceso, rectificación, cancelación, bloqueo o denegación, que pueden ejercer ante las citadas organizaciones, que han de realizar los derechos ejercidos y comunicarlo al titular de los datos, generalmente en un plazo de diez días máximo. Para velar por el cumplimiento del ejercicio de los derechos esta la Agencia Española de Protección de Datos, a la que se puede pedir amparo.
Otra aclaración importante, es que no se distingue entre medios automatizados o no automatizados, es decir en formato digital-electrónico o documental-papel. Tampoco se diferencia entre ficheros de organizaciones públicas o privadas, todas han de cumplir determinados requisitos, aunque con excepciones en algunos casos para los públicos.
La primera obligación es nombrar un Responsable de Fichero, que será el responsable de que la organización cumpla con todo lo que marca la ley, además de ser el interlocutor con la Agencia Española de Protección de Datos. En algunos casos también un Responsable de Seguridad, que ayude al primero.
La segunda obligación es la de inscripción de los ficheros en la Agencia Española de Protección de Datos, que ha de hacerse antes de incluir datos personales en los mismos. La citada agencia nos notificara un número de registro para cada fichero.
Tercera y quizás la mas compleja, la redacción del Documento de Seguridad, en el que se recogen todas las medidas de seguridad que se han de aplicar en la organización, todos los ficheros inscritos ante la agencia, los responsables de tratamiento y sus obligaciones, si existen responsables de seguridad y sus obligaciones. Como se gestionan los derechos de acceso, rectificación, cancelación, bloqueo o denegación, así como se informa de los mismos. Quien puede acceder a los datos, como, cuando y porque. Como se gestionan las copias de seguridad. Como se gestionan los soportes. Como se gestionan las incidencias. Etc. Todo ello adaptado a los diferentes entornos que existen en las organizaciones, según usen los datos, quien los uses y para que, así como si son el formato documental-papel, electrónico o mixto (el más habitual).
Cuarta, dependiendo del nivel de seguridad de los datos, se tomaran diferentes medias, de modo acumulativos, es decir, todos los ficheros las marcadas para el nivel básico, las de nivel medio más las de nivel básico para los ficheros marcados como nivel medio, y así sucesivamente. Todas estas medidas se desarrollan en el Documento de Seguridad, aquí solo las enumeraremos, siendo diferentes para cada nivel de seguridad:
- BASICO: Funciones y obligaciones del personal. Registro de incidencias. Control de accesos. Gestión de soportes y documentos. Identificación y autenticación. Copias de respaldo y recuperación.
- MEDIO: Responsable de seguridad. Auditoria. Gestión de soportes y documentos. Identificación y autenticación. Control de acceso físico. Registro de incidencias.
- ALTO: Gestión y distribución de soportes. Copias de respaldo y recuperación. Registro de accesos. Telecomunicaciones.
Quinta, para los ficheros no automatizados, además y entre otras medidas, se les aplicara las siguientes medidas, también acumulativas:
- BASICO: Criterios de archivo, dispositivos de almacenamiento y custodia de soportes.
- MEDIO: Responsable de seguridad y Auditoria.
- ALTO: Almacenamiento de la información, copia o reproducción, acceso a la documentación y traslado de documentación.
Sexta, la adaptación documental, que incluye las páginas Web, los correos electrónicos, los formularios o los contratos, con la inclusión de las diferentes “coletillas informativas”, la inclusión de un “Aviso Legal” en la pagina Web, así como la correcta planificación de la pagina. También a de incluirse las cláusulas correspondientes en los contratos de nuestros tratadores de datos o en los que nosotros tratemos dados de otros.
Además de todo esto, siempre esta la Agencia Española de Protección de Datos, para velar y hacer cumplir con lo que marca la ley, además de ayudarnos a ello con la publicación de diferentes guías, resoluciones, consultas, etc.
Pero para empezar, aclarar que los datos no son de las organizaciones que los tienen, son de las propias personas físicas, que disponen del derecho de acceso, rectificación, cancelación, bloqueo o denegación, que pueden ejercer ante las citadas organizaciones, que han de realizar los derechos ejercidos y comunicarlo al titular de los datos, generalmente en un plazo de diez días máximo. Para velar por el cumplimiento del ejercicio de los derechos esta la Agencia Española de Protección de Datos, a la que se puede pedir amparo.
Otra aclaración importante, es que no se distingue entre medios automatizados o no automatizados, es decir en formato digital-electrónico o documental-papel. Tampoco se diferencia entre ficheros de organizaciones públicas o privadas, todas han de cumplir determinados requisitos, aunque con excepciones en algunos casos para los públicos.
La primera obligación es nombrar un Responsable de Fichero, que será el responsable de que la organización cumpla con todo lo que marca la ley, además de ser el interlocutor con la Agencia Española de Protección de Datos. En algunos casos también un Responsable de Seguridad, que ayude al primero.
La segunda obligación es la de inscripción de los ficheros en la Agencia Española de Protección de Datos, que ha de hacerse antes de incluir datos personales en los mismos. La citada agencia nos notificara un número de registro para cada fichero.
Tercera y quizás la mas compleja, la redacción del Documento de Seguridad, en el que se recogen todas las medidas de seguridad que se han de aplicar en la organización, todos los ficheros inscritos ante la agencia, los responsables de tratamiento y sus obligaciones, si existen responsables de seguridad y sus obligaciones. Como se gestionan los derechos de acceso, rectificación, cancelación, bloqueo o denegación, así como se informa de los mismos. Quien puede acceder a los datos, como, cuando y porque. Como se gestionan las copias de seguridad. Como se gestionan los soportes. Como se gestionan las incidencias. Etc. Todo ello adaptado a los diferentes entornos que existen en las organizaciones, según usen los datos, quien los uses y para que, así como si son el formato documental-papel, electrónico o mixto (el más habitual).
Cuarta, dependiendo del nivel de seguridad de los datos, se tomaran diferentes medias, de modo acumulativos, es decir, todos los ficheros las marcadas para el nivel básico, las de nivel medio más las de nivel básico para los ficheros marcados como nivel medio, y así sucesivamente. Todas estas medidas se desarrollan en el Documento de Seguridad, aquí solo las enumeraremos, siendo diferentes para cada nivel de seguridad:
- BASICO: Funciones y obligaciones del personal. Registro de incidencias. Control de accesos. Gestión de soportes y documentos. Identificación y autenticación. Copias de respaldo y recuperación.
- MEDIO: Responsable de seguridad. Auditoria. Gestión de soportes y documentos. Identificación y autenticación. Control de acceso físico. Registro de incidencias.
- ALTO: Gestión y distribución de soportes. Copias de respaldo y recuperación. Registro de accesos. Telecomunicaciones.
Quinta, para los ficheros no automatizados, además y entre otras medidas, se les aplicara las siguientes medidas, también acumulativas:
- BASICO: Criterios de archivo, dispositivos de almacenamiento y custodia de soportes.
- MEDIO: Responsable de seguridad y Auditoria.
- ALTO: Almacenamiento de la información, copia o reproducción, acceso a la documentación y traslado de documentación.
Sexta, la adaptación documental, que incluye las páginas Web, los correos electrónicos, los formularios o los contratos, con la inclusión de las diferentes “coletillas informativas”, la inclusión de un “Aviso Legal” en la pagina Web, así como la correcta planificación de la pagina. También a de incluirse las cláusulas correspondientes en los contratos de nuestros tratadores de datos o en los que nosotros tratemos dados de otros.
Además de todo esto, siempre esta la Agencia Española de Protección de Datos, para velar y hacer cumplir con lo que marca la ley, además de ayudarnos a ello con la publicación de diferentes guías, resoluciones, consultas, etc.
miércoles, 2 de julio de 2008
¿Qué cubre la LOPD?
La Ley Orgánica de Protección de Datos, y su correspondiente Reglamento de Desarrollo, aprobado por Real Decreto 1720/2007, es un mecanismo jurídico complejo, con el que la administración y en concreto la Agencia Española de Protección de Datos, como órgano encargado de la vigilancia y cumplimiento de la citada ley, tiene por objetivo “garantizar y proteger, en lo que concierne al tratamiento de los datos personales, las libertades publicas y los derechos fundamentales de las personas físicas, y especialmente de su honor e intimidad personal”. Comprende por tanto el tratamiento automatizado y el no automatizado de los datos de carácter personal.
Pero para aclarar lo que nos indica la ley, nada mejor que el sentido común. Podemos interpretar, que nuestros datos personales, tanto DNI, nombre y apellidos, teléfono, correo electrónico, como los que están más especialmente protegidos, como nuestras finanzas, religión, salud, imagen, etc. están cubiertos por la citada ley.
Esto significa que tenemos el derecho a saber quien tiene nuestros datos, como y para que los utiliza, además de acceder, rectificar, cancelar, bloquear o denegar el uso que hace de ellos cualquier organización, no solo las empresas, autónomos, profesionales liberales, etc., sino también la asociación de vecinos, el club deportivo, etc. Esto incluye a los organismos públicos, con ciertas limitaciones en su caso. No siendo necesario que esos datos estén tratados automatizadamente, es decir en ficheros electrónicos o mas coloquialmente en ordenador.
Como se puede apreciar de estas líneas, es una ley que cubre a todas las personas físicas, no diferenciando por el tamaño de la organización que tiene los datos, aunque si marca diferentes medidas de protección según el tipo de datos.
Por ultimo, desconfíe de las organizaciones que no le informan de la recogida de sus datos, más aun si es por Internet. Y si tiene dudas de si esa organización cumple la ley, puede empezar por buscar en la página de la Agencia Española de Protección de Datos si tienen ficheros inscritos o incluso presentar una denuncia si cree que sus datos están siendo usados de manera fraudulenta. El despacho www.abogadosedo.es puede ayudarles en cualquiera de estos casos.
Pero para aclarar lo que nos indica la ley, nada mejor que el sentido común. Podemos interpretar, que nuestros datos personales, tanto DNI, nombre y apellidos, teléfono, correo electrónico, como los que están más especialmente protegidos, como nuestras finanzas, religión, salud, imagen, etc. están cubiertos por la citada ley.
Esto significa que tenemos el derecho a saber quien tiene nuestros datos, como y para que los utiliza, además de acceder, rectificar, cancelar, bloquear o denegar el uso que hace de ellos cualquier organización, no solo las empresas, autónomos, profesionales liberales, etc., sino también la asociación de vecinos, el club deportivo, etc. Esto incluye a los organismos públicos, con ciertas limitaciones en su caso. No siendo necesario que esos datos estén tratados automatizadamente, es decir en ficheros electrónicos o mas coloquialmente en ordenador.
Como se puede apreciar de estas líneas, es una ley que cubre a todas las personas físicas, no diferenciando por el tamaño de la organización que tiene los datos, aunque si marca diferentes medidas de protección según el tipo de datos.
Por ultimo, desconfíe de las organizaciones que no le informan de la recogida de sus datos, más aun si es por Internet. Y si tiene dudas de si esa organización cumple la ley, puede empezar por buscar en la página de la Agencia Española de Protección de Datos si tienen ficheros inscritos o incluso presentar una denuncia si cree que sus datos están siendo usados de manera fraudulenta. El despacho www.abogadosedo.es puede ayudarles en cualquiera de estos casos.
lunes, 16 de junio de 2008
EL CASO DE LOS PAPELES TIRADOS A LA BASURA
Recientemente, ha salido en las televisiones, como un reportero recogía de los contenedores de basura de diferentes juzgados españoles, bolsas llenas de documentos y expedientes judiciales, que han sido llevados a la Agencia Española de Protección de Datos, para que estudie el caso.
En nuestra opinión, mientras la ley no permita multar a los responsables de los ficheros públicos, estos casos se repetirán cada vez que se realice un reportaje periodístico en juzgados, hospitales, ayuntamientos y diferentes instituciones públicas.
Es cierto que la falta de una trituradora de papeles, puede ser una excusa, pero existen otros métodos, como una guillotina, empresas especializadas o simplemente romper con la mano los documentos antes de tirarlos. Incluso, se podría añadir algún tipo de tinta en la bolsa, como remedio imaginativo.
Pero el problema se presenta porque desde las instituciones públicas no se da el valor necesario a la LOPD, ya que los responsables, solo pueden sufrir un expediente, pero la institución nunca es multada económicamente, lo que hace que no se tome en serio su cumplimiento. Además, suele ser más fácil culpar a un pobre funcionario, con su correspondiente expediente, que culpar al juez, al director de un hospital o a un alcalde.
La falsa creencia de que los datos son de quien los tiene, en lugar del titular de los mismos, tampoco ayuda, los datos no son de hacienda, del ayuntamiento, del banco o del medico, los datos son de los titulares de dichos datos. Y tienen todo el derecho a saber quien los tiene y para que los usa, además de esperar un correcto uso y custodia de los mismos, mientras son usados y una correcta destrucción al finalizar la vida de los mismos.
Por ultimo, indicar que si esto mismo, se hubiera realizado a una institución privada, con resultados similares, la multa seria histórica y ejemplarizante, además de la perdida en el valor de la marca de la empresa y en la confianza de sus clientes o usuarios, que pagaría cara.
En nuestra opinión, mientras la ley no permita multar a los responsables de los ficheros públicos, estos casos se repetirán cada vez que se realice un reportaje periodístico en juzgados, hospitales, ayuntamientos y diferentes instituciones públicas.
Es cierto que la falta de una trituradora de papeles, puede ser una excusa, pero existen otros métodos, como una guillotina, empresas especializadas o simplemente romper con la mano los documentos antes de tirarlos. Incluso, se podría añadir algún tipo de tinta en la bolsa, como remedio imaginativo.
Pero el problema se presenta porque desde las instituciones públicas no se da el valor necesario a la LOPD, ya que los responsables, solo pueden sufrir un expediente, pero la institución nunca es multada económicamente, lo que hace que no se tome en serio su cumplimiento. Además, suele ser más fácil culpar a un pobre funcionario, con su correspondiente expediente, que culpar al juez, al director de un hospital o a un alcalde.
La falsa creencia de que los datos son de quien los tiene, en lugar del titular de los mismos, tampoco ayuda, los datos no son de hacienda, del ayuntamiento, del banco o del medico, los datos son de los titulares de dichos datos. Y tienen todo el derecho a saber quien los tiene y para que los usa, además de esperar un correcto uso y custodia de los mismos, mientras son usados y una correcta destrucción al finalizar la vida de los mismos.
Por ultimo, indicar que si esto mismo, se hubiera realizado a una institución privada, con resultados similares, la multa seria histórica y ejemplarizante, además de la perdida en el valor de la marca de la empresa y en la confianza de sus clientes o usuarios, que pagaría cara.
miércoles, 4 de junio de 2008
LA GESTION DE LA SEGURIDAD DE LA INFORMACION
Para realizar una correcta gestión de la seguridad de la información, no solo tratando de cubrir los aspectos legales, se deben aplicar un gran número de políticas y medidas que engloban a toda la organización, lo que implica una correcta gestión de los datos e información de las organizaciones.
En nuestra opinión y experiencia, creemos que se pueden diferenciar cuatro casos básicos, en cuanto a como realizan esta gestión las organizaciones.
Primero, la implantación de medidas básicas o de sentido común, copias de seguridad, cuentas de usuario en los equipos, archivo de la documentación en carpetas, etc. Que son implantadas casi de primeras por cualquier organización.
Segundo, adaptación parcial a la legalidad, con el registro de ficheros en la Agencia Española de Protección de Datos, adaptación de formularios. Que suelen realizar los propios interesados, e incluso tienen la falsa creencia de cumplir íntegramente la ley.
Tercero, cumplimiento legal, con la realización del documento de seguridad, registro de ficheros en la Agencia Española de Protección de Datos, adaptación de formularios, adaptación de pagina Web y coletillas de correo electrónico, ficheros documentales – papel, información a los empleados, contratos de outsourcing, auditorias, etc. Este paso lo suelen realizar en colaboración con empresas externas, como Bono-Che SL.
Cuarto, gestión integral de la seguridad, en la que la organización se preocupa de crear, mantener y actualizar sus políticas de seguridad, planes de gestión ante incidencias y continuidad operativa. Incluso de certificar esta gestión, con sus correspondientes planes. Que son la minoría de organizaciones las que lo realizan, en especial las grandes empresas. Bono-Che SL ofrece servicios completos y personalizados también en este caso.
En nuestra opinión y experiencia, creemos que se pueden diferenciar cuatro casos básicos, en cuanto a como realizan esta gestión las organizaciones.
Primero, la implantación de medidas básicas o de sentido común, copias de seguridad, cuentas de usuario en los equipos, archivo de la documentación en carpetas, etc. Que son implantadas casi de primeras por cualquier organización.
Segundo, adaptación parcial a la legalidad, con el registro de ficheros en la Agencia Española de Protección de Datos, adaptación de formularios. Que suelen realizar los propios interesados, e incluso tienen la falsa creencia de cumplir íntegramente la ley.
Tercero, cumplimiento legal, con la realización del documento de seguridad, registro de ficheros en la Agencia Española de Protección de Datos, adaptación de formularios, adaptación de pagina Web y coletillas de correo electrónico, ficheros documentales – papel, información a los empleados, contratos de outsourcing, auditorias, etc. Este paso lo suelen realizar en colaboración con empresas externas, como Bono-Che SL.
Cuarto, gestión integral de la seguridad, en la que la organización se preocupa de crear, mantener y actualizar sus políticas de seguridad, planes de gestión ante incidencias y continuidad operativa. Incluso de certificar esta gestión, con sus correspondientes planes. Que son la minoría de organizaciones las que lo realizan, en especial las grandes empresas. Bono-Che SL ofrece servicios completos y personalizados también en este caso.
Suscribirse a:
Entradas (Atom)