Los tratamientos de datos por medios electrónicos se exponen a amenazas de seguridad que en un entorno físico no se prevén. Cualquier organización, grande o pequeña, y cualquier información que esté almacenada en un equipo, aunque sea personal, puede ser objetivo de un ciberataque.
En estos momentos, con el teletrabajo en auge y el uso disparado de dispositivos móviles, han aumentado las amenazas a la privacidad tanto de los datos de los clientes como de los datos personales de los propios empleados.
Hay que estudiar las amenazas y analizar las medidas técnicas para evitar o mitigar sus efectos.
El RGPD establece en su articulo 23 la obligación de notificar a la autoridad de control cualquier violación de seguridad de datos personales en las primeras 72 horas.
Con esta medida, con más de 400 incidentes registrados en el primer trimestre del año 2020, se comprueba que se han notificado un 48% más que en el mismo periodo del año anterior.
Para evitar o minimizar sus consecuencias se pueden aplicar algunas medidas de seguridad básicas:
- Uso de contraseñas seguras y segundo factor de autenticación.
- Una buena política de contraseñas como almacenarlas cifradas, actualizarlas de forma periódica y distintas para cada servicio.
- Un segundo factor de autenticación es necesario para los sistemas críticos. Se trata de una prueba adicional aparte del usuario y contraseña y se puede realizar con algún elemento biométrico, un código pseudoaleatorio o con el envío de un código de un solo uso al usuario.
- Copias de seguridad.
- Ante la imposibilidad de acceder a los datos o la indisponibilidad de los mismos, es fundamental contar con una política de realización de copias de seguridad. De esta forma podremos recuperarnos de este incidente en el menor tiempo posible y también de cualquier problema físico en el equipo donde se encuentra la información.
- Sistemas actualizados.
- Los fabricantes están continuamente aplicando parches y mejoras de seguridad según detectan los problemas, ya sean del sistema operativo o de programas que utilizamos. debemos tener una política de actualizaciones periódicas documentada y trazable.
- Exposición a servicios en internet.
- A veces se aplican configuraciones para realizar tareas de mantenimiento, pruebas o permitir acceso un puntual. Estas configuraciones pueden llevar a comprometer la seguridad y muchas veces estas soluciones no se vigilan y terminan convirtiéndose en definitivas, dejando un agujero de seguridad abierto. Es importante definir una estricta política de servicios expuestos a internet, como también usar accesos remotos por VPN y proxy en el lado cliente o proxy inverso en el lado del servidor.
- Cifrados de dispositivos.
- Al menos los dispositivos que se puedan extraviar fácilmente o puedan ser objeto de robo deben estar cifrados, complementando a la contraseña de acceso. Esto se aplica a ordenadores portátiles, teléfonos móviles, tabletas, memorias USB, discos duros y copias de seguridad que se depositan en otros lugares.
- También hay que aplicar la minimización de datos en dispositivos: Tener la menor cantidad de datos personales y el menor tiempo posible en el dispositivo, solo los necesarios y cuando se vayan a tratar.