Privacidad frente a ciberseguridad
Contenidos
La AAA-ICDR emplea varias capas de protecciones avanzadas y de mejores prácticas contra las amenazas cibernéticas tanto externas como internas a la correspondencia actual y a los documentos almacenados. Esto incluye cortafuegos muy avanzados para impedir el acceso de usuarios de Internet no autorizados, un amplio uso de encriptación y parches de seguridad, y un proceso del Estándar de Seguridad de Datos de la Industria de las Tarjetas de Pago (PCD DSS) para los pagos seguros con tarjeta de crédito.
La AAA-ICDR mantiene planes meticulosamente detallados y periódicamente actualizados para proteger sus datos y procesos. El Plan de Recuperación de Catástrofes (DRP) aborda los procedimientos de recuperación de la tecnología y las salvaguardias que la organización tiene en marcha para hacer frente a una pérdida de tecnología. El Plan de Continuidad de Negocio (BCP) garantiza la continuidad de las operaciones críticas del negocio en caso de una interrupción significativa del mismo, como la pérdida de personas o de oficinas. El Plan de Respuesta a Incidentes de Ciberseguridad (CIRP) describe el plan y el equipo que responde a los incidentes de seguridad de la información.
La AAA-ICDR exige una formación informática continua en toda la organización sobre concienciación en materia de seguridad y en 2019 inauguró una iniciativa de formación en ciberseguridad para los panelistas. Anualmente, todos los miembros del personal deben aceptar la Política de Uso Aceptable, que describe el uso apropiado y seguro de los recursos y datos de la AAA-ICDR.
¿Es la ciberseguridad lo mismo que la protección de datos?
¿Cuál es la diferencia entre ciberseguridad y seguridad de los datos? Recapitulando, la seguridad de los datos se centra en los propios datos. Sin embargo, la ciberseguridad abarca todas las formas de seguridad digital, incluidos los datos digitales y los sistemas digitales.
¿Cuáles son los tres tipos de datos que tenemos que asegurar en ciberseguridad?
La protección de datos e información es el más técnico y tangible de los tres pilares. Los datos que recogemos proceden de múltiples fuentes, como la tecnología de la información (TI), la tecnología operativa (TO), los datos personales y los datos operativos. Hay que gestionarlos y protegerlos adecuadamente en todo momento.
Datos y ciberseguridad
La ciberseguridad ha sido identificada como una de las prioridades de normalización, ya que las ciberamenazas afectan a multitud de sectores. La ciberseguridad y la protección de datos son ámbitos técnicos y de aplicación que crecen y cambian rápidamente. Las amenazas y los requisitos aumentan drásticamente con el progreso de la digitalización y el creciente número de activos críticos digitalizados y accesibles en línea. Por lo tanto, se espera la protección de los ciudadanos, pero también de la industria e incluso de los gobiernos.
CEN-CLC/JTC 13 “Ciberseguridad y protección de datos” es el comité técnico horizontal de CEN y CENELEC que se ocupa de estas necesidades. Su objetivo principal es transportar las normas internacionales pertinentes (especialmente de ISO/IEC JTC 1 SC 27) como normas europeas (EN) en el ámbito de las tecnologías de la información (TI). También desarrolla ENs “de cosecha propia”, cuando existen lagunas, en apoyo de la normativa de la UE (RED, eIDAS, GDPR, NIS, etc.). Estas dos corrientes de actividades tienen como objetivo crear una cartera estratégica de normas en Europa, que se ajuste a las necesidades europeas. CEN-CLC/JTC 13 trabaja estrechamente con ENISA (Agencia de la Unión Europea para la Ciberseguridad) en el contexto de los esquemas de certificación europeos, y con la Comisión Europea, en el marco de la solicitud de normalización relacionada con la ciberseguridad bajo la Directiva de Equipos de Radio (RED).
Seguridad informática y privacidad
Desde 2004, la Agencia ha adoptado un enfoque de ingeniería para analizar los principios de privacidad por diseño como principio fundamental para integrar las salvaguardias de protección de datos en el corazón de los nuevos productos y servicios electrónicos. En este contexto, también se estudian las tecnologías de mejora de la privacidad (PET) que pueden apoyar la integración de la privacidad en los sistemas y servicios y las medidas técnicas y organizativas de seguridad durante el tratamiento de los datos personales.
Actualmente, ENISA centra sus esfuerzos en cómo diseñar la protección de datos en la práctica y presenta análisis, recomendaciones y casos de uso relevantes sobre cómo las tecnologías y técnicas (de ciberseguridad) pueden apoyar la protección de los datos de ingeniería y el cumplimiento de los principios de protección de datos del GDPR.
La Agencia ha creado un grupo de trabajo ad hoc sobre ingeniería de la protección de datos cuyo objetivo es apoyar el análisis de las tecnologías y técnicas disponibles o emergentes sobre la protección de los datos de ingeniería.
Privacidad de los datos de Pwc
Las empresas suelen separar la ciberseguridad y la protección de datos formando dos equipos independientes y comprando software diferente para abordar cada uno de estos temas por separado. El mantenimiento y la gestión de dos equipos, junto con dos conjuntos de software, implica altos costes de TI y gastos administrativos.
Recientemente, un ataque de ransomware afectó a UHS, un proveedor de servicios sanitarios que gestiona 400 centros. Se sospecha que durante el ataque se utilizó Ryuk, una cepa de ransomware conocida por dirigirse a grandes organizaciones. Afortunadamente, ningún registro personal se vio comprometido durante este incidente de seguridad.
Echemos un vistazo a otro caso. Town Sports International, una cadena de gimnasios, expuso la información personal de más de 600.000 clientes y miembros del personal. El motivo de la violación fue la insuficiente protección del servidor, que permitió el acceso no autorizado.
De hecho, se puede considerar que estas dos historias pertenecen a campos independientes: la ciberseguridad y la protección de datos. Dado que las amenazas a los datos pertenecen a ámbitos distintos, los métodos para prevenirlas también deberían ser diferentes. Esa es la lógica que suele determinar las estrategias informáticas de las empresas y sus elementos, como la contratación de equipos y la elección de software.