Los siguientes ejemplos de medidas técnicas y organizativas concretarán aún más el concepto de seguridad del RGPD.

Medidas de apoyo a la integridad

• Una de las medidas técnicas clásicas para apoyar la integridad es el procesamiento transaccional. Es más conocido por los sistemas de gestión de bases de datos, pero también es posible en otros entornos^[1]. Las transacciones son importantes cuando una operación que lleva al sistema de un estado consistente a otro se compone de múltiples pasos de procesamiento. Una transacción asegura que se apliquen todos estos pasos o ninguno, incluso si el sistema se bloquea en medio. De este modo, se garantiza que el sistema permanezca siempre en un estado consistente.
• Las incoherencias pueden surgir debido a errores de transmisión en líneas de comunicación ruidosas. Por ello, la medida técnica de corrección^[2] de errores hacia adelante que incorporan los protocolos de comunicación modernos favorece la integridad de los datos durante la transferencia.
• Una medida técnica común para detectar cambios indeseables en conjuntos de datos utiliza sumas de comprobación (también conocidas como hash o digest). En concreto, la suma de comprobación de un conjunto de datos se calcula cuando se sabe que está en un estado consistente.En momentos posteriores, la suma de comprobación del conjunto de datos puede volver a calcularse y compararse con la inicial para detectar cambios y corrupción.
• La integridad es una cuestión importante en la distribución de software, especialmente si éste se descarga automáticamente a través de una red. Las actualizaciones automáticas de los sistemas operativos son un buen ejemplo. Para respaldar la integridad del software, a menudo se utilizan medidas técnicas como la autenticación de las fuentes en la red y la firma digital del software. La firma digital también se utiliza a menudo para los archivos de datos.

Medidas de apoyo a la confidencialidad

• Una medida organizativa de apoyo a la confidencialidad en el momento del diseño es un análisis de las consecuencias que puede tener para los interesados la divulgación no deseada a diversas partes. Esto es comparable a la seguridad informática, donde se identifican los activos críticos de la organización que necesitan una protección especial.
• La confidencialidad exige que el responsable del tratamiento aplique medidas de protección contra el tratamiento no autorizado (véase el art. 5(1)(f) del RGPD). Como se destaca en el Art. 29 y 32(4) del RGPD, esto incluye que los empleados sólo traten los datos personales por orden y según las instrucciones del responsable del tratamiento. Hay una multitud de medidas organizativas que respaldan este requisito, entre las que se incluyen las siguientes:
  • La investigación de los nuevos empleados para garantizar las habilidades necesarias para ejecutar las instrucciones de los controladores;
  • Medio legal que “garantiza que las personas autorizadas a tratar los datos personales se han comprometido a la confidencialidad o están bajo una obligación legal apropiada de confidencialidad”. (La redacción está tomada del art. 28(3)(b) que se refiere a las personas que trabajan para los procesadores, pero es igualmente aplicable a las personas que trabajan para el controlador).
  • En este sentido, también los contratos con posibles encargados del tratamiento (véase el art. 28(3) del RGPD) que transmiten requisitos de confidencialidad deben considerarse medidas.
  • Formación de los empleados en la ejecución de las instrucciones;
  • Puntos de contacto internos para los empleados que quieran aclarar cómo ejecutar las instrucciones;
  • Manuales que describen las instrucciones (manuales de proceso);
  • Supervisión y control de calidad.
• Lo que es válido para las instrucciones a los recursos humanos también lo es para las instrucciones a los recursos técnicos, es decir, los programas informáticos. La aplicación de medidas de protección contra el tratamiento no autorizado implica que los responsables del tratamiento tienen que asegurarse de que el software se corresponde realmente con sus instrucciones. Para ello existen varias medidas, entre ellas las siguientes:
  • Especificación de requisitos precisos como entrada para licitaciones o desarrollo de software a medida;
  • Pruebas formales de aceptación por parte del controlador;
  • Análisis de las nuevas versiones de software para comprobar que la funcionalidad modificada sigue correspondiendo a las instrucciones del controlador y que no se ha colado ninguna funcionalidad adicional (function creep) que corresponda a un procesamiento no autorizado por el controlador.
• Una medida técnica importante es el control de acceso que hace que sólo el personal autorizado pueda acceder a los sistemas y a los datos para fines autorizados. El control de acceso puede implicar una multitud de medidas, entre ellas las siguientes:
  • Emisión de credenciales de autentificación.
  • Configuración de los derechos y condiciones de acceso.
  • Gestión del ciclo de vida de las credenciales y de los derechos de acceso, incluyendo la caducidad y la renovación, la revocación (por ejemplo, cuando los empleados se van), la concesión y la revocación de los derechos de acceso temporales (por ejemplo, cuando los empleados están enfermos).
  • Auditorías periódicas de la eficacia general del sistema de control de acceso.
• Existe una gran cantidad de medidas técnicas destinadas a impedir que personas no autorizadas (internas o externas) accedan a los datos. Por lo general, se habla de protección de los datos en reposo, en tránsito y en uso. Los dos primeros aspectos suelen requerir el cifrado.
• Existe una gran cantidad de medidas para evitar que personas no autorizadas accedan a los sistemas y redes. Algunos ejemplos son los siguientes:
  • Endurecimiento de los sistemas operativos;
  • Aplicación oportuna de parches y actualizaciones críticas para la seguridad;
  • Cortafuegos;
  • Instalación de software antimalware;
  • Funcionamiento de los sistemas de detección de intrusos;
• En el desarrollo de software, existen muchas medidas para evitar el acceso no autorizado al software y a los sistemas, como el saneamiento de las entradas, las medidas de prevención de los tipos de ataques conocidos, como el cross site scripting, los métodos que evitan los desbordamientos de búfer, la aleatorización de la memoria, etc.
• Algunas medidas no pueden impedir directamente el tratamiento no autorizado, pero actúan como elementos disuasorios al ayudar a detectar dicha acción, determinar claramente la responsabilidad y permitir exigir responsabilidades a las personas que actuaron sin autorización. Estas medidas suelen incluir el registro o la creación de pistas de auditoría.
• Una medida importante asociada al fin de la vida útil de los componentes de almacenamiento es la destrucción completa y segura de todos los datos antes de su eliminación.

Medidas de apoyo a la disponibilidad y la resiliencia

• Una medida organizativa en tiempo de diseño es el análisis del impacto de la pérdida accidental en los sujetos de los datos. El objetivo es identificar los activos que deben protegerse con medidas de disponibilidad.
• Otra medida en tiempo de diseño se refiere a la portabilidad de los datos e investiga la disponibilidad de formatos adecuados y estandarizados legibles por máquina que estén disponibles y las posibilidades de transferir automáticamente los datos a otro responsable del tratamiento (véase el art. 20(2) delRGPD).
• Un tipo de medidas de apoyo a la disponibilidad muy común es la redundancia del almacenamiento. Algunos ejemplos conocidos son los siguientes:
  • Almacenamiento RAID;
  • Copias de seguridad;
  • Almacenamiento remoto en apoyo de la recuperación de desastres.
• Más allá del almacenamiento de datos, la redundancia también puede ser importante en los sistemas de procesamiento. Entre las medidas correspondientes se encuentran las siguientes:
  • Configuraciones maestro/esclavo con conmutación por error;
  • Granjas de servidores y configuraciones en la nube;
  • Estrategias de migración de procesos basadas en la virtualización.

 

 

1. Para ejemplos de procesamiento transaccional fuera de los SGBD, véase, por ejemplo, https://en.wikipedia.org/wiki/Tuxedo_(software) y https://docs.oracle.com/cd/E13222_01/wls/docs81/jta/trxejb.html (ambos visitados por última vez el 20/05/2020). ↑
2. Véase, por ejemplo, https://en.wikipedia.org/wiki/Forward_error_correction (última visita: 20/05/2020). ↑