Directrices para lograr el cumplimiento del RGPD

¡Tiempos emocionantes en los que vivimos! La era digital ha abierto un mundo de posibilidades como nunca antes. Internet es casi omnipresente y se puede conectar a prácticamente cualquier dispositivo, lo que da como resultado una diversa circulación, intercambio y acumulación de datos.

Uno puede pagar gastos fácilmente, compartir documentos, hacer una compra y realizar una variedad de otras tareas diarias sin salir de su residencia. Así es como la tecnología moderna mejora nuestra calidad de vida. Nuestra privacidad tiene un precio.

A medida que la información personal se intercambia en línea, los depredadores explotan las vulnerabilidades de seguridad. Las empresas se ven comprometidas y se toman identidades, fondos y propiedad intelectual.

Obligaciones de Cumplimiento del RGPD

El Reglamento General de Protección de Datos ("GDPR") se promulgó para cerrar las vulnerabilidades de protección de la privacidad de datos que la obsoleta Directiva de Protección de Datos no pudo cerrar. El RGPD impone obligaciones a las empresas de 28 estados miembros de la UE y regula cómo manipulan los datos en el territorio de la UE. GDPR requiere que las empresas ejerzan la debida diligencia y cumplan con los principios de protección de datos predeterminados y las condiciones de procesamiento al almacenar, acumular o transferir datos.

De acuerdo con la directiva GDPR, cualquier información perteneciente a un individuo (nombre, foto, dirección de correo electrónico, datos bancarios, detalles de ubicación, información médica o incluso dirección IP de la computadora y actualizaciones en sitios web de redes sociales) se considerará información personal y su seguridad. debe garantizarse el procesamiento.

La ejecución efectiva de las estrategias de protección de datos personales está respaldada por los principios del RGPD que imponen ciertas restricciones y requisitos. Los principios estipulan las responsabilidades de las empresas para garantizar:

• El sujeto dio su consentimiento legal inequívoco para recopilar y procesar datos personales solo para fines legítimos
• El sujeto es consciente de todas las actividades de procesamiento de datos personales.
• Solo se recopila la información requerida para fines específicos y explícitos.
• Los datos son exactos y actuales.
• Cuando los datos ya no son necesarios, se destruyen o eliminan correctamente
• Los datos están protegidos contra el procesamiento, la pérdida, la corrupción o el borrado no autorizados o ilegales.

Cumplimiento de los pasos de implementación de GDPR

La mayoría de las empresas han desarrollado ciertas estrategias dentro de sus operaciones diarias para garantizar la privacidad de la información personal de sus clientes durante un tiempo considerable, en base a la amplia orientación que proporcionó nuestra experiencia en proyectos anteriores.

Las estrategias han sido efectivas desde hace algún tiempo. Revisar y revisar la política de privacidad de acuerdo con las regulaciones de protección de datos de GDPR requirió un mayor fortalecimiento de las estrategias existentes. Para garantizar el cumplimiento del RGPD, por ejemplo, empresas como Agiliway revisó las operaciones de procesamiento de datos en las siguientes áreas.

Control de Acceso a Instalaciones de Procesamiento de Datos

Las empresas han implementado las siguientes medidas de seguridad para evitar el acceso no autorizado al lugar donde se procesan los datos:

• La entrada al edificio de oficinas solo está permitida con una llave inteligente personal que otorga acceso a los sectores correspondientes de la oficina, mientras que autenticación biométrica es necesario para obtener las llaves de las salas del proyecto. Solo el personal autorizado puede acceder al compartimento del servidor.
• Cuando un empleado deja una organización, se eliminan su tarjeta inteligente personalizada y su registro biométrico.
• La oficina está protegida por la noche y conectada a un sistema centralizado de vigilancia policial. Los guardias están presentes en las instalaciones durante todo el día. La entrada, las escaleras, los vestíbulos y las áreas de estacionamiento están equipadas con un sistema de videovigilancia.
• No se permiten visitantes a menos que estén autorizados por la gerencia o Recursos Humanos con anticipación y estén acompañados por un empleado. Los invitados no tienen acceso a la red empresarial.

Control de Acceso al Sistema de Proceso de Datos

Para evitar el acceso no autorizado a los sistemas de procesamiento de datos, también implementaron las siguientes medidas de seguridad:

• El acceso a los datos del proyecto lo otorga la administración (CTO, COO, SysAdmin (solo seguimientos de red)) en función del puesto y la responsabilidad de un empleado.
• La política de contraseñas de la empresa protege los sistemas internos (CRM, RRHH, contabilidad, gestión de proyectos, etc.) y las carpetas de proyectos de los clientes
• Un firewall configurado en un enrutador controla el tráfico entrante
• El procesamiento de datos no se subcontrata a un tercero.

Control de acceso a datos

El equipo solo puede recopilar y procesar datos autorizados para acceder según los derechos de acceso otorgados por los interesados. No se puede acceder a la información personal, almacenarla, copiarla, modificarla, transferirla, eliminarla ni compartirla con terceros no autorizados. Se lleva a cabo por:

• Obtención del consentimiento del cliente para el tratamiento de datos en virtud del RGPD.
• Antes de otorgar acceso a los datos, cada nuevo empleado debe ejecutar un acuerdo de confidencialidad.
• Modificar el permiso de acceso cada vez que cambie el puesto, función o salida de la empresa de un empleado.
• Bloqueo de todos los accesos, devolución de documentos/materiales, reasignación de funciones activas, devolución de computadoras y otros dispositivos, desactivación de correos electrónicos corporativos, bloqueo de llave inteligente personal y eliminación de huellas dactilares de la base de datos, etc.
• Reformateo de soportes de datos obsoletos y eliminación de todos los documentos innecesarios con dispositivos trituradores.
• Cifrado de todos los discos duros de portátiles para salvaguardar la información.
• Cuando finaliza el proyecto o período de soporte/garantía, se restringe el acceso a los documentos.

Separación de control del procesamiento de datos para fines distintos

Las siguientes acciones aseguran que los datos personales recopilados de varios clientes y para diferentes propósitos se procesen por separado:

• El control de permisos de acceso se implementa para otorgar a los puestos acceso al conjunto de información especificado.
• Los datos se almacenan en varios lugares. Por lo general, no transmitimos datos desde los servidores del cliente, ya que el cliente solo otorga acceso a los empleados relacionados con el proyecto.
• A menos que se soliciten nuestros DevOps, el departamento de TI interno del cliente es responsable de la implementación de producción.

Gestión de transmisión de datos

Según las disposiciones del RGPD, el controlador o procesador solo puede transmitir datos personales si se brindan las protecciones adecuadas. Garantiza la seguridad de los datos durante los flujos de datos internacionales al:

• Suscribir Cláusulas Contractuales de Transferencia de Datos Personales con el titular de los datos para definir las condiciones y obligaciones bajo las cuales el encargado del tratamiento realiza las operaciones de tratamiento de datos.
• Acceder y/o procesar datos en el servidor del cliente o almacenamiento de documentos. De lo contrario, VPN segura y protocolos Descargar documentos que contengan datos personales a través de SSL.
• Transmitir solo datos electrónicos a través de VPN y SSL.
• Designar un delegado de protección de datos que supervise el cumplimiento del RGPD por parte de la empresa.

Supervisión de disponibilidad de datos

Toma precauciones específicas para proteger la información personal de la destrucción o pérdida accidental. Las medidas implementadas incluyen:

• Prevenga las interrupciones del servicio en los centros de datos (fuente de alimentación ininterrumpida, salas de servidores con aire acondicionado, sistema de detección de humo).
• Inicio automático del servidor/base de datos desde una copia de seguridad especificada.
• Utilizar servicios en la nube de AWS y Azure con servidores basados ​​en la UE para alojar datos de clientes y almacenar copias de seguridad.
• Cifrado de archivos de datos.

Tan pronto como entró en vigor el RGPD, las empresas revisaron sus procesos comerciales para asegurarse de que cumplían con la regulación que rige el procesamiento de datos personales e implementaron los cambios necesarios para mantenerse alerta contra las filtraciones de datos.

Al instituir las medidas técnicas y organizativas apropiadas, educar a los empleados, actualizar los contratos y proteger el medio ambiente, garantizamos que nuestros clientes no pasarán desapercibidos de ningún intento malicioso.