INTRODUCCIÓ
Traducció literal, no automàtica, realitzada per Privacy Driver del catàleg de mesures de seguretat publicat per l'Autoritat Danesa de Protecció de Dades (DATATILSYNET):
En aquest catàleg es proposen una sèrie de mesures tècniques i organitzatives que poden ser necessàries per garantir una seguretat adequada als riscos que suposi el tractament (art. 5.1.f, 24, 25 i 32 RGPD). L'anàlisi de si les mesures són necessàries i adequades la duu a terme l'organització basant-se en una gestió de riscos, i depenent de la mateixa manera de quines altres mesures s'hagin adoptat, per la qual cosa aquest catàleg no suposa una llista exhaustiva de mesures.
Els exemples utilitzats es basen en gran mesura en lexperiència de la DATATILSYNET en la supervisió dempreses públiques i privades, les bretxes de seguretat de dades personals notificades, les directrius del CEPD i les normes ISO 27001 i 27002.
QUÈ ÉS UNA MESURA DE SEGURETAT?
Són les que prevenen i/o modifiquen un risc. Poden ser preventives, de detecció, correctives o una combinació. El RGPD només diferencia entre:
Però l'important no és en quina categoria es pot enquadrar una mesura, sinó que se n'hagin adoptat suficients per garantir un nivell de seguretat adequat al tractament.
Perquè un firewall/tallafocs sigui efectiu, cal a més de la seva instal·lació, configurar-se, administrar-se i mantenir-se actualitzat adequadament. Per tant, una mesura anomenada "curtafocs" constarà en realitat de moltes mesures, sovint una barreja d'alguna cosa tècnica i alguna cosa organitzativa. Cadascuna d'aquestes mesures es podria descriure com a mesures independents, però per evitar confusió s'anomenen "mesures" en aquest catàleg.
COM ES PRESENTA CADA MESURA DE SEGURETAT AL CATÀLEG?
De cada mesura de seguretat s'indica:
MESURES DE SEGURETAT
1. DRETS D'ACCÉS EN BASE A LES NECESSITATS DE LES FUNCIONS ACOMPLIDES
1.1. Quins riscos s'hi aborden?
Si un empleat té accés a un sistema de TI amb més drets dels necessaris per a les funcions, pot representar un risc innecessari sobre les dades. Limitar els drets d'accés (per exemple, accés de lectura sense accés d'escriptura) pot evitar errors i usos indeguts. És per tant una mesura preventiva que pot reduir les conseqüències si el dret d'un usuari s'utilitza incorrectament o se n'abusa.
No sol passar el mateix amb l'accés d'un ciutadà/client a una solució d'autoservei, ja que les opcions (llegir, canviar, afegir, eliminar dades) generalment s'escullen segons el que l'usuari de la solució d'autoservei ha de poder fer el mateix, i la responsabilitat de lús incorrecte recau en el propi usuari. No obstant això, pot haver-hi excepcions, on no sigui apropiat donar-li al client l'oportunitat de modificar/eliminar certes dades, fins i tot si es tracta de dades personals del propi client.
1.2 Quines mesures es poden considerar?
Els drets d'accés dels empleats s'adapten a una necessitat relacionada amb les funcions i estan limitats, per exemple, a les possibilitats de llegir, afegir, cercar, canviar, extreure o eliminar dades.
Si utilitzeu una ARP/RPA (Automatització robòtica de processos /Robotic Process Automation) o similar i per això es concedeixen drets d'accés als usuaris de l'ARP, l'accés també es restringirà el més possible. L'estalvi econòmic en llicències d'usuari d'ARP poden ser temptadors per atorgar a un robot tants drets d'accés com sigui possible, però un usuari d'ARP que té molts drets pot representar un risc més gran si, per exemple, un ciberdelinqüent té l'oportunitat de obtenir els drets daccés daquest robot. En minimitzar els drets d'accés dels usuaris de l'ARP, també es limita el dany potencial que pot causar l'usuari en cas d'un error en el codi/automatització.
Les opcions per restringir els drets d'accés solen dependre del disseny dels sistemes informàtics, per això cal tenir en compte aquests aspectes a l'hora de dissenyar, comprar o actualitzar els sistemes informàtics existents.
Certs drets d'accés poden donar l'oportunitat de causar danys irreparables, per exemple, l'eliminació i, per tant, es concedeixen al menor nombre possible de persones i només a persones amb la qualificació adequada. Per tant, cal mesurar aquesta mesura en el context de la correlació entre competències d'usuari, drets d'accés i tasques.
1.3. Quan és necessària la mesura?
D'acord amb l'art.25 RGPD, en desenvolupar, adquirir o actualitzar un sistema de TI, cal considerar la protecció de dades des del disseny i per defecte. L'opció de limitar/diferenciar els drets d'accés a les dades requereix que l'opció estigui integrada als sistemes de TI que controlen l'accés.
2. CONSCIENCIACIÓ I FORMACIÓ
2.1. Quins riscos s'hi aborden?
Conscienciació s'utilitza com a terme col·lectiu per a totes les iniciatives orientades a augmentar la conscienciació, sensibilització i coneixement dels empleats sobre seguretat. Podeu versar sobre el que els empleats no poden fer o sobre el que haurien de fer. Per tant, normalment es tracta de motivar els empleats a adoptar un comportament amb menys risc oa canviar de comportament en tractar dades. És per tant una mesura preventiva que pot reduir la probabilitat de molts escenaris diferents que poden afectar la confidencialitat, la integritat o la disponibilitat de les dades.
Poden ser mesures que capacitin els empleats per detectar missatges de phishing, en què un ciberdelinqüent intenta robar la informació d'inici de sessió de l'empleat per correu electrònic o SMS. Si els empleats no proporcionen aquesta informació, no fan clic a enllaços sospitosos o no obren fitxers adjunts, es pot evitar comprometre l'accés dels usuaris o la xarxa de l'organització. La conscienciació també pot ser informació per als empleats que totes les accions als sistemes de TI es registren per evitar abusos.
Si els empleats aprenen què cal fer per bloquejar ràpidament una targeta d'accés perduda/robada, la conscienciació també pot suposar una mesura de detecció, detenint potencialment un incident (targeta d'accés perduda/robada) abans que l'incident afecti el tractament de dades personals per part de l'organització (la targeta es fa servir indegudament per accedir a dades/articles).
2.2. Quines mesures es poden considerar?
A continuació es mostra una llista de mesures entre les quals escollir, depenent del que sigui important o rellevant a cada organització en particular i en relació amb el tractament de dades personals.
Diverses de les mesures també poden tenir suport tècnic, de manera que els usuaris no puguin evitar fer allò correcte. Les iniciatives que només es basen en procediments que cal recordar i complir impliquen inherentment un risc d'incompliment. Sovint aquest risc es pot minimitzar en gran mesura mitjançant suport tècnic.
2.3. Quan cal la mesura?
Atès que la conscienciació pot reduir molts riscos molt diferents, no es pot especificar quan cal. La conscienciació és una mesura organitzativa (inclosa la relacionada amb la persona/conductual). En general, constitueix un complement a les amenaces que no es poden gestionar adequadament mitjançant mesures tècniques (incloses les físiques). Per tant, la necessitat de conscienciació depèn de quant es pot aconseguir d'altres maneres.
3. SUPRESSIÓ AUTOMÀTICA D'ACCESSOS INACTIUS
3.1.Quins riscos s'hi aborden?
Un nombre més gran d'accessos d'usuaris proporciona una major "superfície d'atac" per als actors maliciosos, per tant, els accessos inactius suposen un risc innecessari. Aquesta és, doncs, una mesura preventiva que pot reduir la probabilitat que es faci un mal ús de l'accés d'un usuari (innecessari).
La inactivitat sovint és un senyal que l'accés és innecessari, i els accessos inactius poden ser més fàcilment utilitzats indegudament durant un període de temps més llarg sense que l'usuari legítim el descobreixi, perquè ell mateix no utilitza l'accés.
3.2. Quines mesures es poden considerar?
Supressió automàtica d'accessos que no s'han fet servir durant un període de temps (per exemple 45 dies). Quan la funció està integrada al sistema informàtic, se selecciona. Alternativament, sestableix un procediment manual. Per garantir una administració uniforme, en la mesura que sigui possible es gestiona de forma centralitzada des d'un sistema de gestió d'usuaris, en lloc de localment en els sistemes temàtics individuals.
3.3. Quan cal la mesura?
Els accessos innecessaris s'han de suprimir com més aviat millor per minimitzar l'esmentada "superfície d'atac". A més, un usuari pot optar per utilitzar deliberadament un accés a intervals regulars per evitar el tancament automàtic.
La gestió de riscos segons l'article 32 RGPD mostrarà quines mesures són les que cal adoptar. Les mesures per si soles no garanteixen que no es produeixi l'abús, i el valor de les mesures depèn en gran mesura de què es faci més per garantir la supressió ràpida de l'accés innecessari.
4.1. ¿Qué riesgos se abordan?
La còpia de seguretat es pot utilitzar per restablir l'accés a dades que s'han tornat inaccessibles o s'han destruït; és per tant una mesura correctiva que pot reduir les conseqüències de la destrucció, pèrdua o alteració accidental o il·lícita de dades. D'aquesta manera la còpia de seguretat:
4.2. Quines mesures es poden considerar?
Els procediments d'assignació d'accés garanteixen que la mateixa persona no tingui accés tant a les dades de producció com a la còpia d'aquestes dades. Quan això no es pot evitar, els accessos es comparteixen, requerint diferents comptes dusuari per accedir-hi.
Com més temps transcorri entre les còpies de seguretat, més gran serà la pèrdua de dades. El temps que transcorre entre cada còpia de dades es determina sobre la base de la gestió de riscos, és a dir, una avaluació de quant de temps fa que s'ha d'haver fet la darrera còpia abans que les conseqüències puguin ser massa greus per als interessats. En una estratègia de còpia de seguretat, s'especifiquen els intervals i el tipus (còpies completes/incrementals).
Si la còpia de seguretat està automatitzada, una alerta garanteix que es detecti si la còpia falla.
El maquinari i el programari s'han de poder recuperar des de la còpia i amb rapidesa. Això s'aplica, per exemple, a servidors físics, sistemes operatius, programari de bases de dades, llicències, claus de xifratge, etc. Alternativament, garanteix que aquests elements també es trobin en una còpia.
La ubicació física de la còpia es determina sobre la base de la gestió de riscos, és a dir, sobre una avaluació de quines amenaces poden afectar la ubicació física on es troben les dades originals. Si, per exemple, hi ha la possibilitat que els sistemes informàtics quedin destruïts per una inundació, aleshores la còpia s'ha d'ubicar en un lloc que no es pugui veure afectat per les inundacions.
Pel que fa a la ubicació lògica (ubicació de xarxa), la còpia de seguretat s'ha d'emmagatzemar en un lloc on hi ha un accés més limitat, ja que només uns quants (administradors de TI) necessiten accés. Les xarxes que emmagatzemen dades de producció i dades de seguretat no estan connectades a la xarxa, per exemple, perquè el suport el realitza un proveïdor de seguretat. Quan això no es pot evitar, les xarxes se segmenten entre si mitjançant tallafocs, que limiten l'accés a allò absolutament necessari, per la qual cosa la còpia de seguretat està millor protegida contra atacs de pirates informàtics que poden afectar altres parts de la xarxa.
S'ha de provar a intervals regulars si la còpia de seguretat es realitza en els intervals esperats (freqüència), si la còpia de seguretat està disponible, si la còpia de seguretat conté totes les dades necessàries (extensió), si la còpia de seguretat és veraç (integritat). Aquest darrer pot ser, per exemple, un tipus de prova d'integritat (suma de comprovació o una altra).
Cal fer també proves de restauració, si les dades realment es poden recuperar i utilitzar en un sistema de TI. Aquesta és una prova de si la recuperació es pot realitzar amb guies/procediments existents, (2) que tot el que té còpies (hardware, software, dades) pot funcionar en conjunt i (3) que la recuperació pot passar amb força rapidesa en relació amb el fet que la conseqüència generalment augmenta amb el temps (Objectiu de temps de recuperació).
Heu d'establir procediments per garantir que les dades que no siguin necessàries s'eliminin després d'utilitzar una còpia de seguretat, de manera que les dades no s'emmagatzemin per més temps del necessari.
Es garanteix que lús de còpies de seguretat (i, per tant, la difusió de dades) no augmenti el risc per als interessats. Això és perquè la transmissió i l'emmagatzematge de les dades a la còpia de seguretat estan protegides contra accessos no autoritzats i que el tractament de les dades a la còpia de seguretat es realitza sota el control del responsable del tractament. Això es fa a través d'acords de tractament de dades i xifrant les dades abans de transferir-les i emmagatzemar-les.
4.3. Quan cal la mesura?
La gestió de riscos segons l'article 32 RGPD mostrarà quines mesures són les que cal adoptar, ja que els riscos depenen en gran mesura de les conseqüències per als drets dels interessats, drets que es veuen afectats si les vostres dades personals deixen d'estar disponibles per al responsable.
Si, per exemple, es tracta de registres de pacients a un hospital, la manca de disponibilitat pot influir en la possibilitat que el pacient pugui rebre el tractament òptim; en el pitjor dels casos, pot tenir conseqüències fatals. Si, per contra, es tracta d'un registre de client d'una botiga en línia que ven vestits, presumiblement les conseqüències per als registrats seran menors o nul·les en cas de manca de disponibilitat.
5. GESTIÓ DE DRETS CENTRALITZADA
5.1. Quins riscos s'hi aborden?
La gestió descentralitzada (o "autònoma") de drets pot significar que qui la realitza no la tingui com a tasca principal. Podeu augmentar la possibilitat d'errors per manca d'experiència, coneixement o manca d'enfocament a la seguretat en gestionar els drets.
Si es produeixen canvis en un entorn de TI sense que es continuï i es provi la gestió de drets, això pot fer, entre altres coses, desaparèixer la restricció d'accés corresponent, de manera que es produeixi immediatament un accés no autoritzat. La gestió descentralitzada de drets pot implicar una probabilitat més gran que es passin per alt condicions específiques d'importància per a aquesta gestió quan es facin canvis en els entorns de TI, perquè només una o unes poques persones són conscients de les condicions en qüestió.
Si, per contra, la gestió de drets la duu a terme una unitat central que la té com a tasca principal, és més fàcil garantir el coneixement necessari i centrar-se en la seguretat. Això evita errors. Per tant, és una mesura preventiva que pot reduir la probabilitat que s'estableixi o mantingui un accés innecessari d'usuaris.
La gestió centralitzada de drets normalment facilitarà també el control i, per tant, la implementació d'una revisió periòdica d'aquests drets d'accés.
5.2. Quines mesures es poden considerar?
Es garanteix una visió general de tots els accessos dels usuaris i una gestió uniforme dels usuaris. La tasca es reuneix organitzativament amb persones que reben la formació necessària per fer aquesta tasca en particular.
Mitjançant directrius i/o mesures tècniques es prohibeix/impedeix ladministració descentralitzada dusuaris. Per exemple, decidiu que només els empleats de la unitat central d'administració d'usuaris puguin gestionar els drets d'accés. Una mesura tècnica pot, per exemple, ser un obstacle tècnic perquè els empleats puguin crear carpetes amb restriccions daccés en unitats de xarxa o plataformes dintercanvi darxius basades en web com SharePoint.
La centralització pot incloure una centralització tècnica mitjançant l'ús d'inici de sessió únic o un servei de directori com a Active Directory al Windows. Si és possible, hi hauria d'haver un enllaç a sistemes autoritzats, per exemple, un sistema de recursos humans que sempre mostri qui està emprat actualment i en quin lloc/departament. Si és possible, hi hauria d'haver un enllaç amb una assignació centralitzada de drets mitjançant, per exemple, un sistema IdM.
Quan la gestió centralitzada de drets no és possible o apropiada, sestableixen procediments fixos dexecució, de manera que se segueixin principis uniformes.
5.3. Quan cal la mesura?
La gestió de riscos segons l?article 32 RGPD mostrarà quines mesures són les que s?han d?adoptar, ja que els riscos i les oportunitats depenen en gran mesura de l?organització específica i dels tipus de sistemes informàtics que s?utilitzen.
D'acord amb l'art. 25 RGPD, en desenvolupar, adquirir o actualitzar un sistema de TI, cal considerar la protecció de dades des del disseny i per defecte. Si els sistemes de TI se seleccionen/ dissenyen per formar part d'una gestió central de drets i possiblement d'inici de sessió únic, es pot evitar una gestió descentralitzada amb els riscos abans esmentats.
6. ACCÉS NOMÉS A LES DADES NECESSÀRIES PER A L'EXERCICI DE LES FUNCIONS ACOMPLIDES
6.1. Quins riscos s'hi aborden?
Els drets d'accés s'han de limitar al màxim. Quan un empleat té accés a la informació de moltes persones, pot augmentar la temptació d'abusar de l'accés per a fins privats o no relacionats amb les funcions. En limitar l'accés a les dades perquè corresponguin a les necessitats relacionades amb les funcions, es poden reduir les possibilitats d'abús. Aquest és, per tant, una mesura preventiva que pot reduir la probabilitat d'ús indegut de l'accés dels usuaris i les conseqüències si es produeix un mal ús.
El mateix sol passar amb l'accés d'un ciutadà/client a una solució d'autoservei d'una autoritat o d'una empresa privada, ja que l'accés sovint s'ha de limitar a les dades personals de l'usuari.
6.2. Quines mesures es poden considerar?
El dret d'accés als empleats s'atorga segons les necessitats relacionades amb les seves funcions i es pot limitar, per exemple, a l'actualitat o l'antiguitat de les dades, el tipus de dades (per exemple, si són dades de clients, dades de recursos humans , dades de denunciants), tipus de cas (per exemple, "casos familiars"), etc.
Els drets d'accés dels ciutadans/clients s'adapten a allò que l'individu té dret a accedir-hi (normalment només les seves pròpies dades personals i possiblement les dels seus familiars propers).
Les opcions solen dependre del disseny dels sistemes informàtics, per això aquests aspectes es tenen en compte a l'hora de dissenyar o comprar sistemes informàtics.
Si utilitzeu una ARP/RPA (Automatització robòtica de processos /Robotic Process Automation) o similar i per això es concedeixen drets d'accés als usuaris de l'ARP, l'accés també es restringirà el més possible. L'estalvi econòmic en llicències d'usuari d'ARP poden ser temptadors per atorgar a un robot tants drets d'accés com sigui possible, però un usuari d'ARP que té molts drets pot representar un risc més gran si, per exemple, un ciberdelinqüent té l'oportunitat de obtenir els drets daccés daquest robot. En minimitzar els drets d'accés dels usuaris de l'ARP, també es limita el dany potencial que l'usuari pot causar en cas d'un error en el codi/automatització.
Vegeu també la mesura de pseudonimització i anonimització, que també restringeix l'accés, però eliminant o separant dades.
6.3. Quan cal la mesura?
L'article 5.1.f RGPD tracta sobre la integritat i la confidencialitat de les dades personals. Com menys pugui fer l'usuari amb les dades a què té accés, menors seran les possibles conseqüències si alguns d'aquests usuaris fan accions no intencionades o malicioses o usos injustificats de les dades. Això també té un efecte protector davant de les ciberamenaces, ja que un hacker sovint opera a través de drets d'accés a comptes d'usuari compromesos i, per tant, menys drets en limiten les opcions. Per tant, els drets d'accés s'han de limitar el més possible.
D'acord amb l'art.25 RGPD, en desenvolupar, adquirir o actualitzar un sistema de TI, cal considerar la protecció de dades des del disseny i per defecte. L'opció de limitar/diferenciar els drets d'accés a les dades requereix que l'opció estigui integrada als sistemes de TI que controlen l'accés. La configuració predeterminada també pot minimitzar els drets com a punt de partida, però també es pot tractar, per exemple, de l'eliminació automàtica de dades segons l'antiguitat, cosa que contribueix a minimitzar l'accés a les dades.
7. DOCUMENTAR LES AUTORITZACIONS
7.1. Quins riscos s'hi aborden?
Els administradors de drets d'usuaris tenen l'opció de donar als altres, fins i tot, accés als sistemes de TI, té la possibilitat tècnica de crear accés sense seguir els procediments o autoritzacions establerts, per exemple per facilitar procediments o, en el pitjor dels casos, per crear una base per a abús. Un control són els requisits de documentació per a l'autorització necessària. Per tant, es tracta d'una mesura preventiva que pot reduir la probabilitat que un usuari administrador cometi errors o abusi dels drets d'accés.
7.2. Quines mesures es poden considerar?
Els procediments i/o la tecnologia han d'estar configurats de manera que els administradors d'usuaris es vegin obligats a documentar que no han actuat pel vostre compte en relació amb l'emissió de drets d'accés.
Establir com a requisit (per escrit) que les autoritzacions (aprovacions de drets daccés per part dels responsables dautorització) siguin documentades per ladministrador dusuaris. Això protegeix la pressió d'un administrador d'usuaris perquè emeti drets d'accés sense una autorització documentada; aquest tipus de pressió podria, per exemple, provenir d'un gerent més centrat en optimitzar els fluxos de treball que en la seguretat. L'usuari administrador ha de conservar la documentació per poder demostrar que s'han seguit els procediments correctes a l'assignació de drets d'accés.
En la mesura que sigui possible, cal crear un obstacle tècnic perquè l'usuari administrador pugui canviar l'autorització un cop presentada i documentada. Això protegeix contra trampes per part de l'administrador d'usuaris.
Cal complementar-ho amb comprovacions de si la documentació coincideix amb els drets d'accés establerts. Possiblement pugui passar com a part de la mesura de control periòdic de la puntualitat dels drets daccés.
7.3. Quan cal la mesura?
L'article 5.1.f RGPD estableix, entre altres coses, que les dades personals s'han de processar de manera que es garanteixi la protecció contra el tractament no autoritzat o il·lícit. Quan les autoritzacions no estan documentades, es pot reduir el sentit de responsabilitat tant de lusuari administrador com del responsable dautoritzacions. Per tant, es pot donar més prioritat a fer que l?esdevenir diari funcioni que a realitzar correctament la gestió de drets.
La gestió de riscos segons l?article 32 RGPD mostrarà quines mesures són les que s?han d?adoptar, però considerant l?aspecte humà, la documentació de les autoritzacions molt sovint serà rellevant.
8. AUTENTICACIÓ MULTIFACTOR (MFA)
8.1. Quins riscos s'hi aborden?
L'autenticació multifactor, inici de sessió multifactor o en anglès MFA (Multi-Factor Authentication), té com a objectiu reforçar el control sobre qui accedeix a un sistema informàtic, de manera que es minimitzi la probabilitat d'accés no autoritzat.
L'autenticació implica que una persona verifiqui la seva identitat, per exemple, proporcionant una contrasenya que només ha de conèixer. Per tant, la contrasenya és el factor d'autenticació en el procés d'inici de sessió. La MFA requereix que l'usuari indiqui dos o més factors independents de diferents categories per accedir-hi. Dos factors es consideren independents si no és possible derivar-ne un a partir del coneixement de l'altre. Les categories següents es descriuen a continuació, i el panorama de risc es veu afectat per les categories seleccionades per al procés d'inici de sessió.
També es pot considerar una mesura de detecció, els intents d'obtenir accés no autoritzat a través de l'inici de sessió d'un usuari autoritzat requeriran múltiples passos (a causa dels múltiples factors en el procés d'inici de sessió) i poden brindar una oportunitat més gran de detectar intents dabús en progrés (en el primer factor) i abans que acabi en un accés no autoritzat exitós.
8.2. Quines mesures es poden considerar?
Els factors han de poder autenticar qui és lusuari, és a dir, garantir que sigui lusuari correcte qui iniciï sessió. El nom dusuari, el número de client, etc. no es pot considerar un factor si algú que no sigui l'usuari coneix o té accés a aquesta informació. A més, és informació de la mateixa naturalesa i s'ingressa de la mateixa manera que la contraseny