El libro desarrolla los distintos aspectos de la seguridad de datos, la normativa y consejos para la adaptación de los sistemas y ficheros a las medidas de seguridad establecidas en la normativa de protección de datos personales.

Es una publicación de carácter eminentemente práctico, y dirigida a los responsables de ficheros y responsables de seguridad. Incluye multitud de ejemplos, modelos de documentos de seguridad y referencias a contenidos en sitios web, además de un CD con las mejores prácticas de Protección de Datos.

SUMARIO

1. NOTA PRELIMINAR

2. ASPECTOS DE LA SEGURIDAD DE DATOS

• 2.1. Confidencialidad
• 2.2. Integridad
• 2.3. Disponibilidad
• 2.4. Prueba o Verificación

3. CONSIDERACIONES GENERALES

• 3.1. Legislación vigente
• 3.2. Tipos de ficheros
  • 3.2.1. Los ficheros Automatizados
  • 3.2.2. Los ficheros Manuales
  • 3.2.3. Los ficheros Mixtos
• 3.3. Personal responsable y obligaciones
  • 3.3.1. El Responsable del Fichero
  • 3.3.2. El Encargado del tratamiento
  • 3.3.3. El Responsable de Seguridad
  • 3.3.4. Los Administradores informáticos del fichero
  • 3.3.5. Los Usuarios
  • 3.3.6. Otras Personas
• 3.4. El deber de secreto
• 3.5. Régimen de infracciones

4. MEDIDAS DE SEGURIDAD DEL REGLAMENTO

• 4.1. Disposiciones generales
  • 4.1.1. Alcance
  • 4.1.2. Clasificación de los ficheros según el nivel de seguridad
  • 4.1.3. Encargado del tratamiento
  • 4.1.4. Prestaciones de servicio sin acceso a datos personales
  • 4.1.5. Delegación de autorizaciones
  • 4.1.6. Acceso a datos a través de redes de comunicaciones
  • 4.1.7. Régimen de trabajo fuera de los locales
  • 4.1.8. Ficheros temporales o copias de trabajo de documentos
• 4.2. Las medidas del Reglamento para los ficheros automatizados
  • 4.2.1. Medidas técnicas
    • 4.2.1.1. El control de accesos
    • 4.2.1.2. Identificación y autenticación
    • 4.2.1.3. Copias de respaldo y recuperación
    • 4.2.1.4. Gestión de soportes y documentación
    • 4.2.1.5. Distribución de soportes
    • 4.2.1.6. Registro de accesos
    • 4.2.1.7. Telecomunicaciones
  • 4.2.2. Medidas organizativas
    • 4.2.2.1. El Documento de seguridad
    • 4.2.2.2. El responsable de seguridad
    • 4.2.2.3. Funciones y obligaciones del personal
    • 4.2.2.4. Registro de incidencias
    • 4.2.2.5. Control de acceso físico
    • 4.2.2.6. Auditorías
    • 4.2.2.7. Resultados de las auditorías
  • 4.2.3. Cuadro resumen de medidas de seguridad
• 4.3. Las medidas de seguridad para los ficheros manuales
  • 4.3.1. El Documento de seguridad
  • 4.3.2. Funciones y obligaciones del personal
  • 4.3.3. Registro de incidencias
  • 4.3.4. El control de accesos
  • 4.3.5. Criterios de archivo
  • 4.3.6. Dispositivos de almacenamiento
  • 4.3.7. Custodia de los soportes
  • 4.3.8. Gestión de soportes
  • 4.3.9. Responsable de seguridad
  • 4.3.10. Auditoría
  • 4.3.11. Resultados de las auditorías
  • 4.3.12. Almacenamiento de la información
  • 4.3.13. Copia o reproducción
  • 4.3.14. Acceso a la documentación
  • 4.3.15. Traslado de la documentación
  • 4.3.16. Cuadro resumen de medidas de seguridad

5. AMENAZAS Y RIESGOS A LA SEGURIDAD

6. OBLIGACIONES Y BUENAS PRÁCTICAS DE LOS USUARIOS

• 6.1. El puesto de trabajo
  • 6.1.1. Resumen de recomendaciones sobre los puestos de trabajo
• 6.2. El factor humano y las técnicas de engaño
  • 6.2.1. Resumen de recomendaciones sobre las técnicas de engaño
• 6.3. Códigos y contraseñas de acceso
  • 6.3.1. Resumen de recomendaciones sobre uso de contraseñas de acceso
• 6.4. Las redes locales
  • 6.4.1. Tipos de redes y topología
  • 6.4.2. Los programas “sniffers”
  • 6.4.3. Los riesgos de las redes locales inalámbricas
  • 6.4.4. Resumen de recomendaciones sobre redes locales
• 6.5. Internet
  • 6.5.1. Ordenadores conectados directamente a Internet
  • 6.5.2. Ordenadores en redes locales conectadas a Internet
  • 6.5.3. Resumen de recomendaciones sobre Internet
• 6.6. El correo electrónico
  • 6.6.1. Los Bulos (“Hoaxes”)
  • 6.6.2. Correos trampa para obtener contraseñas
  • 6.6.3. Virus o programas malignos anidados en correos
  • 6.6.4. El peligro del correo basura
  • 6.6.5. Resumen de recomendaciones sobre correo electrónico
• 6.7. Listados y desechos informáticos
  • 6.7.1. Listados e impresos
  • 6.7.2. Disquetes, cintas y CDs
  • 6.7.3. Ordenadores obsoletos
  • 6.7.4. Empresas de destrucción de documentación confidencial
  • 6.7.5. Resumen de recomendaciones sobre desechos informáticos
• 6.8. Ficheros de trabajo y temporales
  • 6.8.1. Resumen de Recomendaciones sobre ficheros temporales
• 6.9. Ordenadores y memorias portátiles
  • 6.9.1. Memorias “pendrive”, o flash USB
  • 6.9.2. Ordenadores portátiles
  • 6.9.3. Recomendaciones sobre ordenadores y memorias portátiles
• 6.10. Programas de cifrado y firma electrónica
  • 6.10.1. Resumen de Recomendaciones sobre cifrado y firma electrónica
• 6.11. Uso de Antivirus
  • 6.11.1. Resumen de Recomendaciones sobre uso de Antivirus
• 6.12. Riesgos en el acceso a servicios Web
  • 6.12.1. Resumen de Recomendaciones para evitar riesgos en el Acceso a servicios Web.
• 6.13. Las redes sociales y sus riesgos
  • 6.13.1. Resumen de Recomendaciones sobre redes sociales

7. OBLIGACIONES Y BUENAS PRÁCTICAS DE LOS ADMINISTRADORES INFORMÁTICOS

• 7.1. Diseño de las aplicaciones informáticas
  • 7.1.1. Resumen de Recomendaciones en el diseño de aplicaciones
• 7.2. Control fisico de los centros de proceso
  • 7.2.1. Resumen de Recomendaciones sobre control fisico
• 7.3. Transferencias de ficheros
  • 7.3.1. Resumen de Recomendaciones sobre transferencia de ficheros
• 7.4. Control de respaldo y recuperación
  • 7.4.1. Tipos de pérdidas y recuperación
  • 7.4.2. Resumen de Recomendaciones sobre control de respaldo y recuperación
• 7.5. Control de códigos de acceso y contraseñas
  • 7.5.1. Resumen de Recomendaciones sobre contraseñas
  • 7.5.2. Resumen de recomendaciones sobre contraseñas
• 7.6. Uso de protocolos seguros y certificados digitales y firma electrónica
  • 7.6.1. Protocolos de transmisión seguros
  • 7.6.2. Certificados digitales y firma electrónica
  • 7.6.3. Resumen de Recomendaciones sobre uso de protocolos seguros, certificados digitales y firma electrónica.
• 7.7. Control de las redes de área local
  • 7.7.1. Las redes inalámbricas
  • 7.7.2. Resumen de recomendaciones sobre redes locales
• 7.8. Protección de redes y uso de cortafuegos
  • 7.8.1. Filtrado de paquetes
  • 7.8.2. Servicios intermediarios o “proxy”
  • 7.8.3. Resumen de recomendaciones sobre protección de redes
• 7.9. Control del personal externo o subcontratado
  • 7.9.1. Resumen de recomendaciones sobre control de personal externo o contratado.

8. OBLIGACIONES Y BUENAS PRÁCTICAS DE LOS USUARIOS DE FICHEROS MANUALES

• 8.1. Los ficheros manuales
• 8.2. Criterios de archivo
• 8.3. Salvaguarda fisica del fichero manual
• 8.4. Manejo y destrucción de soportes

9. SERVICIOS DE LA AGENCIA DE PROTECCIÓN DE DATOS DE LA COMUNIDAD DE MADRID

10. CONSULTAS FRECUENTES

• 10.1. Niveles de seguridad
• 10.2. Documento de seguridad
• 10.3. Identificación y Control de acceso
• 10.4. Responsable de seguridad
• 10.5. Otras medidas
• 10.6. Infracciones

11. MEJORES PRÁCTICAS

• 11.1. Concepto
• 11.2. Mejores prácticas en materia de seguridad
  • 11.2.1. El proyecto de la Agencia de Informática y Comunicaciones de la Comunidad de Madrid.
  • 11.2.2. El proyecto de Österreichische Datenschutzkommission y Gobierno
    Austriaco.
  • 11.2.3. El proyecto de Crossroads Bank for Social Security (Bélgica)
  • 11.2.4. El proyecto de la Red IRIS y la Universidad de Málaga
  • 11.2.5. El proyecto del Hospital Central de la Cruz Roja de Madrid “San José
    y Santa Adela”

12. MODELOS Y DOCUMENTOS TIPO

• 12.1. Modelos de documentos de seguridad
  • 12.1.1. Documento de seguridad para ficheros automatizados
  • 12.1.2. Documento de seguridad para ficheros manuales
• 12.2. Modelo de pliego de prescripciones técnicas/administrativas para la Contratación de las auditorias
• 12.3. Modelo de documento resumen de Auditoria a enviar a la APDCM
• 12.4. Otros Modelos
  • 12.4.1. Modelo de cláusulas para contratos o convenios con terceros con tratamientos de datos.
  • 12.4.2. Modelo de cláusulas de confidencialidad para otros contratos de trabajo

ANEXOS

• Anexo I. Resultados de Auditorias
• Anexo II. El Real Decreto Real Decreto 1720/2007 de 21 de diciembre
• Anexo III. Normativa relevante en materia de seguridad
• Anexo IV. Los virus y programas dañinos
• Anexo V. Criptografia de clave pública y sus aplicaciones en la seguridad

ANEXOS (en CD)

Legislación

• 1. Europea de Protección de Datos
  • 1.1. Directiva 95/46/CE del Parlamento Europeo y del Consejo de 24-10-1995
• 2. Estatal de Protección de Datos
  • 2.1. Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de
    Carácter Personal.
  • 2.2. Real Decreto 1720/2007, de 21 de diciembre por el que se aprueba el
    Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de datos de Carácter Personal.
  • 2.3. Instrucción 1/1996, de 1 de marzo, de la Agencia Española de Protección
    de Datos, sobre ficheros automatizados establecidos con la finalidad de controlar el acceso a los edificios.
  • 2.4. Instrucción 1/2006, de 12 de diciembre, de la Agencia Española de Protección de Datos, sobre el tratamiento de datos personales con fines de vigilancia a través de sistemas de cámaras o videocámaras.
• 3. Autonómica de Protección de Datos
  • 3.1. Ley 8/2001, de 13 de julio, de Protección de Datos de Carácter Personal
    en la Comunidad de Madrid.
  • 3.2. Decreto 99/2002, de 13 de junio, de regulación del procedimiento de elaboración de disposición general de creación, modificación y supresión de
    datos que contienen datos de carácter personal, así como su inscripción en el Registro de Ficheros de Datos Personales.
  • 3.3. Decreto 67/2003, de 22 de mayo, por el que se aprueba el Reglamento
    de desarrollo de las funciones de la APDCM, de tutela de derechos y control de ficheros de datos de carácter personal.
  • 3.4. Decreto 40/2004, de 18 de marzo, por el que se aprueba el Estatuto de la Agencia de Protección de Datos de la Comunidad de Madrid.
  • 3.5. Recomendación 1/2004, de 14 de abril, de la Agencia de de Datos de la
    Comunidad de Madrid, sobre la utilización y tratamiento de datos del padrón municipal por los Ayuntamientos de la Comunidad de Madrid.
  • 3.6. Recomendación 2/2004, de 30 de julio, de la Agencia de Protección de
    Datos de la Comunidad de Madrid, sobre custodia, archivo y seguridad de los datos de carácter personal de las historias clínicas no informatizadas.
  • 3.7. Recomendación 1/2005, de 5 de agosto, de la Agencia de Protección de
    Datos de la Comunidad de Madrid, sobre Archivo, Uso y Custodia de la Documentación que compone la Historia Social no informatizada por parte de los Centros Públicos de Servicios Sociales de la Comunidad de Madrid.
  • 3.8. Recomendación 1/2006, de 3 de abril, de la Agencia de Protección de Datos de la Comunidad de Madrid, sobre cesiones de datos de empleados públicos de la Comunidad de Madrid a las secciones sindicales, comités de empresa y juntas de personal (aprobada por Resolución del Director de la Agencia de Protección de Datos de la Comunidad de Madrid con fecha 3 de abril de 2006).
  • 3.9. Recomendación 1/2008, de 14 de abril, de la Agencia de Protección de
    Datos de la Comunidad de Madrid y en los servicios sociales de los entes locales de la Comunidad de Madrid.
  • 3.10. Instrucción 1/2007, de 16 de mayo, de la Agencia de Protección de Datos
    de la Comunidad de Madrid, sobre tratamiento de datos personales a través de sistemas de cámaras o videocámaras en el ámbito de los órganos y Administraciones Públicas de la Comunidad de Madrid.
  • 3.11. Recomendación 2/2008, de 25 de abril, de la Agencia de Protección de
    Datos de la Comunidad de Madrid, sobre publicación de datos personales en boletines y diarios oficiales en Internet, en sitios webs institucionales y en otros medios electrónicos telemáticas.
  • 3.12. Recomendación 3/2008, de 30 de abril, de la Agencia de Protección de
    Datos de la Comunidad de Madrid, sobre tratamientos de datos de carácter personal en servicios de administración electrónica.
• 4. Sociedad de información
  • 4.1. Ley 34/2002, de 15 de julio, de servicios de la sociedad de la Información y de comercio electrónico.
  • 4.2. Ley 59/2003, de 19 de diciembre, por la que se aprueban las normas reguladoras de firma electrónica.
  • 4.3. Ley 11/2007, de 22 de junio de Acceso electrónico de los Ciudadanos a
    los Servicios Públicos.
• 5. Telecomunicaciones
  • 5.1. Ley 32/2003, de 3 de noviembre, General de Telecomunicaciones.
  • 5.2. Ley 25/2007, de 18 de octubre, de conservación de datos relativos a las
    comunicaciones electrónicas y a las redes públicas de comunicaciones.
  • 5.3. Real Decreto 424/2005, de 15 de abril, por el que se aprueba el Reglamento sobre las condiciones para la prestación de servicios de Comunicaciones electrónicas, el servicio universal y la protección de los usuarios.
  • 5.4. Real Decreto 329/2009, de 13 de marzo, por el que se modifica el Reglamento sobre las condiciones para la prestación de servicios de comunicaciones electrónicas, el servicio universal y la protección de los usuarios, aprobado por el Real Decreto 424/2005, de 15 de abril, y el Reglamento
    sobre mercados de comunicaciones electrónicas, acceso a las redes y numeración, aprobado por Real Decreto 2296/2004, de 10 de diciembre.

Jurisprudencia

• 1. Constitucional
  • Sentencia del Tribunal Constitucional 292/2000, de 30 de noviembre. (Recurso de inconstitucionalidad promovido por el Defensor del Pueblo respecto de los artículos 21.1 y 24.1 y 2 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal.- Vulneración del derecho fundamental a la protección de datos. Nulidad parcial de varios preceptos de la Ley Orgánica).
• 2. Tribunal Supremo
• 3. Audiencia Nacional (Sala Contencioso-Administrativa)

Modelos y documentos tipo

• 1. Documentos de seguridad
• 2. Otros modelos

(ya recogidos en el punto 12 de esta publicación)

Mejores prácticas en Protección de datos en el ámbito de seguridad

Herramientas de ayuda a los responsables de ficheros

Una unidad de:

SEGURIDAD Y PROTECCIÓN DE DATOS PERSONALES

(ref. 5956)

IMPORTE TOTAL

(impuestos incluidos)

30,04