Agencia Catalana de Protección de Datos © Agència Catalana de Protecció de Dades. Generalitat de Catalunya Auditorías de seguridad Reglamento de desarrollo de la LOPD. Medidas de seguridad V Encuentro entre agencias autonómicas de protección de datos Madrid, 28 de octubre de 2008 Ramón Miralles Coordinador de Auditoria y Seguridad de la Información

© Agència Catalana de Protecció de Dades. Generalitat de Catalunya Auditoria de seguridad Auditoria de seguridad:  obligación (deber de seguridad)  verificar de forma periódica  los procedimientos y operaciones  de datos que deben ser protegidos con las medidas de seguridad de nivel medio  se realizan con las debidas condiciones de seguridad. (art. 96 y 110 RLOPD)

© Agència Catalana de Protecció de Dades. Generalitat de Catalunya Auditoria de seguridad Percepción negativa de la auditoria de protección de datos:  una carga más de la norma  tendencia a auditar lo mínimo  un documento que se elabora y “archiva”  su utilidad se basa en su existencia física, no en su contenido: “hay que tenerlo por si nos lo piden”  es sinónimo de “factura de servicios externos”  en resumen: se percibe de escasa o nula utilidad para los responsables de tratamientos o ficheros

© Agència Catalana de Protecció de Dades. Generalitat de Catalunya Auditoria de seguridad Valor de la auditoria: Auditoria Documento de seguridad Responsabl e de seguridad Deber De seguridad

© Agència Catalana de Protecció de Dades. Generalitat de Catalunya Auditoria de seguridad Nueva regulación de la auditoria de protección de datos: no se aprecian grandes cambios  Interna o externa  Cada 2 años (de forma general)

© Agència Catalana de Protecció de Dades. Generalitat de Catalunya Auditoria de seguridad ¿Que se somete a las tareas de verificación?  Sistemas de información (ficheros, tratamientos, programas, soportes y equipos)  Instalaciones de tratamiento (locales)  Instalaciones de almacenamiento

© Agència Catalana de Protecció de Dades. Generalitat de Catalunya Auditoria de seguridad ¿Cuál es el alcance de la auditoria?  Verificar el cumplimiento de los previsto en el título VIII del RLOPD (medidas de seguridad)  Desaparece la referencia a procedimientos e instrucciones vigentes en materia de seguridad  El informe de auditoria dictaminará sobre la adecuación de las medidas y controles a la Ley y al desarrollo reglamentario

© Agència Catalana de Protecció de Dades. Generalitat de Catalunya Auditoria de seguridad Informe de auditoria:  identifica deficiencias  propone medidas correctoras o complementarias  se adjunta al informe todo lo que ha servido para dictaminar y recomendar  el responsable de seguridad debe analizarlo y hacer llegar al responsable del tratamiento las conclusiones  los informes de auditoria quedan a disposición de la autoridad de control competente

© Agència Catalana de Protecció de Dades. Generalitat de Catalunya Auditoria de seguridad Novedad: auditoria extraordinaria  Modificaciones sustanciales en el sistema de información  Con repercusión en las medidas de seguridad implantadas  Verificar la adaptación, adecuación y eficacia: comprobar si siguen siendo válidas  La auditoria extraordinaria inicia el periodo de 2 años entre auditorias: «siempre y cuando la auditoria haya sido completa» (interpretación)

Agencia Catalana de Protección de Datos © Agència Catalana de Protecció de Dades. Generalitat de Catalunya Ramón Miralles Coordinador de Auditoria y Seguridad de la Información