Medidas de seguridad en marco de la LFPDPPP 3° Encuentro Latinoamericano sobre Ciberseguridad: Delitos Cibernéticos e Informática Forense Medidas de seguridad en marco de la LFPDPPP

“No hay privacidad sin seguridad “No hay privacidad sin seguridad. Y la libertad requiere tanto de la seguridad como de la privacidad ". Schneier on Security. Security vs. Privacy, https://www.schneier.com/blog/archives/2008/01/security_vs_pri.html

Ley Federal de Protección de Datos Personales en Posesión de los Particulares (2010) Artículo 19. Todo responsable que lleve a cabo tratamiento de datos personales deberá establecer y mantener medidas de seguridad administrativas, técnicas y físicas que permitan proteger los datos personales contra daño, pérdida, alteración, destrucción o el uso, acceso o tratamiento no autorizado. Los responsables no adoptarán medidas de seguridad menores a aquellas que mantengan para el manejo de su información. Asimismo se tomará en cuenta el riesgo existente, las posibles consecuencias para los titulares, la sensibilidad de los datos y el desarrollo tecnológico.

Reglamento de la LFPDPPP (2011) Capítulo III. De las Medidas de Seguridad en el Tratamiento de Datos Personales Atenuación de Sanciones Factores para determinar las medidas de seguridad Acciones para la seguridad de los datos personales Actualización de las medidas de seguridad Vulneraciones y notificación

Artículo 58. En términos de lo dispuesto en el artículo 65, fracción III de la Ley, en los casos en que ocurra una vulneración a la seguridad de los datos personales, el Instituto podrá tomar en consideración el cumplimiento de sus recomendaciones para determinar la atenuación de la sanción que corresponda.

Recomendaciones en materia de seguridad de datos personales (2013) Para la seguridad de los datos personales, el INAI RECOMIENDA la adopción de un Sistema de Gestión de Seguridad de Datos Personales (SGSDP), basado en el ciclo PHVA (Planear-Hacer-Verificar-Actuar).

Manual en materia de Seguridad de Datos Personales para MIPYMES (2014) Implementación de las Recomendaciones Guía para implementar un Sistema de Gestión de Seguridad de Datos Personales (2014) Tabla de equivalencia funcional entre estándares de seguridad y la LFPDPPP, su Reglamento y las Recomendaciones en materia de seguridad de datos personales (2014) Manual en materia de Seguridad de Datos Personales para MIPYMES (2014) Ahora bien, para la implementación de las RMS tenemos una Guía, que es con la que vamos a trabajar durante esta presentación. Y se emitirá una Guía para MIPYMES probablemente dentro de un mes, la cual orienta sobre medidas de seguridad básicas que ayudan a minimizar las vulneraciones a los datos personales.

Flujo de los datos personales Aquí es importante conocer el flujo de los datos personales: Información básica que permita conocer el tratamiento al que son sometidos, desde su:   Obtención; Uso: Acceso Manejo Aprovechamiento Monitoreo Procesamiento (incluidos los sistemas que se utilizan para este fin) Divulgación: Remisiones Transferencias Almacenamiento; Bloqueo; Cancelación, supresión o destrucción.

Riesgo inherente en los sistemas de tratamiento Por otra parte, es importante que el responsable tome en cuenta que los datos personales tienen un valor potencial significativo, tanto para los titulares y responsables, como para cualquier persona no autorizada que pudiera beneficiarse de ellos, lo cual representa el riesgo inherente por tipo de dato. (Armando)

Nivel Estándar: Datos genéricos de identificación. Ejemplo de categorías de los sistemas de tratamiento, en función del riesgo inherente Nivel Especial: Por su naturaleza y contexto pueden causar daño directo a los titulares. Nivel Sensible: Datos patrimoniales, ubicación física, jurídicos, autenticación, sensibles. Nivel Estándar: Datos genéricos de identificación. Ejemplificar. No es lo mismo que vayamos a la pizzeria y que demos el nombre y el teléfono A que vayamos a un laboratorio médico en donde entregamos estos mismos datos más otros. Me voy a los extremos.

Reto: “Valora tus Datos Personales” http://inai.codeandomexico.org/ El riesgo se traduce en pesos. No en galletas ni en cacahuates.

Sección de Seguridad de los Datos Personales Sección en el sitio web del INAI, en el apartado de Protección de Datos Personales -> Seguridad de los datos personales. Publicación de documentos, y otras referencias respecto al deber de seguridad. En el módulo anterior vieron las obligaciones de seguridad establecidas en la ley y su reglamento. Derivado de estas obligaciones surgen las RMS… Si bien las recomendaciones, pueden ser tomadas en cuenta para la atenuación de sanciones, su relevancia radica en que ayudan a los responsables y encargados a cumplir con las obligaciones de seguridad que ya vieron en el taller anterior. http://goo.gl/ME4p6U

¿Dudas? seguridatos@ifai.org.mx @breakpool