Ley LOPD

Ley de protección de datos de carácter personal (LOPD), aprobada el 13 de diciembre de 1999.

Tiene el objetivo de proteger la intimidad y privacidad de una persona y su entorno familiar al igual que tener el derecho de no manipular ni usar los datos de otras personas por usos propios.

Existen registros que clasifican los datos en diferentes niveles de seguridad:

• Nivel básico: Identificativo, circunstancias sociales, transacciones. Una de las medidas de seguridad de nivel básico (y que, por tanto, debe implantarse en todo tipo de ficheros automatizados) es que se establezca un procedimiento de asignación y distribución de contraseñas y que las contraseñas se cambien, al menos, una vez al año.

• Nivel mediano: Infracciones administrativas o penales, hacienda pública, información comercial. Una de las medidas que se debe implantar para estos ficheros o tratamientos de datos de nivel medio es la realización de una auditoría (interna o externa) cada dos años a fin de verificar que se cumplen las medidas de seguridad que exige la normativa de protección de datos.

• Nivel alto: ideología, creencias y origen racial. Una de las medidas de seguridad que se debe implantar en estos ficheros de nivel alto (si son automatizados) es, por ejemplo, la del registro de accesos, de manera que quede registrado el usuario que ha intentado acceder al fichero, la hora, el fichero, el tipo de acceso y si dicho acceso ha sido autorizado o denegado.

La ley LOPD figura en el artículo 18 de la Constitución Española como:

“La ley limitará el uso de la informática para garantizar el honor y la intimidad personal y familiar de los ciudadanos y el pleno ejercicio de sus derechos”

Sanciones Ley LOPD

● Posibles sanciones: Las sanciones de la LOPD previstas por las infracciones por acción uno omisión son muy elevadas, por ejemplo , no declarar un fichero (considerada como una falta “leve”, llega a la cifra de 60.000€. Pueden llegar hasta el 600.000€ en el caso de una cesión de datos fuera de consentimiento.

Ley LSSI

LSSI-CE: Ley de servicios de la sociedad de la información y del comercio electrónico.

Tiene como objetivo ofrecer más confianza a los internautas por qué usen Internet por las transacciones cotidianas. El que hace es recoger las obligaciones de los prestamistas de servicios establecidos en España y otorgar una serie de garantías de seguridad a los usuarios.

La persona que ofrece servicios tiene la obligación de informar al usuario: la denominación social, NIF, domicilio, teléfono y dirección de correo electrónico (en caso de páginas web).

Comunicar el nombre de dominio de la empresa.

Condiciones generales del contrato y los trámites que se tienen que seguir y confirmar la celebración del contrato ya sea por vía electrónica o lo envío de un recibo (en caso de hacer contratos en línea).

Si se realizan ofertas, concursos o juegos promocionales, identificarlas como tales e indicar claramente las condición de la participación.

Sanciones Ley LSSI

El incumplimiento de cualquier de las anteriores normas comporta a una sanción, que se diferencian entre “leves”, “graves” y “muy graves”.

• Sanción leve: Multa de 30.000€ (por ejemplo, no dar datos de información general de la empresa).
• Sanción grave: Multa de 30.001€ hasta 150.000€ ( por ejemplo, no señalar de forma clara la actividad de la empresa ni hacer referencia al precio de los productos que se venden en la web).
• Sanción muy grave: Multa de 150.001€ hasta 600.000€(por ejemplo, el incumplimiento de la obligación de suspender la transmisión, el alojamiento de datos o el acceso a la red). La reiteración en el plazo de tres años, de dos o más infracciones muy graves puede dar lugar a la prohibición de actuación en España durante un plazo máximo de dos años.

Normas ISO 27000

Es un conjunto de estándares desarrollados por ISO (International Organization for Standardization) e IEC (International Electrotechnical Commision), que proporcionan un marco de gestión de seguridad de la información utilizable por cualquier tipo de organización, pública, privada, grande o pequeña.

Normas ISO 27000 de Seguridad de la Información

Seguidamente se explicarán las normas más importantes de ISO 27000, pero antes hay que saber qué es la *SGSI:

• SGSI (sistema de gestión de la seguridad de la información) es un conjunto de políticas de administración de la información.
• Uno SGSI es por la organización del diseño, implementación y mantenimiento de un conjunto de procesos para gestionar eficientemente la accesibilidad de la información, buscando asegurar la confidencialidad, integridad y disponibilidad de la información, minimizando a la vegada los riesgos de seguridad.

• ISO/IEC 27000: Es un vocabulario estándar por lo *SGSI. Introducción y base por las normas siguientes.
• ISO/IEC 27001: Es la certificación que tienen que obtener las organizaciones. Especifica los requisitos por la implementación del *SGSI, es la norma más importante puesto que adopta uno *enfoc a la gestión de riesgos y promueve la mejora continúa de los procesos.
• ISO/IEC 27002: Es el código necesario por la gestión de seguridad de la información.
• ISO/IEC 27003: Son directrices por la implementación de uno *SGSI.
• ISO/IES 27004: Son métricas por la gestión de seguridad de la información. Es la que proporciona recomendaciones de quienes, cuando y como realizar medidas de seguridad de la información.
• ISO/IEC 27005: Trata de la gestión de riesgos en seguridad de la información. Es la que proporciona recomendaciones y métodos de evaluación de riesgos de Seguridad de la Información en apoyo del proceso de gestión de riesgos en la norma ISO/IEC 27001.
• ISO/IEC 27006: Son los requisitos por la acreditación de las organizaciones que proporcionan la certificación de los sistemas de gestión de la seguridad de la información.
• ISO/IEC 27007: Es una guía para auditar al SGSI.
• ISO/IEC 27016: Es una norma que se concentra en un análisis financiero y económico de equipos y procedimientos de la seguridad de la información.
• ISO/IEC 27017: Es una guía de seguridad por Cloud Computing.
• ISO/IEC 27035: Se centra en las actividades de detección, repuesto y evaluación de incidentes de seguridades y sus vulnerabilidades.