Seguir sus datos es una parte fundamental del cumplimiento con la nueva directiva NIS2 emitida por la UE. Pero… \u00bfC\u00f3mo puede rastrear sus datos?<\/p>\n
\u00a0<\/p>\n
En el mundo actual, saber d\u00f3nde viajan sus datos es tan importante como los propios datos. Imagine los datos como el flujo vital de un negocio, esenciales para sus operaciones diarias y su \u00e9xito a largo plazo. A medida que las empresas crecen y generan m\u00e1s datos, gestionarlos de manera segura y cumplir con las normativas se convierte en una tarea compleja. Es como intentar seguir todo lo que sucede en una ciudad bulliciosa, donde no necesariamente tiene control directo sobre todo.<\/p>\n
La Uni\u00f3n Europea ha introducido la directiva NIS2<\/a>, destacando la necesidad de que las empresas tengan una visi\u00f3n clara del recorrido de sus datos. No se trata solo de almacenar los datos de manera segura; se trata de comprender cada paso que dan, qui\u00e9n los accede y qu\u00e9 hacen con ellos. Piense en ello como saber exactamente d\u00f3nde viajan sus datos, a qui\u00e9n visitan y qu\u00e9 experiencias viven. Este conocimiento es crucial para mantener los datos seguros y garantizar que las empresas cumplan con las normativas establecidas.<\/p>\n La directiva NIS2 no se limita a marcar casillas para indicar que se cumple con la legislaci\u00f3n. Se trata de demostrar de manera efectiva que se est\u00e1 protegiendo la informaci\u00f3n. Esto implica la necesidad de conocer todo el trayecto de los datos, desde su creaci\u00f3n hasta su eliminaci\u00f3n. <\/p>\n El Art\u00edculo 21, P\u00e1rrafo 2, Puntos d y e<\/a> de la directiva NIS2 describe lo siguiente:<\/p>\n \u00ab(d) Seguridad de la cadena de suministro, incluidos los aspectos relacionados con la seguridad en las relaciones entre cada entidad y sus proveedores o prestadores de servicios directos;<\/p>\n (e) Seguridad en la adquisici\u00f3n, desarrollo y mantenimiento de sistemas de red y de informaci\u00f3n, incluyendo el manejo y la divulgaci\u00f3n de vulnerabilidades\u00bb<\/p>\n Lo que esto significa en t\u00e9rminos sencillos es que usted tiene la responsabilidad de verificar el recorrido de sus datos a lo largo de todo su trayecto. Esto implica que debe conocer qui\u00e9nes son los responsables del tratamiento de sus datos y qu\u00e9 otros responsables del tratamiento est\u00e1n utilizando ellos mismos.<\/p>\n Comprender a d\u00f3nde va su informaci\u00f3n y c\u00f3mo llega all\u00ed es fundamental para identificar posibles fallos, garantizar su protecci\u00f3n y evitar que cualquier dato no autorizado sea filtrado. Su empresa podr\u00eda manejar los datos de manera segura y quiz\u00e1s incluso contar con una certificaci\u00f3n como la ISO 27001, pero \u00bfqu\u00e9 sucede cuando los datos salen de su control?<\/p>\n La raz\u00f3n principal por la que es importante seguir los datos es que los ciberataques est\u00e1n siendo cada vez m\u00e1s sofisticados, y no solo van tras los datos que tienes, sino tambi\u00e9n tras los datos que otras empresas tienen sobre ti. Todos escuchamos sobre grandes ataques de vez en cuando, en los que incluso podr\u00edas haber sido afectado tu.<\/p>\n Si no sabes exactamente d\u00f3nde est\u00e1n tus datos y c\u00f3mo se est\u00e1n protegiendo, realmente no puedes saber cu\u00e1n seguro est\u00e1s frente a estas amenazas. Al monitorear tus datos en cada paso de su recorrido, est\u00e1s construyendo una estrategia de defensa contra cualquier ciberataque.<\/p>\n A veces, los datos pueden terminar siendo movidos, utilizados o almacenados de maneras o en lugares que no hab\u00edas planeado. Cada nuevo paso que dan tus datos puede traer nuevos riesgos, y al saber ad\u00f3nde van, puedes identificar estos problemas desde el principio. Esto te permite encontrar soluciones r\u00e1pidas para resolver estos inconvenientes antes de que se conviertan en problemas mayores.<\/p>\n Hoy en d\u00eda, la mayor\u00eda de las personas, desde clientes hasta socios comerciales, quieren tener la certeza de que su informaci\u00f3n est\u00e1 segura y de que se cumplen las normativas. Demostrar que sabes d\u00f3nde est\u00e1n tus datos en todo momento no solo te ayuda a cumplir con las leyes y mantener la seguridad, sino que tambi\u00e9n fortalece la confianza.<\/p>\n Sin embargo, realizar un seguimiento de tus datos puede ser un desaf\u00edo. Cada empresa que maneja tus datos, como los servicios en la nube o los subcontratistas, tiene su propio modo de operar. Adem\u00e1s, los negocios digitales est\u00e1n en constante evoluci\u00f3n, lo que implica que la forma en que tus datos se transfieren tambi\u00e9n puede cambiar.<\/p>\n Para abordar estos desaf\u00edos, es necesario ser meticuloso y proactivo al determinar c\u00f3mo realizar un seguimiento de los datos. Esto implica llevar a cabo verificaciones detalladas para comprender exactamente c\u00f3mo se mueve la informaci\u00f3n y hacia d\u00f3nde se dirige. Establecer normas s\u00f3lidas para la gesti\u00f3n de datos asegura que todas las partes que interact\u00faan con tus datos los manejan de manera segura y conforme a la legislaci\u00f3n vigente. Adem\u00e1s, este proceso no debe ser un esfuerzo puntual, sino una pr\u00e1ctica continua.<\/p>\n Ahora que entendemos por qu\u00e9 es importante e incluso beneficioso realizar un seguimiento de tus datos, a continuaci\u00f3n te proporcionaremos algunas pautas que pueden ayudarte a hacerlo por tu cuenta.<\/p>\n Lo primero que hay que hacer para controlar los datos es averiguar c\u00f3mo se mueven, tanto dentro como fuera de la empresa. Esto significa trazar un mapa de cada paso en el que se crean, guardan y trabajan los datos.<\/p>\n Al trazar el flujo de datos, anota tambi\u00e9n qu\u00e9<\/strong> datos recopilas, por qu\u00e9<\/strong> los recopilas, d\u00f3nde<\/strong> se almacenan, c\u00f3mo<\/strong> llegan de un lugar o servicio a otro y qui\u00e9n<\/strong> puede acceder a ellos en cada paso. Un mapa de este tipo te ayuda a entender y se\u00f1alar d\u00f3nde puede haber puntos d\u00e9biles o problemas potenciales.<\/p>\n El primer paso del seguimiento de los datos sigue siendo bastante sencillo. A menudo tus datos acaban siendo procesados o almacenados por otros, por ejemplo, tus servicios en la nube, herramientas de an\u00e1lisis o sistemas de gesti\u00f3n de clientes. Es muy importante que hables con esos proveedores para saber c\u00f3mo tratan tus datos. Deber\u00edas investigar c\u00f3mo siguen las normas, qu\u00e9 hacen para mantener los datos seguros y si utilizan otras empresas para ayudarles.<\/p>\n Una buena empresa transparente le ayudar\u00e1 con las preguntas que pueda tener. Otra forma de garantizar algunas cosas son los acuerdos de procesamiento. Estos acuerdos establecen las obligaciones que usted y su proveedor de servicios tienen para mantener a salvo los datos personales. No siempre es tan f\u00e1cil conseguir y encontrar estos documentos, ya que algunas empresas lo ponen bastante dif\u00edcil, lo que ya demuestra la importancia de hacer negocios con proveedores de servicios de confianza.<\/p>\n El siguiente paso puede ser un poco m\u00e1s dif\u00edcil. Un gran obst\u00e1culo a la hora de vigilar tus datos es el seguimiento de su paso por los subprocesadores. Estos son los terceros, que tus principales proveedores de servicios utilizan para procesar los datos por ellos. Es crucial que conozcas a cada uno de estos subprocesadores que intervienen en el tratamiento de tus datos para saber qu\u00e9 ocurre con ellos de principio a fin. Una vez que sepas qui\u00e9nes son, tienes que comprobar su nivel de seguridad y conformidad. Esto podr\u00eda significar examinar sus certificaciones de seguridad (como ISO 27001), comprobar sus operaciones mediante auditor\u00edas o pedir pruebas de c\u00f3mo protegen los datos. Debes asegurarte de que todas las empresas que tocan tus datos est\u00e1n tan comprometidas con su seguridad y el cumplimiento de las normas como t\u00fa.<\/p>\n Sus datos con frecuencia se trasladan a lugares fuera de su control directo. La lista de subprocesadores a menudo es extensa, y esto sin siquiera considerar los subprocesadores de dichos subprocesadores. Esta larga cadena de d\u00f3nde se procesan y almacenan los datos puede convertir su seguimiento en una tarea complicada. Es imprescindible ser proactivo, mantener una supervisi\u00f3n constante y comprender a fondo los acuerdos entre su empresa y los servicios que utiliza.<\/p>\n Tambi\u00e9n es importante destacar que algunas empresas no solo utilizan subprocesadores, sino que tambi\u00e9n podr\u00edan vender datos. Un ejemplo notable es la nueva aplicaci\u00f3n de Outlook de Microsoft, que, una vez que se acepta la declaraci\u00f3n de privacidad, tiene permitido vender los datos de todos los correos electr\u00f3nicos que se a\u00f1adan a ella a m\u00e1s de 750 terceros.<\/p>\n La semana pasada, el Servicio de Inteligencia de los Pa\u00edses Bajos (la CIA de los Pa\u00edses Bajos) nos alert\u00f3 sobre problemas de seguridad<\/a> relacionados con el gobierno de los Estados Unidos. Incluso lleg\u00f3 a ser noticia a nivel nacional (art\u00edculo en neerland\u00e9s)<\/a>. Se trata de que el gobierno estadounidense puede acceder a todos los datos de las empresas estadounidenses bajo la Ley Patriota (Patriot Act) y la Ley de la Nube (Cloud Act). Esto incluye tambi\u00e9n a empresas esenciales y organizaciones gubernamentales en los Pa\u00edses Bajos y en el resto del mundo.<\/p>\n M\u00e1s all\u00e1 de saber c\u00f3mo se mueven los datos y verificar a los proveedores de servicios, es importante implementar tanto soluciones tecnol\u00f3gicas como pol\u00edticas para supervisar los datos en tiempo real. Esto podr\u00eda implicar el uso de herramientas de gesti\u00f3n de datos que le permitan ver hacia d\u00f3nde se dirige su informaci\u00f3n, configurar controles de acceso para hacer un seguimiento de qui\u00e9n est\u00e1 accediendo a sus datos y por qu\u00e9, y cifrar los datos, ya sea cuando est\u00e1n en reposo o en tr\u00e1nsito. Lo m\u00e1s sencillo es si su proveedor de servicios le permite gestionar esto por s\u00ed mismo, lo que le brindar\u00eda un mayor control<\/p>\n Tampoco se trata de una tarea puntual; es un esfuerzo continuo. Otra parte clave de supervisar sus datos, que a veces se pasa por alto, es el factor humano. Ense\u00f1ar a su equipo por qu\u00e9 es crucial hacer un seguimiento de los datos y cumplir con las normativas es muy importante. Esto podr\u00eda implicar informarles sobre la NIS2, c\u00f3mo se espera que se trate la informaci\u00f3n dentro de su organizaci\u00f3n y qu\u00e9 hacer si detectan una violaci\u00f3n de datos. Tener un equipo que sepa qu\u00e9 hacer y que est\u00e9 alerta ayuda a su empresa a gestionar los datos correctamente.<\/p>\n Echemos un vistazo m\u00e1s de cerca a los subprocesadores, ya que esta parte del recorrido de los datos puede ser bastante ambigua.<\/p>\n El desaf\u00edo inicial para las organizaciones es obtener una visi\u00f3n clara del ecosistema de subprocesadores, ya que los detalles de estas relaciones podr\u00edan estar ocultos dentro de los acuerdos de servicio o no compartidos en absoluto. O, incluso peor, podr\u00edan ser ocultados deliberadamente. Puede ser necesario recurrir a fuentes p\u00fablicas, como el sitio web del proveedor o informes de la industria, para obtener una imagen m\u00e1s completa de c\u00f3mo manejan los datos. El objetivo es elaborar una lista detallada de subprocesadores, sentando las bases para un examen m\u00e1s exhaustivo.<\/p>\n Despu\u00e9s de identificar a los subprocesadores, el siguiente paso es evaluar la cadena de datos para identificar posibles riesgos. Esto requiere un an\u00e1lisis detallado de los protocolos de seguridad y los niveles de cumplimiento de cada subprocesador. Entre los factores importantes a considerar se incluyen el lugar donde se lleva a cabo el procesamiento de datos, las normativas legales de esas jurisdicciones y las certificaciones espec\u00edficas de protecci\u00f3n y seguridad de datos, como la ISO 27001, con las que cuenta cada subprocesador.<\/p>\n Interactuar directamente con los subprocesadores, o hacerlo a trav\u00e9s de sus proveedores de servicios principales, es fundamental para obtener la informaci\u00f3n necesaria. Esto puede incluir el uso de cuestionarios o la realizaci\u00f3n de auditor\u00edas.<\/p>\n Este tipo de interacci\u00f3n con los proveedores posiblemente tambi\u00e9n abre una l\u00ednea de comunicaci\u00f3n para abordar cualquier problema que pueda surgir. Siempre es recomendable documentar estas interacciones, ya que contribuyen a la evidencia de cumplimiento necesaria bajo la directiva NIS2.<\/p>\n Muchas empresas siguen utilizando los productos que ofrece Microsoft. Veamos c\u00f3mo ser\u00eda un an\u00e1lisis con Microsoft, sin entrar demasiado en detalles sobre si tus datos est\u00e1n realmente a salvo de an\u00e1lisis por parte de gobiernos extranjeros y si quieres que tus datos est\u00e9n con una empresa que fue multada el a\u00f1o pasado con miles de millones de euros, por violaciones de la privacidad.<\/a><\/p>\n En primer lugar, Microsoft presenta un desaf\u00edo significativo en t\u00e9rminos de transparencia, lo que complica los esfuerzos de las empresas para garantizar una ciberseguridad y un cumplimiento normativo exhaustivos. Aunque Microsoft proporciona una lista<\/a> que incluye 47 subprocesadores y 36 centros de datos en el momento de redactar este texto, los detalles sobre sus operaciones, c\u00f3mo manejan los datos y cu\u00e1les son sus protocolos de seguridad siguen siendo poco claros.<\/p>\n Este problema se complica a\u00fan m\u00e1s por la expansi\u00f3n global de los subprocesadores, que operan bajo diferentes leyes de protecci\u00f3n de datos seg\u00fan su ubicaci\u00f3n. Aunque Microsoft asegura que los subprocesadores cumplen con el RGPD, debemos tener en cuenta que la propia Microsoft ha continuado violando el RGPD, por lo que cabe preguntarse qu\u00e9 significa realmente su palabra. Adem\u00e1s, esto no necesariamente garantiza la seguridad de los datos, ya que tambi\u00e9n han sufrido varios hackeos y brechas de seguridad el a\u00f1o pasado<\/a>.<\/p>\n De hecho, es muy dif\u00edcil verificar a los subprocesadores por ti mismo, ya que las empresas matrices de estos subprocesadores provienen de diversos pa\u00edses, lo que agrega m\u00e1s complejidad y riesgos potenciales de seguridad. Aunque un subprocesador en s\u00ed mismo pueda estar ubicado en los Estados Unidos, la empresa matriz no siempre lo est\u00e1. Puedes comprobar esto t\u00fa mismo, pero al seguir el rastro, en ocasiones terminas encontrando empresas propiedad del gobierno chino.<\/p>\n Adem\u00e1s, muchos de estos subprocesadores no proporcionan una lista publicada de subprocesadores ni pol\u00edticas relacionadas con la privacidad, lo que requiere que te pongas en contacto con ellos de alguna manera, lo cual tambi\u00e9n toma tiempo y podr\u00eda resultar pr\u00e1cticamente imposible.<\/p>\n Si su trabajo consiste en evaluar a Microsoft a la luz del NIS2, es posible que est\u00e9 pensando en renunciar y mudarse a otro pa\u00eds, y no ser\u00eda el \u00fanico que siente que se trata de una tarea desalentadora. Lo que observamos es que esta toma de conciencia, junto con las preocupaciones sobre la privacidad y la seguridad, ha impulsado a cada vez m\u00e1s empresas y organizaciones gubernamentales a crear pol\u00edticas en contra de que sus proveedores de servicios utilicen subprocesadores para el tratamiento y procesamiento de datos, o al menos a limitarlos. Este cambio est\u00e1 impulsado por la comprensi\u00f3n de que los subprocesadores a\u00f1aden capas de complejidad a la seguridad de los datos, lo que a veces hace extremadamente dif\u00edcil garantizar una protecci\u00f3n completa.<\/p>\n Al reducir o evitar por completo la participaci\u00f3n de subprocesadores, la gesti\u00f3n de los datos se simplifica considerablemente. Como mencion\u00f3 el Servicio de Inteligencia holand\u00e9s en el art\u00edculo de la semana pasada, actualmente es impensable que se deterioren los lazos con Estados Unidos, pero nunca se sabe lo que puede ocurrir en el futuro. Creemos que la UE continuar\u00e1 invirtiendo en infraestructuras locales y, con ello, en nuevas leyes y directivas. Por lo tanto, esa podr\u00eda ser otra raz\u00f3n para considerar mantener sus datos completamente dentro de las fronteras de la UE.<\/p>\n Si tiene en cuenta todo esto, es el momento perfecto para abandonar los proveedores que est\u00e9 utilizando actualmente, ahorr\u00e1ndose a s\u00ed mismo y a su empresa mucho trabajo innecesario y, al mismo tiempo, mejorando sus est\u00e1ndares de seguridad y privacidad<\/p>\n En la UE existen muchas empresas que ofrecen todo tipo de servicios y productos para los diversos retos a los que pueda enfrentarse su empresa. Solo tiene que buscar aquellas que se ajusten a su pol\u00edtica empresarial.<\/p>\n Si compar\u00e1semos un viaje de datos simplificado con Microsoft, pasar\u00edas de la situaci\u00f3n de la imagen inferior, con decenas de subprocesadores en diferentes pa\u00edses y la posible venta de tus datos…<\/p>\n … a la situaci\u00f3n siguiente, con menos proveedores, menos subprocesadores y alojamiento en la UE. En el caso de vBoxx, eso significar\u00eda productos alojados en los Pa\u00edses Bajos, sin subprocesadores y con asistencia personalizada.<\/p>\n El Gobierno neerland\u00e9s ha publicado una herramienta que le ayuda a comprobar r\u00e1pidamente su conformidad con NIS2 (en neerland\u00e9s).<\/a> Le recomendamos encarecidamente esta herramienta.<\/p>\n Si desea hablarnos sobre su caso de uso, estaremos encantados de ayudarle a determinar qu\u00e9 puede necesitar. Ofrecemos una amplia gama de servicios que su empresa requiere, como almacenamiento en la nube<\/a>, correo electr\u00f3nico<\/a>, videoconferencia<\/a>, gesti\u00f3n de contrase\u00f1as<\/a>, as\u00ed como servidores<\/a>, alojamiento web<\/a> y mucho m\u00e1s.<\/p>\n No tenemos subprocesadores. Tanto nosotros como nuestro centro de datos cuentan con la certificaci\u00f3n ISO 27001 y somos totalmente de titularidad de la UE, por lo que no hay empresas matrices extracomunitarias implicadas. Env\u00edenos un correo electr\u00f3nico<\/a>, ll\u00e1menos<\/a> o inicie un chat<\/a>, y le ayudaremos de inmediato.<\/p>\n \u00a0<\/p>\n","protected":false},"excerpt":{"rendered":" Seguir sus datos es una parte fundamental del cumplimiento con la nueva directiva NIS2 emitida por la UE. Pero… \u00bfC\u00f3mo puede rastrear sus datos? \u00a0 En el mundo actual, saber d\u00f3nde viajan sus datos es tan importante como los propios…<\/p>\n","protected":false},"author":5,"featured_media":9852,"comment_status":"closed","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[60],"tags":[],"class_list":["post-9850","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-guias-y-consejos-sobre-nis2"],"yoast_head":"\nLa Importancia de Rastrear tus Datos<\/h2>\n
Los Beneficios y Estrategias<\/h3>\n
Gesti\u00f3n de Riesgos<\/h4>\n
Fomenta la confianza<\/h4>\n
Retos y Consideraciones<\/h4>\n
C\u00f3mo Seguir tus Datos<\/h2>\n
Paso 1: Contactar con los Proveedores de Servicios<\/h3>\n
Paso 2: Identificar y Evaluar a los Subprocesadores<\/h3>\n
Flujo de Datos M\u00e1s All\u00e1 del Control Directo<\/h3>\n
M\u00e1s Cosas a Tener en Cuenta<\/h3>\n
Mecanismos de Seguimiento<\/h3>\n
Identificaci\u00f3n de Subprocesadores<\/h2>\n
Evaluaci\u00f3n de Riesgos y Participaci\u00f3n<\/h3>\n
Ejemplo: Microsoft<\/h2>\n
Cambios visibles en el mercado<\/h2>\n
C\u00f3mo simplificar el cumplimiento de NIS2<\/h2>\n
Sus Pr\u00f3ximos Pasos<\/h2>\n