Curs Pryects de Adecuación de ls a las leyes LOPD, RD1720 Y LSSI El Curs se imparte en mdalidad Online Del 5 de May al 28 de Juni 2014 V Edición C/ Mayr, 4 6ª planta 28013 Madrid Teléfn: 91.523.86.20 Fax: 91.521.48.25 Crre-e: secretec@ali.es Web: www.ali.es
Índice 1. Presentación... 3 2. Objetivs... 4 3. Dirigid a... 4 4. Cntenids... 5 5. Duración... 6 6. Desarrll del curs... 6 7. Prerrequisits, Asistentes y Certificad de suficiencia... 7 8. Evaluación del curs pr ls alumns... 8 8.1. Evaluación general... 8 8.2. Respuestas a las preguntas abiertas... 9 9. Herramienta de ayuda a la Adecuación: SGICP Básic... 10 9.1. Presentación... 10 9.2. Características... 11 9.3. Cmpnentes... 13 Curs: Pryects de Adecuación de ls a las Leyes LOPD, RD1720 Y LSSI 2
1. Presentación El curs da respuesta a las necesidades de frmación en ls cncimients teórics y práctics que se precisan para acmeter cn éxit ls pryects de cumplimient legal (LOPD, LSSI, RD1720) en ls sistemas infrmátics utilizads pr las rganizacines públicas y privadas: LOPD - Ley Orgánica 15/1999, de 13 de Diciembre, de Prtección de Dats de Carácter Persnal. LSSI - Ley de Servicis de la Sciedad de la Infrmación y de Cmerci Electrónic. Real Decret 1720/2007 pr el que se aprueba el Reglament de desarrll de la Ley Orgánica 15/1999, de 13 de diciembre, de prtección de dats de carácter persnal. A) Cncimients bligatris: Cn la entrada en vigr del nuev reglament RD1720:2007 ( RLOPD), el panrama ha cambiad cmpletamente pr el gran alcance de respnsabilidades que tiene la Dispsición adicinal única en relación cn ls Prducts de sftware. El alcance es de tal magnitud y su redacción es tan clara que la situación actual para cumplir cn la Ley es la siguiente en una dble vertiente: En tds ls prducts sftware que traten dats de carácter persnal es bligatri, según establece el RLOPD: Incluir en su descripción técnica el nivel de seguridad, básic, medi alt, que permitan alcanzar de acuerd cn l establecid en el títul VIII de este reglament. Sn muchs ls prducts sftware utilizads en empresas y administracines públicas que utilizan dats de carácter persnal relacinads cn clientes, prveedres, administrads, etc. Tds ells bligads a cumplir esta dispsición desde 2008 al entrar en vigr el RD1720. Riesgs cm prfesinales respnsables de ls pryects de diseñ y cnstrucción de ls prducts sftware que tratan dats de carácter persnal, estams bligads a que ls prducts sftware resultantes de nuestrs pryects permitan a las rganizacines usuarias de ls misms el cumplimient legal. B) Ls respnsables de ls pryects de adecuación de ls al cumplimient legal, deben tener en cuenta que entran dentr del ámbit de la seguridad infrmática impuesta pr la Ley, de bligad cumplimient y en la que se establecen graves sancines en cass de incumplimient. C) Respnsabilidad Prfesinal: En nuestras actuacines prfesinales debems garantizar el Cumplimient Legal, mas aún en una materia, ls Dats de Carácter Persnal, almacenads y tratads pr ls, que tienen rang de Derech Fundamental. Curs: Pryects de Adecuación de ls a las Leyes LOPD, RD1720 Y LSSI 3
2. Objetivs 1º) Adquirir ls cncimients de la LOPD y LSSI para acmeter pryects de adecuación al cumplimient pr ls sistemas infrmátics y familiarizarse cn ls texts legales. 2º) Adquirir ls cncimients para diseñar, evaluar e implantar el prces de seguridad, para cumplir adecuadamente cn l establecid en la LOPD, LSSI y RD1720/2007. 3º) Cncer ls cncepts y criteris utilizads cn el análisis, tratamient y gestión de riesgs en ls sistemas de infrmación, así cm las amenazas derivadas del incumplimient legal. 4º) Cncer ls mdels, fases y etapas que pueden seguirse para llevar a cab cn éxit ls pryects de adecuación. 5º) Cncer ls cntrles que deberán tenerse en cuenta para garantizar la seguridad de dats exigidas pr el cumplimient legal. 6º) Reslver cass práctics de Sistemas de Gestión de la Infrmación de Carácter Persnal SGICP, basads en cass reales de la empresa. 7º) Cncer el RD1720, prfundizand en ls artículs cn mayr incidencia en las Áreas Funcinales y en ls Subprcess de Seguridad cnsiderads en ls pryects de adecuación. Ests cncimients sn de gran imprtancia para reslver las dificultades que puedan presentarse en el desarrll del pryect y para abrdar pryects de adecuación cmplejs. 3. Dirigid en Actividades de cnsultría en pryects infrmátics relacinads cn el Cumplimient Legal, que desean prfundizar en ls cncepts básics y aspects práctics de ls pryects de adecuación a la LOPD, RD 1720 y LSSI. La dirección y gestión de pryects de adecuación de ls sistemas de infrmación al cumplimient legal en Administracines Públicas y Empresas privadas. En Desarrll y Analistas que desean cncer las implicacines que tienen las leyes LOPD, RD 1720 y LSSI en ls pryects sftware que llevan a cab. Las áreas de dirección, que deban asumir las máximas respnsabilidades y funcines establecidas en la LOPD, RD 1720 y LSSI, cm: Respnsables de Fichers, Respnsables de Tratamient, Encargads del Tratamient, Respnsables de Seguridad, Administradres de Seguridad y Auditres. Infrmática de las PYMES que cn frecuencia deben respnsabilizarse de ls pryects de adecuación de ls sistemas infrmátics utilizads, al cumplimient cn la LOPD, RD 1720 y LSSI. Curs: Pryects de Adecuación de ls a las Leyes LOPD, RD1720 Y LSSI 4
4. Cntenids El curs se desarrlla en tres unidades didácticas. Unidad Didáctica 1: CUMPLIMIENTO LEGAL EN EL PROCESO DE LA INFORMACIÓN DE CARÁCTER PERSONAL TEORIA: - Accines que se están llevand a cab para prteger ls. - Grad de adaptación de las Pequeñas y Medianas Empresas españlas a la LOPD y RD1720. - Cmentaris a ls Títuls y Dispsicines de la LOPD baj la perspectiva del pryect de adecuación. - Cmentaris a la LSSI: Objetiv, Definicines y Obligacines. - Incidencia de la LOPD y RD1720 en el cumplimient de la LSSI. - El Prces de Seguridad de la Infrmación: ls subprcess de seguridad, cncepts y definicines. - Evaluación del prces de seguridad existente: adaptacines para el cumplimient legal. PRACTICAS: Cuestines básicas para afianzar ls cncimients fundamentales de la LOPD y LSSI relacinads cn ls pryects de adecuación. Tiemp para realizar la unidad didáctica 1: Estudi 8 hras - Prácticas 8 hras Unidad Didáctica 2: EL PROYECTO DE ADECUACIÓN CON UN SISTEMA DE GESTIÓN DE LA INFORMACIÓN DE CARÁCTER PERSONAL SGICP TEORIA: - Riesgs y amenazas en ls sistemas de infrmación: riesgs pr incumplimient de la LOPD y RD1720. - Infraccines y sancines en el marc de la LOPD. - Pryect de adecuación: Mdel de mejra cntinua, PDCA, en el desarrll del pryect de adecuación. - Fases y etapas del pryect de adecuación (Niveles de seguridad, Adaptación de Fichers, Legitimación de dats, Implantación de medidas de seguridad). - Seguridad de dats: Objetivs de cntrl y cntrles. - Ejempl de SGICP de nivel básic: Cmpnentes del SGICP; Sftware libre utilizad en el desarrll. PRACTICAS: Supuest real de pryect de adecuación en una pequeña y mediana empresa: planificación del pryect de adecuación y desarrll del SGICP. Tiemp para realizar la unidad didáctica 2: Estudi 10 hras - Prácticas 12 hras Curs: Pryects de Adecuación de ls a las Leyes LOPD, RD1720 Y LSSI 5
Unidad Didáctica 3: EL RD 1720/2007 EN LOS PROYECTOS DE ADECUACIÓN VISIÓN FUNCIONAL Y VISIÓN DE PROCESOS TEORIA: - El RD 1720: Definicines; Áreas funcinales y Prces de seguridad en ls pryects de adecuación. - Relacines de las Áreas Funcinales del pryect de adecuación cn ls Artículs LOPD y RLOPD. - Integración del RD1720 en el Prces de Seguridad: Vista integrada del Prces de Seguridad cn ls Artículs del RD 1720. - Respnsabilidades y funcines en el prces de seguridad. PRACTICAS: Supuest real del diseñ del prces de seguridad para garantizar el cumplimient legal en una pequeña y mediana empresa. Tiemp para realizar la unidad didáctica 3: Estudi 7 hras - Prácticas 5 hras 5. Duración El curs requiere una dedicación de 50 hras distribuidas en 25 hras de Tería y 25 hras de Prácticas. Para realizar las actividades prácticas se dispne de 6 semanas desde la fecha de inici del mism. Se han prevists ds semanas más para que ls alumns, que pr sus cupacines labrales, necesiten tiemp suplementari para cmpletar el curs. Estudi y Realización de actividades de UD1: primera y segunda semana del curs. Estudi y Realización de actividades de UD2: tercera y cuarta semana del curs. Estudi y Realización de actividades de UD3: quinta y sexta semana del curs. 6. Desarrll del curs A) Material didáctic: Para realizar el curs se facilita al alumn el libr Adecuación de ls sistemas infrmátics a la LOPD, RD 1720 y LSSI y CD que incluye kit de herramientas de ayuda a la realización de ls pryects de adecuación. El libr cnsta de tres capítuls que se crrespnden cn las tres unidades didácticas del curs y un anex que recge cn detalle la infrmación legal relacinada cn el respnsable del ficher. El libr se ha cread cm base dcumental de ls temas tratads en el curs y ser utilizad pr el alumn cm base dcumental de referencia en ls pryects de adecuación que lleve a cab. El CD incluye dcuments que amplían ls temas tratads en las tres unidades didácticas del curs: texts legales y guías, mdels de dcuments de seguridad y mdel de base de dats dcumental de Sistema de Gestión de Infrmación de Carácter Persnal SGICP de nivel básic, que pdrán utilizar ls alumns en sus pryects reales de adecuación. Curs: Pryects de Adecuación de ls a las Leyes LOPD, RD1720 Y LSSI 6
B) Actividades a realizar pr el alumn: Las actividades que el alumn ha de realizar en el curs están rganizadas en Cuestines y Ejercicis. Las cuestines sn preguntas breves a las que el alumn ha de respnder relacinadas cn la unidad didáctica que está estudiand. La finalidad de las mismas es que el alumn pueda sintetizar ls cncepts slicitads, sbre td cuand se relacinan cn ls temas legales que estudia. Para sintetizar las respuestas, al alumn le resultará más amen tener presente ls enunciads de las cuestines slicitadas mientras realiza el estudi. En ls ejercicis prpuests en el curs se sigue la metdlgía didáctica basada "en el cas". Partiend de un supuest real (cas), que se describe cn detalle en su enunciad, se plantean un cnjunt de ejercicis que, pas a pas, permiten reslver un pryect cmplet de adecuación de ls sistemas infrmátics a la LOPD, RD1720 y LSSI, incluyend la planificación del pryect, infrmes de decisión, dcument de seguridad, diseñ del prces de seguridad, e implantación de un Sistema de Gestión de Infrmación de Carácter Persnal - SGICP. C) Fr de alumns: Mientras se desarrlla el curs está dispnible un Fr en el que alumns y prfesres cmpartims pinines sbre temas de actualidad relacinads cn el curs y también para aclarar las dudas que puedan presentarse en el estudi y realización de las prácticas. 7. Prerrequisits, Asistentes y Certificad de suficiencia Este curs impartid en mdalidad Online Para participar en el curs ls asistentes deben dispner de: Un PC equipad para cnectarse a Internet, cn cualquiera de ls navegadres mas utilizads: Explrer, Firefx, etc. y un prcesadr de texts (Wrd similar). Cuenta de crre electrónic. A ls asistentes al curs que realicen adecuadamente las actividades prácticas incluidas en el mism se les entregará el crrespndiente certificad Curs: Pryects de Adecuación de ls a las Leyes LOPD, RD1720 Y LSSI 7
8. Evaluación del curs pr ls alumns de la cuarta edición 8.1. Evaluación general Platafrma e-learning y Material Didáctic Media (1) Manual de us de mdle para el alumn 9,0 Facilidad de us de la platafrma mdle 9,0 Frs utilizads para reslución de dudas 8,3 Tiemps de respuesta del servidr utilizad 9,0 Material didáctic para realizar el curs (Libr de dcumentación del curs y CD) Organización y planificación del curs Curs: Pryects de Adecuación de ls a las Leyes LOPD, RD1720 Y LSSI 8 9,3 Media Atención prestada pr secretaría técnica 9,0 Atención prestada pr crdinación del curs 9,0 Unidad Didáctica 1 Media Interés del tema 9,7 Atención de cnsultas y reslución de dudas 9,7 Aplicación de cncepts 9,7 Actividades prpuestas a reslver pr el alumn 9,7 Nticias y temas prpuests en ls frs relacinads cn la unidad didáctica 9,7 Unidad Didáctica 2 Media Interés del tema 9,0 Atención de cnsultas y reslución de dudas 9,0 Aplicación de cncepts 9,0 Actividades prpuestas a reslver pr el alumn 9,0 Nticias y temas prpuests en ls frs relacinads cn la unidad didáctica 9,0 Unidad Didáctica 3 Media Interés del tema 9,0 Atención de cnsultas y reslución de dudas 9,0 Aplicación de cncepts 9,0 Actividades prpuestas a reslver pr el alumn 9,0 Nticias y temas prpuests en ls frs relacinads cn la unidad didáctica 9,0 (1) Calificación media, escala 1 a 10, pr ls alumns de la cuarta edición del curs en 2013
8.2. Respuestas a las preguntas abiertas 1. Otras sugerencias que desee realizar relacinadas cn las unidades didácticas A esta pregunta hay pcs cmentaris y tds sn favrables, cm: Una valración muy psitiva a tds ls prfesres ; A nivel general tds un 10. Cn ciertas persnas he tenid un cntact más direct que cn tras. 2. Cnsidera que este curs ha alcanzad sus bjetivs? Si n, explique las raznes: En tds ls cuestinaris enviads pr el 90% de ls asistentes al curs han respndid SI, el 10% restante n ha respndid a la pregunta. Alguns alumns han incluid cmentaris, cm: Plenamente satisfech y más, Un gran curs que recmendaré a tds. Sí, muy satisfech, Si el curs ha alcanzad mis bjetivs, Sí, me ha servid para cncer la materia legal en cuant a prtección de dats. 3. Cree que ha quedad algún tema relacinad cn ls bjetivs didáctics establecids en el curs sin abrdar? Han respndid NO el 90% de ls alumns, el 10% n ha respndid a esta pregunta. 4. Si l ha necesitad, se ha cmunicad persnalmente cn ls prfesres cn facilidad y le han atendid adecuadamente? Han respndid SI en el 80% de ls cuestinaris enviads. En el 20% restante n han respndid Alguns alumns han matizad el SI cn cmentaris cm: Sí, trat perfect ; Me he cmunicad cn ls prfesres y la verdad, han sid rápids en sus respuestas y claras ; Si, y me han atendid muy bien. Curs: Pryects de Adecuación de ls a las Leyes LOPD, RD1720 Y LSSI 9
9. Herramienta de ayuda a la Adecuación: SGICP Básic (Incluida cn el curs) 9.1. Presentación El bjetiv del SGICP, es permitir que las rganizacines puedan desarrllar y pner en funcinamient un Sistema de Gestión de Infrmación de Carácter Persnal que les aprte una infraestructura para mantener y mejrar el cnjunt de csas, bjets sujets que facilitan el cumplimients de ls requisits establecids en la LODP y reglament que la desarrlla RD1720. La LOPD implementa en el cntext legislativ españl la Directiva Eurpea (95/46/EC) y se aplica a ls "dats de carácter persnal" que sn definids en la LOPD cm "cualquier infrmación cncerniente a persnas físicas identificadas identificables". SGICP - Sistema de Gestión de Infrmación de Carácter Persnal Definición de SGICP: Parte del sistema de gestión que establece, implementa, pera, mnitriza, revisa, mantiene y mejra la gestión de la infrmación de carácter persnal utilizada pr una rganización. Definir plítica de seguridad Establecer alcance del SGICP Realizar análisis de riegs Seleccinar ls cntrles Definir el prces de seguridad P LOPD, RD1720, LSSI Implantar plan de gestión de riesgs Implantar el SGICP Implantar ls cntrles Implantar el prces de seguridad A 1 Dcument de Seguridad y Sistemas de Infrmación de la entidad u rganización 2 Persnal, funcines y bligacines 3 Registr de incidencias 4 Identificación, Autenticación 5 Cntrles de Acces 6 Gestión de ls Sprtes de dats 7 Cpias de respald 8 Respnsables (R. Ficher, R. Seguridad, Encargad del Tratamient) 9 Pruebas cn dats reales 10 Auditría 11 Registr de access 12 Telecmunicacines 13 Fichers n autmatizads D Adptar accines crrectivas Adptar accines preventivas Adptar accines adaptativas C Revisar internamente el SGICP Realizar auditrías internas del SGICP Curs: Pryects de Adecuación de ls a las Leyes LOPD, RD1720 Y LSSI 10
Observacines: 1ª) La Ley Orgánica 15/1999, de 13 de diciembre, de Prtección de Dats de carácter persnal (LOPD), indica cn claridad la bligación que tienen tdas las rganizacines de prteger sus activs de dats de carácter persnal" cnsiderand "la evlución de las capacidades dispnibles de las TI" y ls "Riesgs" a ls que están expuests. 2ª) El Real Decret 1720/2007 en SECCIÓN 1.ª del Capítul III del Títul VIII, MEDIDAS DE SEGURIDAD DE NIVEL BÁSICO establece la bligatriedad de establecer un Plan de Seguridad descrit en el "Dcument de Seguridad", que deberá incluir un cnjunt mínim de cntrles que se describe cm "medidas de seguridad de nivel básic". 3ª) La versión de SGICP implementada se adapta, cn carácter general, a ls requisits de seguridad que se recgen en las medidas de seguridad de nivel básic. Aunque para un mejr cumplimient y mayr disminución de riesgs, se han incluid algunas de las medidas de seguridad prpuestas en el nivel medi que se detallan en características: - Ha sid diseñada cm un mdel genéric fácil de adaptar en pryects de adecuación a la LOPD LSSI en pequeñas y medianas rganizacines. - El desarrll del SGICP se ha llevad a cab cn versines de herramientas de gestión dcumental de us libre, cmpatible cn las versines baj licencia que incrpran características avanzadas que permiten publicación de librs electrónics (e-bks). 9.2. Características Características de SGICP relacinadas cn el cumplimient de las medidas de seguridad El nivel medi exige el cumplimient de tdas las medidas establecidas para el nivel básic Dcument de seguridad Básic Medi SGICP Medidas, nrmas, prcedimients, reglas y estándares de seguridad. X X SI Funcines y bligacines del persnal. X X SI Estructura y descripción de fichers y sistemas de infrmación. X X SI Prcedimient de ntificación, gestión y respuesta ante incidencias. X X SI Prcedimient de realización cpias de respald y recuperación de dats. X X SI Identificación del respnsable de seguridad. - X SI Cntrl periódic del cumplimient del dcument. - X SI Medidas a adptar en cas de reutilización destrucción de sprtes. - X SI Curs: Pryects de Adecuación de ls a las Leyes LOPD, RD1720 Y LSSI 11
Persnal Básic Medi SGICP Funcines y bligacines claramente definidas y dcumentadas. X X SI Difusión entre el persnal, de las nrmas que les afecten y de las cnsecuencias de su incumplimient. X X SI Gestión de incidencias Básic Medi SGICP Registrar tip de incidencia, mment en que se ha prducid, persna que la ntifica, persna a la que se cmunica y efects. Registrar la recuperación de ls dats, persna que l ejecuta, dats restaurads y grabads manualmente. X X SI - X SI Autrización pr escrit del respnsable del ficher para su recuperación. - X SI Identificación y autenticación Básic Medi SGICP Relación actualizada de usuaris y access autrizads. X X SI Prcedimients de identificación y autentificación. X X SI Criteris de access. X X SI Prcedimients de asignación y gestión de cntraseñas y peridicidad cn que se cambian. X X SI Almacenamient ininteligible de cntraseñas activas. X X SI Se establecerá el mecanism que permita la identificación de frma inequívca y persnalizada de td usuari y la verificación de que está autrizad. - X SI Se establece límite de intents reiterads de acces n autrizad - X SI Cntrl de access Básic Medi SGICP Cada usuari accederá únicamente a ls dats y recurss necesaris para el desarrll de sus funcines. Mecanisms que eviten el acces a dats recurss cn derechs distints de ls autrizads. X X SI X X SI Cncesión de permiss de acces sól pr persnal autrizad. X X SI Curs: Pryects de Adecuación de ls a las Leyes LOPD, RD1720 Y LSSI 12
Gestión de sprtes Básic Medi SGICP Identificar el tip de infrmación que cntienen. X X SI Inventari. X X SI Almacenamient cn acces restringid. X X SI Salida de sprtes autrizada pr el respnsable del ficher. X X SI Registr de entrada y salida de sprtes. X SI Respnsable de seguridad Básic Medi SGICP Nmbrad pr el Respnsable del Ficher. N supne delegación de respnsabilidad del respnsable del ficher. X SI Pruebas de prgramas cn dats de carácter persnal Básic Medi SGICP Sl se realizarán si se asegura el nivel de seguridad crrespndiente al tip de ficher tratad. X SI Auditría Básic Medi SGICP Ls sistemas de infrmación e instalacines de tratamient y almacenamient de dats se smeterán, al mens cada ds añs, a una auditría interna externa que verifique el cumplimient de las medidas de seguridad aplicables. X -- Nta: Cm se puede bservar las medidas de seguridad de nivel medi que se han incluid en el Sistema de Gestión de la Infrmación de Carácter Persnal para fichers de nivel básic, sn medidas de muy baj cste y mayritariamente de carácter rganizativ prcedimental y que resultan fundamentales para el funcinamient del SGICP. Estas medidas añadidas permiten reducir alts riesgs relacinads cn la cnfidencialidad exigida a ls dats de carácter persnal. 9.3. Cmpnentes Cnsta de siete móduls integrads: 1) Dcument de Seguridad: Parte del SGICP que establece, pera, mnitriza, revisa, mantiene y mejra el Dcument electrónic que implementa el Dcument de Seguridad. Curs: Pryects de Adecuación de ls a las Leyes LOPD, RD1720 Y LSSI 13
2) Inventari de : Parte del SGICP que establece, implementa, pera, mnitriza, revisa, mantiene y mejra el inventari de ls sistemas infrmátics utilizads para tratar y almacenar dats de carácter persnal utilizads pr la rganización y ls riesgs asciads a ls misms. 3) Ntificación y Reslución de incidencias: Parte del SGICP que establece, implementa, pera, mnitriza, revisa, mantiene y mejra la ntificación, cntrl, seguimient y reslución de incidencias relacinadas cn dats de carácter persnal utilizads pr la rganización. 4) Inventari de Sprtes: Parte del SGICP que establece, implementa, pera, mnitriza, revisa, mantiene y mejra el inventari de sprtes cn dats de carácter persnal utilizads pr la rganización. 5) Registr de E/S de Sprtes: Parte del SGICP que establece, implementa, pera, mnitriza, revisa, mantiene y mejra el registr de entrada y salida de sprtes cn dats de carácter persnal utilizads pr la rganización. 6) Autrización de salidas y entradas de sprtes: Parte del SGICP que establece, implementa, pera, mnitriza, revisa, mantiene y mejra las Autrizacines de salidas y entradas de sprte cn dats de carácter persnal utilizads pr la rganización. 7) Ejercici de derechs ARCO: Parte del SGICP que establece, implementa, pera, mnitriza, revisa, mantiene y mejra el cntrl y seguimient del ejercici de derechs ARCO relacinads cn dats de carácter persnal utilizads pr la rganización. Curs: Pryects de Adecuación de ls a las Leyes LOPD, RD1720 Y LSSI 14