Informazioaren segurtasun-politika: zer den eta zer estali behar duen

Informazioaren segurtasun-politika erakunde batek kudeatzen dituen datuak nola babesten dituen jasotzen duen dokumentua da: nork sar dezakeen zerera, nola gordetzen diren, nola zifratzen diren eta zer egiten den zerbaitek huts egiten duenean. Ez da izapide burokratiko bat, ezta sinatu eta artxibatzen den eranskin bat ere: RGPDren lege-betebehar baten itzulpen praktikoa da. Gida honek azaltzen du zer den, nola lotzen den datuen babeseko araudiarekin, zer estali behar duen eta nola egituratzen den benetan enpresa batean.

Zer da informazioaren segurtasun-politika bat?

Informazioaren segurtasun-politika bat da erakunde batek datuak eta horiek tratatzeko erabiltzen dituen sistemak nola babesten dituen definitzen duen barne-dokumentua. Sarbide-arauak, aplikatutako neurri teknikoak, langileen erantzukizunak eta gorabeheren aurreko prozedurak ezartzen ditu. Modu sinplean esanda: enpresak bere bezero, langile eta hornitzaileek fidatzen dioten informazioa nola zaintzen duen dioen eskuliburua da.

Komeni da beste dokumentu batzuetatik bereiztea, zeinekin batzuetan nahasten den. Pribatutasun-politika testu publiko bat da, interesatuei zuzendua, zer datu tratatzen diren eta zer helbururekin informatzen duena (13. art. RGPD-ren informatzeko betebeharra). Informazioaren segurtasun-politika kontrakoa da: barnekoa da, ez da argitaratzen, eta datu horiek babestuta egotea ahalbidetzen duten neurri konkretuak deskribatzen ditu. Batak kanpora begiratzen du; besteak, barrura.

Haren benetako funtzioa ez da norbaitek eskatzen badu erakusteko PDF bat izatea. Idatziz, modu koherentean, erakundeak informazioarekin nola jokatzen duen finkatzea da: zer den baimenduta, zer ez, nork erantzuten duen pieza bakoitzaz eta zer egiten den zerbait apurtzen denean. Esparru horrik gabe, langile bakoitzak inprobisatzen du eta segurtasuna arau komun baten ordez ohituraren mende dago.

Haren lotura RGPDrekin

Informazioaren segurtasun-politika ez da apeta antolakuntzako batetik sortzen: RGPDren hainbat betebehar konkretu betetzeko ohiko modua da. Erregelamenduak ez du izen zehatz hori duen dokumentu bat ezartzen, baina bai dokumentu horrek bilatzen duen emaitza eskatzen du.

Zutabea 32. art. RGPD da, tratamenduaren segurtasunari buruzkoa. Arduraduna eta enkargatzailea behartzen ditu arriskuari egokitutako segurtasun-maila bermatzeko neurri tekniko eta antolakuntzako egokiak aplikatzera. Gako-hitza arriskuari egokituak da: ez dago zerrenda itxi eta denentzat berdinik. Bi langileko kontsulta batentzat nahikoa dena ez da nahikoa milaka pertsonaren datuak tratatzen dituen plataforma batentzat. 32. art.ak berak aipatzen ditu, neurri posibleen artean, zifratzea eta seudonimizazioa, sistemen konfidentzialtasuna, osotasuna, erabilgarritasuna eta erresilientzia bermatzeko gaitasuna, gorabehera baten ondoren datuetarako sarbidea leheneratzeko gaitasuna, eta neurri horien eraginkortasuna egiaztatzeko eta ebaluatzeko prozesu bat.

Betebehar tekniko hori printzipio orokorrago batean oinarritzen da. 5.1.f art. RGPD-k osotasun eta konfidentzialtasun-printzipioa ezartzen du: datuak segurtasun egokia bermatzen duen moduan tratatu behar dira, baimenik gabeko edo legez kanpoko tratamenduaren aurkako babesa eta ustekabeko galera edo suntsipenaren aurkakoa barne. Segurtasun-politika, hain zuzen, printzipio hori neurri konkretuetara ekartzeko modua da.

Eta ahaztu ohi den hirugarren ardatz bat dago: 24. art.-ak indartutako 5.2 art. RGPD-ren erantzukizun proaktiboa, arduraduna behartzen duena ez soilik neurriak aplikatzera, baita horiek aplikatzen dituela frogatu ahal izatera ere. Idatzitako, berrikusitako eta benetako jarduerarekin koherentea den segurtasun-politika bat da arreta horren froga nagusietako bat. Ez da nahikoa babestuta egotea: egiaztatu ahal izan behar da.

Zer estali behar duen politikak

Ez dago txantiloi unibertsalik, edukia erakunde bakoitzaren arriskuaren mende baitago. Baina bada ondo eraikitako informazioaren segurtasun-politika batek ia edozein enpresatan jorratu beharko lituzkeen bloke multzo bat. Hauek dira nagusiak.

Rolaren araberako sarbide-kontrola

Pertsona bakoitzak bere funtziorako behar dituen datuetara bakarrik sartu behar du, eta ez gehiagora. Hori rolaren arabera definitutako sarbide-profiletan, baimenen alta eta baja norbait sartzen edo irteten denean, eta nork zerera sartzen den erregistroan (logak) itzultzen da. Gutxieneko pribilegioaren printzipioa politika osoaren bizkarrezurra da: barne-gorabehera gehienak inork berrikusi ez zituen gehiegizko sarbideetatik sortzen dira.

Pasahitzak eta autentifikazioa

Pasahitz indibidualak (inoiz ez pertsonen artean partekatuak), sendoak eta arriskua urratu izanaren edozein susmoren aurrean berritutakoak. Ahal den bakoitzean, bigarren autentifikazio-faktorea sarbide kritikoetan. Hemengo politika argi batek eszenario ohikoena saihesten du: bulegoko pasahitz bakarra teklatupean itsatsitako post-it batean.

Zifratzea

Bulegotik irteten diren gailuen (eramangarriak, kanpoko diskoak, mugikor korporatiboak) eta komunikazio eta artxibo sentikorren zifratzea. Zifratzea da eramangailu baten galera urraketa baten ordez ustekabe bihurtzen duen neurria: diskoa zifratuta badago, aurkitzen duenak ez du ezertara sartzen.

Segurtasun-kopiak

Kopia aldizkakoak, egiaztatuak eta gorabehera bati bizirik iraunarazteko moduan gordeak (idealki sistema nagusitik isolatutako kopia batekin). Gakoa ez da kopiak egitea bakarrik, leheneratu daitezkeela egiaztatzea baizik: inork leheneratzen probatu ez duen kopia bat behar den egunean egon ez daitekeen kopia bat da.

Gailuen kudeaketa

Zer ekipok trata ditzaketen erakundearen datuak, softwarearen eta sistema eragileen eguneratzea, pantailen blokeo automatikoa eta gailu pertsonalen kontrola lanerako erabiltzen badira. Ekipo eguneratu gabe bat ate ireki bat da, politikak prozedura argiekin itxi behar duena.

Telelana

Bulegotik kanpo lan egiteko segurtasun-baldintzak: konexio seguruak, sare publikoak babesik gabe erabiltzeko debekua, dokumentazioaren zaintza etxean eta ingurune profesionalaren eta pertsonalaren arteko bereizketa. Telelanak enpresaren perimetroa zabaltzen du eta politikak lagundu behar dio, ez ezikusi egin.

Langileen prestakuntza

Neurri teknikorik onenak huts egiten du erabiltzen duenak ez badu ulertzen. Politikak prestakuntza praktikoa aurreikusi behar du: nola detektatu phishing-eko posta bat, zergatik ez diren datu sentikorrak kanal pertsonaletatik bidaltzen, nola kudeatzen den gorabehera bat. Segurtasuna ohitura kolektibo bat da, ez software bat.

Segurtasun-urraketen kudeaketa

Barne-protokolo bat, zer den urraketa bat, enpresa barruan nori jakinarazten zaion, nola dokumentatzen den eta jakinaraztea dagokion nola baloratzen den definitzen duena. RGPDak aurreikusten du, oro har, kontrol-agintaritzari jakinaraztea 72 orduko epe orientagarri batean urraketak pertsonen eskubideentzako arriskua dakarrenean (33. art. RGPD), eta ukitutakoei jakinaraztea arriskua handia denean (34. art.). Protokoloa aldez aurretik idatzita edukitzeak unerik txarrenean inprobisatzea saihesten du.

Neurri teknikoak eta antolakuntzakoak

32. art. RGPD-k beti neurri tekniko eta antolakuntzako-ez hitz egiten du, pluralean eta multzoan. Ez da formula erretoriko bat: elkarren beharra duten bi familia desberdin dira. Teknikoek sistemetan eragiten dute; antolakuntzakoek, pertsonetan eta prozeduretan. Bietako bat bakarrik zaintzen duen politika batek atea erdi irekita uzten du.

Bereizketa erraza da adibideekin ikustea. Disko baten zifratzea neurri teknikoa da; bulegotik irteten den eramangarri oro zifratzera behartzen duen barne-araua antolakuntzakoa da. Kopia automatikoen sistema teknikoa da; kopiak funtzionatzen dutela egiaztatzeko ardura pertsona bati esleitzen dion prozedura antolakuntzakoa da. Ondorengo taulak nagusiak ordenatzen ditu.

Akatsik ohikoena da segurtasuna arazo informatiko soil gisa tratatzea. Birus-kontrakorik onena eta suebakirik onena erosten dira, eta ahazten da gehien huts egiten duen katebegia ez dela makina, errutina baizik: partekatutako pasahitza, begiratu gabe irekitako posta, autoaren maletategian zifratu gabeko eramangarria. Neurri antolakuntzakoak dira teknologia benetako babes bihurtzen dutenak.

Arriskuan oinarritutako etengabeko ebaluazioa

Nahasmendurik zabalduenetako bat da segurtasuna urteko auditoria batekin konpontzen dela pentsatzea: dena urtarrilean berrikusten da, txosten bat sinatzen da eta gaia hurrengo urtera arte ahazten da. RGPDak ez du horrela funtzionatzen. 32.1.d art.-ak neurrien eraginkortasuna aldizka egiaztatzeko, ebaluatzeko eta baloratzeko prozesu bat planteatzen du. Hitz garrantzitsua prozesua da: etengabeko zerbait, ez data bat duen gertaera bat.

Ikuspegi zuzena arriskuan oinarritutako etengabeko ebaluazioa da. Politika arriskuari eragiten dion zerbait aldatzen denean berrikusten da, ez egutegiak markatzen duenean. Hauek dira berrikuspen baten ohiko abiarazleak:

• Erakundearen datuak tratatzen dituen software edo hornitzaile berri bat sartzen da.
• Lan-modalitate berri bat irekitzen da (telelana, gailu pertsonalak, egoitza berri bat).
• Datu mota desberdin bat edo askoz bolumen handiagoa tratatzen hasten da.
• Segurtasun-gorabehera bat gertatzen da, gehiagora iritsi ez bada ere.
• Taldearen egitura aldatzen da: sarrera berriak, irteerak, rol-aldaketak beren sarbideekin.

Horrek ez du esan nahi berrikuspen aldizkakorik ez dagoenik: esan nahi du egutegiko data finko bat gutxienekoa dela, ez sistema. Segurtasun osoa urteko auditoria bati fidatzea eta gainerako hamaika hilabeteak alde batera uztea da, hain zuzen, erantzukizun proaktiboak saihestu nahi duen eszenarioa. Politika bizi bat negozioaren benetako erritmora egokitzen da, arriskua ere erritmo horretan aldatzen baita.

Politika sendo baten egiaztatze-zerrenda

Aurreko guztia gauza akziogarri batera jaisteko, hau da informazioaren segurtasun-politika batek ebatzita eduki beharko lituzkeen elementuen kontrol-zerrenda bat. Ez da zehatza —erakunde bakoitzak berea gehitzen du bere arriskuaren arabera— baina abiapuntu gisa balio du.

• ✔ Rolaren araberako sarbideak definituta, langileak sartzean edo irtetean alta eta bajekin.
• ✔ Pasahitz indibidualak eta bigarren faktorea sarbide kritikoetan.
• ✔ Zifratzea eramangarri, gailu eramangarri eta komunikazio sentikorretan.
• ✔ Segurtasun-kopiak aldizkakoak eta leheneratzeko probatuak.
• ✔ Pantailen blokeoa eta sistemen eguneratzea errutina gisa.
• ✔ Telelanerako arauak idatziak eta taldeak ezagutuak.
• ✔ Prestakuntza oinarrizkoa segurtasunean langile guztientzat.
• ✔ Urraketa-protokoloa arduradun eta epe argiekin.
• ✔ Konfidentzialtasun-betebeharra datuetara sartzen denak sinatuta.
• ✔ 28. art. RGPD-ko kontratuak enpresaren kontura datuak tratatzen dituzten hornitzaileekin.
• ✔ Politikaren berrikuspena negozioaren benetako aldaketei lotuta, ez soilik data bati.

Nola prestatzen eta mantentzen duen Certix-ek

Txantiloi generiko batetik kopiatutako segurtasun-politika batek funtsezko arazo bat du: enpresak agian aplikatzen ez dituen neurriak deskribatzen ditu eta benetan behar dituenak baztertzen. Eta 32. art. RGPD-k neurriak arriskuari egokituak izatea eskatzen duenez, benetako arriskutik abiatzen ez den txantiloi batek ez du bere funtzioa betetzen, oso osoa iruditu arren.

Certix-en informazioaren segurtasun-politika zure erakundearen benetako analisi batetik abiatuta prestatzen dugu: zer datu tratatzen dituzun, zer sistemarekin, nork sartzen den horietara eta zer hornitzailek parte hartzen duten. Mapa horren gainean, zure arrisku-mailari dagozkion neurri tekniko eta antolakuntzakoak definitzen dira, 32. art. RGPD-ren arabera dokumentatzen dira eta pribatutasun-lanaren gainerakoarekin lotzen dira, Tratamendu Jardueren Erregistrotik enkargatzaileekin kontratuetaraino.

Eta egunean mantentzen dugu. Tresna bat sartzen duzunean, hornitzailez aldatzen duzunean edo telelan-modalitate bat irekitzen duzunean, politika berrikusten da informazioa benetan nola babesten duzun islatzen jarrai dezan. Esparru osoa gure RGPDaren gidan ikus dezakezu edo aholkulari batekin zure kasuari buruz zuzenean hitz egin.

Ohiko galderak

Derrigorrezkoa al da informazioaren segurtasun-politika bat?

RGPDak ez du izen zehatz hori duen dokumentu bat eskatzen, baina arduraduna behartzen du arriskuari egokitutako neurri tekniko eta antolakuntzakoak aplikatzera (32. art. RGPD) eta hori egiten duela frogatu ahal izatera (5.2 art., erantzukizun proaktiboa). Praktikan, neurri horiek informazioaren segurtasun-politika batean idaztea da betebehar hori betetzeko eta frogatzeko ohiko modua. Ez da formalismo aukerakoa: benetako lege-betebehar baten euskarri dokumentala da.

Zer alde dago neurri tekniko eta antolakuntzakoen artean?

Neurri teknikoak sistemetan eragiten dutenak dira: zifratzea, segurtasun-kopiak, rolaren araberako sarbide-kontrola, birus-kontrakoa edo pantailen blokeo automatikoa. Antolakuntzakoak pertsonetan eta prozeduretan eragiten dute: pasahitz-politika, langileen prestakuntza, konfidentzialtasun-betebeharra, urraketak kudeatzeko protokoloa edo telelanerako arauak. 32. art. RGPD-k biak batera eskatzen ditu: bata bestea gabe zuloak uzten ditu, zifratzerik onenak ez baitu babesten langileek erabiltzen ez badakite.

Zenbatean behin berrikusi behar da segurtasun-politika?

Ez dago arauak ezarritako aldizkakotasun finkorik. 32.1.d art. RGPD-k neurrien eraginkortasuna egiaztatzeko eta ebaluatzeko prozesu bat planteatzen du, eta ikuspegi zuzena arriskuan oinarritutako etengabeko ebaluazioa da: politika zerbait garrantzitsua aldatzen den bakoitzean berrikusten da (software berri bat, hornitzaile bat, telelan-modalitate bat, gorabehera bat) eta ez soilik markatutako data batean. Urteko berrikuspen zurrun bat finkatzea eta gainerako urtea alde batera uztea da, hain zuzen, arauak saihestu nahi duena.

ISO 27001 edo ENSak RGPDren segurtasun-politika ordezkatzen dute?

Ez dituzte ordezkatzen, baina erreferentzia-esparru oso baliagarriak dira. ISO/IEC 27001 informazioaren segurtasuna kudeatzeko sistemen nazioarteko estandar bat da, eta Segurtasun Eskema Nazionala (ENS) sektore publikorako eta bere hornitzaileentzako derrigorrezko esparrua da. Biek 32. art. RGPD-ren neurriak egituratzen laguntzen dute, baina RGPDren betetzea tratamendu konkretuaren arriskura neurrien egokitzapenaren arabera neurtzen da, ez ziurtagiri bat izateagatik. Ziurtatzeak batzen du; ez du analisi propiotik salbuesten.

Laburbilduz

Informazioaren segurtasun-politika da RGPDren printzipio bat —5.1.f art.-ko osotasuna eta konfidentzialtasuna— datuak egunero babesten dituzten neurri konkretu bihurtzen duen pieza. Ez da artxibatzeko dokumentu bat, segurtasuna inprobisazioaren mende egon ez dadin egiten duen arau-esparrua baizik. Arriskuari egokitutako neurri tekniko eta antolakuntzakoak konbinatu behar ditu (32. art.), frogatu ahal izan behar da (5.2 eta 24. art.) eta negozioa aldatu ahala berrikusi, ez egutegiaren arabera. Zurea informazioa benetan nola babesten duzun islatzen duen jakin nahi baduzu, hurrengo urratsa zure erakundearen banakako analisi bat da.

Lotutako irakurgaiak

• RGPDaren gida osoa — segurtasun-neurriak sortzen diren arau-esparrua.
• Tratamendu Jardueren Erregistroa (TJE) — tratamenduz tratamendu aplikatutako segurtasun-neurriak deskribatzen dituen dokumentua.
• Certix-en datuen babeseko aholkularitza — nola egokitzen den segurtasun-politika aholkularitza-lanean.

---

Eduki hau orientagarria eta dibulgatiboa baino ez da; ez du inola ere aholkularitza juridiko espezializatua osatzen. Araudia kasu konkretu bakoitzari aplikatzeak banakako azterketa eskatzen du.