Situación Actual
Algunas empresas, conscientes de la necesidad de cumplir con la normativa sobre protección de datos, ya han tomado medidas para su adecuación a la Ley Orgánica de Protección de Datos Personales (LOPD).

El vigente Reglamento de Medidas de Seguridad (RMS), entre otras muchas exigencias, establece la obligatoriedad de realizar una auditoría al menos cada 2 años para verificar el cumplimiento de las medidas de seguridad establecidas en el mismo. Estas medidas son de índole técnica y organizativa y son necesarias para garantizar la seguridad que deben reunir los ficheros, los centros de tratamiento, locales, equipos, sistemas, programas y las personas que intervengan en el tratamiento de datos de carácter personal.

La adecuación a la LOPD no se debe considerar completa por la simple implantación inicial de las medidas propuestas en la misma valorando este hecho como suficiente para evitar sanciones. En ESA Security recomendamos que la auditoría se haga con más frecuencia de la legalmente prevista en la normativa, pues nos encontramos que, a menudo, la Dirección de la empresa desconoce el grado de implantación de las medidas recomendadas.

Nuevo Reglamento
El nuevo Reglamento de Protección de Datos, cuya entrada en vigor se espera a comienzos de 2007, prevé una ampliación y endurecimiento de las obligaciones sobre protección de datos. La AEPD ya ha hecho públicas las siguientes medidas entre otras muchas:

a) Preparar un inventario de documentos con datos personales, tanto si están soportados en archivos automatizados como en papel.
b) Disponer de zonas ignífugas donde se almacenen datos personales con acceso limitado y controlado.
c) Cifrado de facturas y albaranes.
d) Pruebas de que el consumidor ha podido ejercer el derecho de bloqueo de cesión de sus datos de una empresa a otra.

Servicios relativos a la Auditoría LOPD
La auditoría de una empresa o institución para verificar su nivel de cumplimiento de la ley, suele tener un cierto grado de dificultad y requiere la acción combinada de especialistas en diversos campos de actuación: jurídico, técnico y organizativo. Esto induce a las empresas a plantearse la externalización de estos servicios de control y vigilancia de cumplimiento. Si este es el caso, ESA Security le puede ofrecer su larga experiencia en la prestación de los siguientes servicios:

• Revisión de Situación Técnica
A través de un informe ejecutivo se expone el grado de cumplimiento de las medidas contempladas en el Reglamento, para aquellos ficheros de nivel medio y alto declarados por la empresa.

• Revisión de Situación General
A través de un informe ejecutivo se expone el grado de adaptación de la empresa a la Normativa de Protección de Datos verificando el cumplimiento de los controles, procedimientos e instrucciones en materia de seguridad de datos, así como de las medidas contempladas en el Reglamento.

• Auditoría Exclusiva del Reglamento
El objetivo de la auditoría es obtener evidencias que permitan a nuestros consultores determinar el cumplimiento o no de los preceptos previstos en el Reglamento sobre la información corporativa.
Las conclusiones de las auditorías reflejan toda una serie de recomendaciones y mejoras para corregir las carencias o deficiencias detectadas. No basta con detectar lo que está mal, hay que rectificar la situación de incumplimiento.

• Auditoría General
El objetivo este tipo de auditoría es garantizar el cumplimiento de las medidas técnicas, organizativas y jurídicas dentro de la empresa.

• Mantenimiento
Una vez realizada la auditoría, se hace necesario estar al día en los cambios de la ley, del reglamento y de su aplicación práctica en la empresa. De la misma manera pueden surgir consultas o dudas sobre diferentes situaciones, sobre la auditoría. Todo ello se incluye en el servicio anual de mantenimiento.

Beneficios
• Ganar confianza frente a los clientes, proveedores, empleados, accionistas y/o terceros.

• Eliminación de muchos riesgos propios del negocio.
Durante la auditoría se pueden encontrar debilidades tales como ficheros informáticos desprotegidos que pueden ser copiados, robados o dañados, procedimientos de respaldo inexistentes o una protección insuficiente frente a los piratas informáticos.

• Mejora de la productividad.
Como consecuencia de la auditoría, se suelen encontrar procesos innecesarios o ineficientes que pueden mejorarse sustancialmente con muy poco esfuerzo.

• Reducción del riesgo de sanciones.
La implantación de medidas preventivas proporciona una mayor seguridad de cumplimiento por parte de la empresa de la normativa de protección de datos, consiguiendo por ello un menor riesgo de posibles sanciones de la AEPD y de las denuncias de particulares ante este organismo.
No realizar la auditoría es un incumplimiento grave duramente sancionado.

• Reducción del riesgo de mala imagen.
Cumpliendo con la auditoría obligatoria por ley se reduce el riesgo de una mala publicidad en los medios de comunicación. Muy a menudo éste es un factor de motivación superior a la propia sanción.

• Reducción del alto riesgo de las responsabilidades de los directivos.
En última instancia, son los responsables de cada departamento los que responderán del cumplimiento de la ley ante su corporación. Con la auditoría, cada directivo llega a conocer su propia responsabilidad, los riesgos de la misma, así como si está asumiendo, por desconocimiento, una responsabilidad mucho mayor de la que le corresponde.

Sobre ESA Security
ESA Security es una consultora especializada únicamente en la Seguridad de la Información que ha realizado con éxito la preparación de empresas para que consigan su Certificación ISO 27001, además de haber obtenido su propia certificación en gestión de Seguridad de la Información.

Sus profesionales están altamente cualificados, incluyendo certificaciones CISA y CISM, y lo más importante: con la experiencia práctica de haber conseguido Certificaciones ISO y haber realizado en múltiples ocasiones Planes Directores de Seguridad, Planes de Continuidad de Negocio, Análisis y Gestión de Riesgos, Proyectos de Hacking Ético, Formación en Seguridad, Adecuaciones y Auditorías LOPD y servicios relativos a la Seguridad de la Información en general.