¿Cuál es el papel de la política de incidentes en la gestión de protección de datos personales?

La política de incidentes es un componente esencial dentro de la gestión de protección de la información en una organización; pues, establece procedimientos y medidas que permiten identificar, responder y mitigar los incidentes de seguridad que puedan ocurrir en el entorno de tecnología de la información. Tal gestión se soporta en una política fundamental que se enfoca en garantizar la seguridad y confidencialidad de la información, protegiendo así la reputación de la empresa mientras se y cumple con las regulaciones y normativas aplicables.

A nivel de Protección de Datos Personales, la política de incidentes permitirá a cualquier organización estar preparada para responder de manera adecuada y efectiva ante cualquier incidente de seguridad que pueda ocurrir; pues, ninguna entidad está exenta de sufrir eventos que afecten su flujo de datos, y que tengan diferentes grados de gravedad y alcance; desde ataques cibernéticos, pérdida o eliminación de datos, robo de información, filtraciones, errores humanos, fallas de los sistemas tecnológicos (hardware y software) o desastres naturales, todas estas situaciones pueden tener un impacto significativo tanto en la operatividad de la organización como en la confidencialidad, disponibilidad e integridad de la información, afectando con ello la confianza de clientes, socios, proveedores y otros contactos.

Ahora bien, estructurar un política de incidentes no es una tarea fácil, requiere de conocimientos técnicos y administrativos, además de capacidad de análisis y de plantear soluciones que minimicen las interrupciones en la circulación de datos; no obstante, existen cinco prácticas básicas que pueden ser tenidas a la hora de elaborar esa política:

Definir qué es un incidente: Para resolver un incidente de una manera eficiente y en un tiempo adecuado se debe conocer lo que él implica:

Tipo de interrupción o reducción de calidad de los datos que genera
Impacto en el flujo de la información
Recursos requeridos para resolverlo
Tareas necesarias para restaurar la completa funcionalidad del sistema de información
Posibilidad de análisis retrospectivo cuando se presente

La información de los literales será la que defina el incidente.

Designar funciones y responsabilidades: Las personas que hagan parte de equipos de respuesta anti-contingencias deberán conocer no solo sus funciones sino la de aquellos que pueden estar implicados en el incidente, de esa manera se estará preparado para atender la situación, conociendo qué procesos surten y cómo se ejecutan. En general deben involucrarse al menos tres personas en el equipo anti-incidentes:

Gestor de incidentes (Tiene autoridad y capacidad de resolver)
Líder técnico (Tiene experiencia en desarrollo de teorías y toda de decisiones)
Gestor de Comunicaciones (Tiene experiencia en envío de notificaciones tanto internas y externas)

Elaborar diagramas de Flujo: Debe existir un proceso específico para atender un incidente; tal proceso debe ser conocido por el equipo anti-contingencias, y debe estar documentado, usando diagramas de flujo que describa todos los pasos a seguir.

El diagrama de flujo debe incluir:

Pasos durante el análisis del incidente
Pasos para la clasificación del incidente
Pasos de diseño de estrategia
Pasos para realizar los trabajos de corrección
Pasos para los temas de comunicación
Pasos de registro para realizar análisis retrospectivo

Crear manuales de respuesta rápida: Los incidentes son situaciones que se presentan en forma diferente a lo planeado, es por ello que los equipos anti-contingencias deben tener capacidad de respuesta rápida para evitar que los daños se propaguen o que la recuperación sea lenta, para asegurar esto se debe hacer lo siguiente:

Crear manuales resumidos de estrategias frente a incidentes
Contemplar elementos de flexibilización de tareas para adaptarse al incidente
Crear un modelo de entrenamiento del personal responsable de la gestión
Asignar funciones con capacidad de delegar

Realizar Análisis Retrospectivos: Es necesario documentar lo sucedido en un incidente para poder estar preparado ante una reincidencia, para poder analizar posteriormente el suceso de manera que se contemplen nuevas medidas preventivas y se planteen planes de mejora delos sistemas de información en torno a la seguridad.

Las políticas de gestión de incidentes dentro de la Protección de Datos Personales aseguran que la organización esté preparada para identificar, responder y notificar adecuadamente cualquier incidente de seguridad que pueda ocurrir, y además ayuda a cumplir con los requisitos, regulaciones y normativas vigentes, de manera que se eviten las sanciones que la Superintendencia de Industria y Comercio impone por infracciones producto de su ausencia o su mal diseño.