De acuerdo con el gobierno federal, las organizaciones necesitan identificar la información de identificación personal (PII) así como la información de salud protegida (PHI) por diferentes razones y manejarlas de manera segura. Cualquier acceso no autorizado o divulgación de dicha información podría tener graves consecuencias para las personas cuyos datos se han visto comprometidos. Además, como el gobierno tiene la responsabilidad de salvaguardar esta importante información, promulga y hace cumplir la legislación que regula el uso de la IIP y la IPS.
Comprender la importancia y el valor de estos datos puede considerarse el primer paso para mantenerlos seguros. El acceso no autorizado de PII o PHI puede ser perjudicial tanto para los individuos como para las organizaciones. Es deber de los profesionales del CISSP tomar las medidas necesarias para mantener la IIP y la PHI seguras y a salvo de cualquier amenaza externa o interna.
Información Personalmente Identificable (IIP)
La Información Personalmente Identificable es cualquier información que puede ser utilizada con el propósito de identificar, localizar o contactar a cualquier individuo específico, ya sea combinada con otras fuentes de fácil acceso o por sí misma.
La IIP puede incluir datos vinculados a cualquier individuo a través de registros médicos, laborales, financieros o educativos. Varios de estos conjuntos de información que podrían utilizarse para identificar a un determinado individuo podrían consistir en un nombre, una dirección de correo electrónico, datos biométricos, un número de teléfono, huellas dactilares o un número de la seguridad social.
Las agencias federales tienen la responsabilidad de salvaguardar cualquier información sensible, incluida la IIP de un individuo. Por lo tanto, los profesionales de CISSP deben dar una importancia clave a la hora de mantener estos datos seguros.
Información sanitaria protegida (PHI)
La información sanitaria protegida es cualquier información relacionada con el estado de salud, la prestación de asistencia sanitaria o el pago de la misma que pueda vincularse además a cualquier individuo específico. Sin embargo, la IPS se interpreta de forma bastante amplia e incluye cualquier tipo de historial de pagos médicos o registros de un paciente.
Recientemente, se ha vuelto más y más importante proteger la IPI, aunque la sociedad ha confiado en ella durante mucho tiempo sin ningún problema de seguridad importante. Este problema actual de protección de la IPI se debe principalmente al aumento de la incidencia de los ataques de piratería informática. Con los avances tecnológicos y el uso de ordenadores, la protección de la información de identificación personal se ha convertido en algo esencial para cualquier organización. Se han implementado muchas leyes importantes en diferentes formas para proteger la IIP, como la FCRA, la HIPAA, la GLBA, la Ley de Privacidad, la COPPA y la FERPA.
Estas leyes se utilizan como un medio vital para intentar garantizar que las organizaciones estén restringidas a la hora de compartir información personal sensible con cualquier tercero. Además, tienen que proporcionar los requisitos necesarios para proteger la PHI de la manera más adecuada. Los profesionales CISSP tienen que entender y salvaguardar la IPS de los individuos contra los ciberataques en las organizaciones relacionadas donde estos datos pueden ser almacenados por los individuos para su propio interés.
Ejemplos de IPS y por qué los CISSP tienen un papel que desempeñar
Es una opción rentable recoger y vender la IPS sobre una base legal, pero por desgracia, la IPS es a menudo explotada por los delincuentes o personas malintencionadas que quieren robar la identidad de una persona o para cometer delitos. Aún así, según las estadísticas del FBI, el robo de identidad está considerado como uno de los delitos de más rápido crecimiento en EE.UU., teniendo la capacidad de causar importantes daños financieros, así como emocionales, a las víctimas. Por ello, muchos gobiernos han creado legislaciones para limitar el proceso de distribución de información personal debido a la amenaza que supone. Algunos ejemplos de IIP son:
- La IIP incluye un número de identificación de cualquier individuo, incluyendo el número de la tarjeta de crédito, el número del pasaporte, el número del permiso de conducir, el número de identificación del paciente o el número de la seguridad social.
- La IIP también incluye el nombre de los individuos, incluyendo el nombre de soltera de la madre, cualquier alias utilizado o su propio nombre de soltera.
- La información de los activos, como la dirección IP o MAC, y otros identificadores estáticos que podrían vincular a un individuo específico de forma consistente también se consideran en PII.
- La información de las direcciones, como los números de teléfono (de negocios o personales), las direcciones de las calles y las direcciones de correo electrónico entran en PII.
- Las características personales o biológicas, como los escáneres de retina, las huellas dactilares, las imágenes de rasgos distintivos, la firma de voz, las radiografías o la geometría de la cara entran dentro de la IIP.
- Además, la información personal como los indicadores geográficos, la fecha de nacimiento, el lugar de nacimiento, las actividades, la religión, las finanzas, la medicina o la educación, se consideran IIP.
La identidad de un individuo se vuelve vulnerable bajo ciertas circunstancias cuando se juntan una o más piezas de la información mencionada de fácil acceso, aunque puedan parecer inofensivas si permanecen solas. Aquí es donde los CISSP tienen que intervenir en la protección de estos datos sensibles.
Ejemplos de Información Sanitaria Protegida (PHI) y el papel de los CISSP
La Ley de Portabilidad y Responsabilidad del Seguro Médico (HIPAA) exige la adopción de ciertas normas de seguridad para la protección de la información sanitaria personal. Por lo general, se considera que la PHI es cualquier información relacionada con la salud que puede ser identificada individualmente y producida o recibida por los proveedores de atención médica, incluidos los operadores de planes de salud y las cámaras de compensación de salud.
La PHI puede estar relacionada con la salud presente, pasada o futura de un individuo, ya sea en términos físicos o mentales. La IPS también puede incluir el estado actual de un individuo en cuanto a su salud. En general, la IPS puede ser utilizada para la identificación de cualquier individuo específico. Además, se refiere a la información que se mantiene y se transmite en cualquier forma, como la electrónica, el papel o la palabra.
Sin embargo, la PHI no se refiere a los registros relacionados con la educación que están cubiertos por la EFRPA o la Educational Family Rights and Privacy Act. Tampoco se refiere a los registros de empleo mantenidos por cualquier empleador. La normativa de la PHI se refiere clásicamente a una variedad de campos diferentes que normalmente pueden utilizarse para identificar a un individuo. Estos incluyen:
- Nombres
- Cada fecha vinculada directamente a una persona, como la fecha de nacimiento, la fecha de alta, la fecha de fallecimiento y la administración
- Números de fax y de teléfono
- Direcciones de correo electrónico y de calle (incluyendo subdivisiones geográficas como el país y los códigos postales)
- Registros médicos, beneficiario de un plan de salud, certificado, números de seguridad social y de cuenta
- Identificadores de vehículos, biométricos, de voz y de huellas dactilares
- Imágenes fotográficas de rasgos reconocibles y del rostro completo
- Cualquier otro número, código o característica única que pueda ser útil para reconocer a una persona
Los profesionales del CISSP deben, por tanto, hacer hincapié en mantener estos datos seguros. Esto se cubre en la Seguridad de Activos del Dominio II en el examen CISSP.
Diferentes formas en que los CISSP pueden mantener la PII y la PHI a salvo de ataques maliciosos
Una «Línea de Base de Seguridad» es un conjunto de características básicas de seguridad que deben ser completadas por cualquier sistema o servicio dado. Estas características u objetivos no implican medidas técnicas y se eligen para que sean completas y pragmáticas. Por lo tanto, debe haber un «Documento de Implementación de Seguridad» separado que contenga los detalles de cómo se pueden cumplir los diferentes objetivos de seguridad a través de cualquier servicio o sistema específico. Estos detalles suelen depender del entorno operativo del servicio o sistema en el que se despliega. Además, puede utilizar y aplicar las medidas de seguridad pertinentes de forma creativa. Las derogaciones de la línea de base son muy posibles y esperables. Cualquier excepción debe marcarse explícitamente.
«Scoping» por otro lado es un sistema de evaluación continua de cualquier situación, que generalmente se lleva a cabo a través de la discusión, las consultas y el seguimiento.
«Tailoring» es la adaptación de las necesidades o especificaciones según los requisitos operativos actuales a través de la complementación, la modificación y/o la supresión sin desviarse de las normas.
Propiedad de los datos
El acto de tener el control total y los derechos legales sobre cualquier pieza o conjunto de elementos de datos se conoce como propiedad de los datos. En realidad, define y da información sobre el propietario legítimo de cualquier activo de datos específico y la política de su uso, adquisición y distribución implementada por el propietario de los datos.
Remanencia de datos
La representación residencial de los datos digitales se conoce como remanencia de datos, que permanecen incluso después de los intentos de eliminarlos o borrarlos.
Limitación de la recopilación
El uso de marcos de privacidad puede considerarse como herramientas para ayudar a pensar en la privacidad de los datos y ayudar a enmarcar los debates sobre la privacidad para entender sus requisitos.
Hay un foro para «países comprometidos con la democracia y la economía de mercado» llamado La Organización para la Cooperación y el Desarrollo Económico (OCDE). El lema de la organización es proporcionar un entorno para que los gobiernos comparen experiencias de políticas para tener las respuestas a los problemas comunes e identificar las mejores prácticas mediante la coordinación de las diferentes políticas internacionales y nacionales.
Los Principios de Privacidad de la OCDE dan internacionalmente el marco de privacidad que se utiliza más comúnmente. Las redes de privacidad se reflejan en las leyes emergentes así como en las existentes sobre privacidad y protección de datos, sirviendo así de base para la producción de programas de privacidad de máxima práctica y otros principios adicionales.
Los Principios de Privacidad: Lo que deben saber los CISSP
Los principios de privacidad, según las Directrices que rigen la protección de la privacidad y los flujos transfronterizos de datos personales, son los siguientes:
Principio de limitación de la recogida
Debe haber límites para la recogida de datos personales y cualquier información de este tipo debe obtenerse por medios justos y legales. Además, cuando proceda, los datos deben obtenerse con el consentimiento o el conocimiento del interesado.
Principio de calidad de los datos
Todos los datos personales obtenidos tienen que ser pertinentes para los fines de su utilización, y sólo en la medida en que sean esenciales para dichos fines. Los datos utilizados deben ser completos, exactos y estar actualizados.
Principio de especificación de la finalidad
Las finalidades de la recogida de datos personales deben especificarse a más tardar en el momento de la recogida y en cada uso posterior. Además, se limitan al cumplimiento de los fines para los que se toman y no son incompatibles con los fines cuando se produce el cambio de los mismos.
Principio de Limitación de Uso
Los datos personales no pueden ser facilitados, divulgados o utilizados de otro modo para fines distintos de los previstos en las leyes y en el consentimiento del interesado.
Principio de salvaguardias de seguridad
Los datos personales tienen que estar protegidos contra riesgos potenciales como el acceso, uso, modificación, distribución y divulgación no autorizados o la pérdida mediante la aplicación de salvaguardias de seguridad razonables.
Principio de apertura
Debe existir una política general de apertura en relación con las prácticas y la evolución de la información personal. Debe haber medios fácilmente disponibles para establecer la naturaleza y la existencia de la información personal, los fines clave de su uso y la identidad con la dirección de residencia habitual del responsable del tratamiento.
Principio de participación individual
Toda persona debe tener los siguientes derechos:
- A obtener información del responsable del tratamiento, y a confirmar si el responsable del tratamiento tiene alguna información que le concierna;
- A comunicar al responsable del tratamiento los datos que le conciernen:
- Dentro de un plazo práctico;
- Con un coste (no excesivo);
- De forma razonable; y
- De forma fácilmente inteligible;
- De motivar la denegación de la solicitud efectuada con arreglo a las letras a) y b) antes mencionadas, y de la capacidad de impugnar dicha denegación;
- De impugnar los datos que le conciernen y de hacer que éstos se modifiquen, completen, rectifiquen o supriman si la impugnación tiene éxito.
Principio de responsabilidad
Todo responsable del tratamiento de datos tiene que rendir cuentas del cumplimiento de las medidas que dan efecto a los principios mencionados anteriormente.