Adecuación a las leyes de protección de documentos

La industria de TI se ha ido haciendo cada vez más compleja con el paso de los años y la llegada de nuevos requisitos reguladores que deben adoptar todas las compañías que coticen en Bolsa. Tal vez su organización ya esté cumpliendo con estos requisitos. Si trabaja para una consultoría o compañía que no cotiza en Bolsa, es posible que no tenga la obligación de cumplirlos. No obstante, es posible que sus clientes sí estén sujetos a tales obligaciones, de modo que esta información es de gran interés para cualquier persona relacionada con la industria de TI.

La normativa afecta a amplias áreas de la privacidad de datos, seguridad, retención, protección y responsabilidad. Dentro de estas áreas, el mecanismo de equilibrio de poderes sirve para preservar la información y los datos. Los procesos investigadores verifican la integridad de la privacidad, seguridad y protección de datos mientras que las auditorias se requieren para establecer las responsabilidades.

Los requisitos legales y comerciales protegen a una compañía de investigaciones o consecuencias pero también ayudan a proteger información de pacientes o clientes. A continuación, se ofrece una lista de algunas de las leyes más comunes. No se trata de una lista completa o específica de esta industria pero sirve como ejemplo de la cantidad de normativas de datos que ya están en vigor:

Ley Orgánica 15/1999 de Protección de Datos de Carácter Personal	La ley española de Protección de Datos de Carácter Personal (LOPD) regula el tratamiento de datos personales en todas las empresas, organismos públicos y actividades profesionales.
Ley de Sarbanes-Oxley	Conocido como SOX, esta ley obliga a los ejecutivos financieros de una empresa a ser los responsables últimos de los datos contenido en sus informes financieros. Los auditores independientes efectuan controles y examinan procesos financieros para asegurar que estos informes sean exactos. Estos controles de archivos y procesos sirven para prevenir las actividades fraudulentas.
Ley de la Responsabilidad y Portabilidad de Seguro de Asistencia Sanitaria (1996)	La Ley de la Responsabilidad y Portabilidad de Seguro de Asistencia Sanitaria obliga, entre otras cosas, a proteger información sobre los pacientes en materia de sanidad.
Directiva de la Unión Europea de Protección de Datos	La Directiva de la Unión Europea de Protección de Datos (EUDPD) estandariza la protección de la privacidad de datos para todos los ciudadanos de la Unión Europea (UE), exigiendo unos requisitos mínimos que todos los estados miembros deben aplicar a través de la legislación nacional.
Estándar de Seguridad de Datos en la Industria de Tarjetas de Pago	El 30 de junio de 2005, las cuatro asociaciones principales de tarjetas de crédito en los EEUU (Visa, MasterCard, American Express, y Discover Network) adoptaron medidas con el objetivo de establecer y consolidar dicho estándar ( Estándar de Seguridad de Datos en la Industria de Tarjetas de Pago o ‘ PCIDSS’). Se requiere la conformidad de los comerciantes quien acepte estas tarjetas.
Ley de la Protección de Información Personal de Japón (2003)	El 23 de mayo de 2003, el gobierno Japonés aprobó la ley para la protección de Información Personal de Japón (2003). Esta ley se refiere al gobierno o las entidades que almacenan, manejan o usan información personal de 5,000 o más individuos.
Ley de Gramm-Leach-Bliley	La ley de Gramm–Leach–Bliley (La Protección de la Privacidad, Instituto Financier, 2001) trata de la protección de información personal no pública. Requiere que los archivos financieros estén adecuadamente protegidos, resguardados y finalmente que sean desechados de manera que la información quede completamente destruida.
Legislación de Notificación de Infracción	La Notificación del Congreso de California 1386 (SB1386) requiere notificación a los residentes de California con respecto a cualquier violación de la seguridad de un sistema informático que contenga información personal.

Estas leyes y normativas se podrían resumir en estos sencillos términos: “Almacénelo con seguridad y presérvelo”. Esto supone la utilización de un equipo y políticas adicionales para mantener el control sobre la información que los usuarios hayan guardado anteriormente en sus máquinas.

Uno de los aspectos más importantes es la obligación de garantizar la accesibilidad a los datos guardados en cualquier momento. En los casos de desastres relacionados con datos almacenados, las compañías que buscan rapidez y calidad recurren a Ontrack Recuperación de Datos para recuperar sus datos. En otras situaciones, un software que favorece la recuperación de datos, como Ontrack® PowerControls™, para el servidor de Microsoft® Exchange, a menudo forma parte del proceso de adecuación a las normativas por parte del departamento de TI de muchas empresas.

Uno de los riesgos para la información electrónica menos considerados son los fallos del sistema de almacenaje. ¿Cómo superar una auditoria financiera al final del trimestre cuando la base de datos de la empresa está corrupta? ¿Qué ocurre cuando el servidor tiene fallos? ¿A quién recurrir cuando su compañía está en medio de una investigación de la SEC y el servidor de mensajes electrónicos se cae? Estas situaciones ocurren cada día. Para minimizar los riesgos, hemos resumido a continuación un número de políticas de mitigación de riesgos que los administradores pueden adoptar:

• Caída del sistema de almacenamiento – Evite forzar en línea un RAID u otro dispositivo de almacenamiento. Normalmente hay un motivo sólido por el que una tarjeta controladora deja de reconocer una unidad o configuración RAID. Forzándolos en línea puede provocar una mayor corrupción del sistema de archivos.
• Reconstruir una unidad estropeada – Al reconstruir una unidad estropeada, es importante que se permita a la tarjeta controlador a terminar el proceso. Si una segunda unidad falla o se cae durante el proceso, pare y solicite la ayuda de un proveedor de servicios de recuperación profesionales. Durante una reconstrucción, los fallos en una segunda unidad cambiarían los datos en las otras unidades.
• Durante un apagón – Si el problema requiere asistencia técnica del fabricante del equipo original, siempre debe preguntar “¿Se encuentra en riesgo la integridad de los datos?” o, “¿Se verán mis datos dañados de alguna manera?”. Si el técnico dice que los datos están en peligro, entonces pare y acuda a un profesional de recuperación de datos.
• Hacer la recuperación sin ayuda – algunos departamentos de TI quizás tengan empleados que ya hayan trabajado con herramientas automatizadas de recuperación de datos o de almacenamiento en discos duros. Dependiendo de la causa de la pérdida de datos, puede que en realidad estas herramientas limiten los esfuerzos de recuperación porque lo que ocurre es que la unidad está experimentando fallos intermedios. Algunas de las herramientas de Internet son ‘gratuitas’ o prometen que arreglan discos duros estropeados. Verifique la fuente del software y asegúrese de que provenga de una compañía acreditada que posea un proceso estandardiza de desarrollo y garantía de calidad (Q/A). El software no probado puede producir resultados impredecibles.

Cuando fallan sistemas informáticos de almacenamiento de datos de un ordenador portátil o de mesa, no suponga que existen copias de seguridad de sus archivos o que éstas se realizan automáticamente en el servidor. Por otro lado, nunca suponga que los datos se han perdido para siempre.