8/22/2014

Cémo Proteger la Informacion Personal: Una Guia para Negocios | BCP Business Center

¢ Si por motivos comerciales su negocio utiliza informes de crédito de los consumidores,
posiblemente usted esté sujeto a las disposiciones de la Regla de Eliminacion de Datos de
la FTC. Para mas informacion, lea ,Esta eliminando los datos de los informes de los
consumidores? La nueva regia le dice cémo hacerlo.

CONTROL DE SEGURIDADPregunta:

Mi compaiiia recibe solicitudes de crédito completadas por los clientes. En el formulario se les
solicita a los clientes que suministren una gran cantidad de informacion financiera. Cuando
terminamos de utilizar las solicitudes, las desechamos cuidadosamente. {Es esto suficiente?

Respuesta:

No. Establezca normas para estar seguro de que todos los papeles que contengan informacion

delicada no puedan ser leidos ni recuperados luego de que usted se deshaga de los documentos.
Para estar seguro de que un ladr6n de identidad no los robe de su canasto de basura, quémelos,
triturelos o pulvericelos.5. PLANIFIQUE CON ANTICIPACION. Elabore un plan para responder a los
incidentes de seguridad.

Adoptar las medidas necesarias para proteger los datos que se encuentran en su poder puede ser
una gran ayuda para prevenir una violacién del sistema de datos; sin embargo, a pesar de las
precauciones adoptadas su negocio podria sufrir un incidente. A continuaci6on le sugerimos como
puede reducir el impacto de un incidente de seguridad sobre su negocio, sus empleados y clientes:

¢ Establezca un plan de respuesta para los incidentes de seguridad. Designe a un empleado
de alto rango en la empresa para que coordine e implemente el plan de respuesta.

+ Si se compromete la seguridad de una computadora, desconéctela inmediatamentede su
red.

¢ Investigue los incidentes de seguridad inmediatamente y tome medidas para cerrar las
vulnerabilidades o bloquear las amenazas para la informacion personal.

Considere quiénes deberian ser notificados en caso de que se produzca un incidente, tanto dentro
como fuera de su organizacion. Es posible que tenga que notificar a los consumidores, autoridades
competentes, clientes, compafias de informes de crédito y demas negocios que puedan verse
afectados por la violacion del sistema de datos. Ademas, tenga presente que muchos estados y las
agencias federales de regulacion de actividades bancarias poseen leyes o pautas directrices
aplicables a las violaciones del sistema de datos. Consulte con su abogado.

CONTROL DE SEGURIDADPregunta:
Soy propietario de una pequefia empresa. {No me costara una fortuna implementar todas estas

precauciones?
Respuesta:

No. En lo relacionado a la seguridad y proteccion de datos no existe una Unica solucién que se
adapte a la medida de todos los negocios, y aquello que resulte mas adecuado para su caso

http:/Awww.business.ftc.govidocuments/sbus69-como- proteger-Ia-informacion-personal-una-g.ui-para-negocios 14/16


8/22/2014 Cémo Proteger la Informacion Personal: Una Guia para Negocios | BCP Business Center

archiveros, se desconecten de la red (/og off) y que cierren con llave las puertas de la oficina
y de los archiveros.

¢ Implemente controles de acceso adecuados al tipo de instalacién de su negocio. Informe a
sus empleados qué es lo que deben hacer si ven a un desconocido dentro de su negocio.

¢ Si almacena informacion en un lugar fuera de su negocio, limite el acceso de los empleados
permitiendo el ingreso solamente a aquellos que realmente necesiten acceder a la
informacién por razones comerciales. Lleve un control de las personas que acceden al
archivo y las ocasiones en que lo hacen.

¢ Si envia informaci6n delicada a través de contratistas o transportistas externos, encripte o
cifre la informacion y mantenga un inventario de la informacion enviada. Ademas, use un
servicio de entrega urgente ya que esto le permitira hacer un seguimiento de la entrega de la
informaci6n.

« Si en su negocio se usan aparatos que recolectan informaci6n delicada, como un dispositivo
para ingresar numeros de identificacion personal o PIN pads, tome las medidas de seguridad
necesarias para que los ladrones de identidad no puedan forzarlos o manipularlos
indebidamente. También incluya estos dispositivos en su inventario para asegurarse de que
no se los cambien por otros.

SEGURIDAD ELECTRONICA

La seguridad de su sistema de computaci6én no es solamente el area de su personal de tecnologia.
Ocupese de este tema para comprender las winerabilidades de su sistema de computaci6n y siga
los consejos de los especialistas en la materia.

Seguridad General de la Red

¢ Identifique las computadoras o servidores en donde se almacena la informaci6n personal
delicada.

¢ Identifique todas las conexiones a las computadoras en las que se almacena informacién
delicada. Estas pueden incluir Internet, cajas registradoras electronicas, computadoras
instaladas en sus sucursales, computadoras utilizadas por proveedores de servicios que
proveen apoyo a su red, las conexiones de las copiadoras digitales y aparatos inalambricos
como teléfonos inteligentes, computadoras portatiles tipo tablet o escaneres para inventario.

¢ Evalue la vulnerabilidad de cada una de las conexiones a los ataques mas conocidos 0
previsibles. Dependiendo de las circunstancias individuales de su negocio, las evaluaciones
adecuadas para cada caso pueden variar desde contar con un empleado con conocimientos
informaticos que active un programa software de seguridad comercial hasta la contratacion
de un profesional independiente que realice una auditoria de seguridad a gran escala.

+ No almacene datos delicados de los consumidores en ninguna computadora conectada a
Internet a menos que sea indispensable para operar su negocio.

¢ Encripte o cifre la informacion delicada que le envia a terceros a través de redes de uso
publico (por ejemplo, Internet), y también considere encriptar la informacion delicada que se

http:/Awww.business.ftc.govidocuments/sbus69-como- proteger-Ia-informacion-personal-una-g.ui-para-negocios 5/16


8/22/2014

Cémo Proteger la Informacion Personal: Una Guia para Negocios | BCP Business Center

cada aparato, ya sea las que vienen incorporadas regularmente de fabrica como los
accesorios para instalar como complemento. Por lo general, son funciones para encriptar o
sobrescribir datos. La encriptacién codifica los datos en el disco duro para que solamente se
puedan leer usando un software particular. La funcion para sobrescribir datos — también
conocida como funcién de borrado o eliminacion definitiva de archivos — reemplaza los datos
existentes con caracteres aleatorios, dificultando las probabilidades de que otro usuario logre
reconstruir un archivo.

Cuando haya elegido una copiadora para su compajiiia, aproveche todas las funciones de
seguridad que le ofrezca. Puede establecer la cantidad de veces que quiere que se
sobrescriban los datos — en general, cuanto mas veces se sobrescriban los datos mas dificil
sera recuperarlos. Ademas, dé instrucciones precisas para que el personal de su oficina se
acostumbre a sobrescribir el disco duro de las copiadoras por lo menos una vez por mes.

Cuando dewelva una copiadora alquilada o cuando deseche una de su propiedad, averigile si
se puede retirar el disco duro y destruirlo, o si se pueden sobrescribir los datos almacenados
en el disco duro. Para evitar roturas en la maquina, pidale a un técnico capacitado que retire
el disco duro.

Para consultar mas informacion sobre este tema, lea Seguridad de copiadoras de datos: Una quia
para negocios.

Como Detectar las Violaciones del Sistema de Datos

Para detectar una violacion de la red del sistema de datos considere utilizar un sistema de
deteccion de intrusion. Para que este sistema resulte efectivo contra los nuevos tipos de
ataques de los hackers se debe actualizar regularmente.

Mantenga un registro central de la informacion relacionada a la seguridad para poder
monitorear la actividad de su red y detectar y responder a los ataques. Si se produce un
ataque a su red, el registro le brindara la informacion necesaria para detectar las
computadoras comprometidas.

Monitoree el trafico entrante de transmisiones para detectar sefiales que indiquen que alguien
esta tratando de acceder indebidamente. Manténgase atento a la actividad de usuarios
nuewos, multiples intentos de conectarse al sistema desde computadoras ajenas o de parte
de usuarios desconocidos y un trafico mas alto de lo normal a horas del dia inhabituales.

Monitoree el trafico saliente de transmisiones para detectar sefiales de una violaci6n del
sistema de datos. Esté atento a la transmision de una gran cantidad de datos que
imprevistamente empiezan a ser transmitidos desde su sistema hacia un usuario
desconocido. En el caso de que se transmita una gran cantidad de datos desde su red,
investigue el caso para asegurarse de que la transmision esté autorizada.

Tenga listo e implemente un plan de respuesta para casos de volacion del sistema de datos.
Para mas informacion, consulte el punto 5.

CAPACITACION DE LOS EMPLEADOS

http:/Awww.business.ftc.govidocuments/sbus69-como- proteger-Ia-informacion-personal-una-g.ui-para-negocios 10/16


8/22/2014 Cémo Proteger la Informacion Personal: Una Guia para Negocios | BCP Business Center

Manejo de Contrasefhas

¢ Controle el acceso a la informacion delicada exigiendo que sus empleados utilicen
contrasefias “sdlidas”. Los expertos en seguridad tecnolégica dicen que cuanto mas extensa
sea la contrasefia, mayor sera la seguridad de la misma. Debido a que las contrasefias
simples — como por ejemplo las palabras que figuran en los diccionarios — pueden ser
descubiertas facilmente, insista que sus empleados elijan contrasefas que contengan una
combinacién de letras, numeros y signos. Exija que el nombre de usuario y la contrasefia de
los empleados sean diferentes y que se cambien frecuentemente.

« Expliqueles a sus empleados por qué compartir las contrasefias o colocarlas cerca del
escritorio de trabajo viola las normas de seguridad de la compafiia.

¢ Utilice protectores de pantalla activados por contrasefa para bloquear las computadoras de
los empleados luego de un periodo de inactividad.

¢ Bloquee a los usuarios que no ingresen la contrasefia correcta dentro de un determinado
numero de intentos de conectarse al sistema.

« Advierta alos empleados sobre posibles llamadas telefénicas provenientes de ladrones de
identidad que tienen intencioén de engafarlos para que les den sus contrasefas haciéndose
pasar por miembros del personal de tecnologia de su compajiia. Informeles a sus empleados
que las llamadas de este tipo son siempre fraudulentas y que nadie deberia revelar sus
contrasefias.

¢ Cuando instale un programa software nuevo, cambie inmediatamente las contrasefias
predeterminadas por el proveedor del programa por otra contrasefia mas segura e inviolable.

« Adveértales a sus empleados que no transmitan datos de identificacion personal delicada —
numeros de Seguro Social, contrasefias, informacién de cuentas — via e-mail. El correo
electronico sin encriptacién no es un medio seguro para transmitir ningun tipo de informacion.

CONTROL DE SEGURIDADPregunta:

El personal de contabilidad de nuestro negocio necesita acceder a la informacién financiera de
nuestros clientes que esta archivada en nuestra base de datos. Para que sea mas facil de recordar
la contrasefia usamos el nombre de la compafia. {Esto podria crear un problema de seguridad?

Respuesta:

Si. Hackers primero intentaran palabras como “password”, el nombre de su compaiiia, la contrasefia

predeterminada del programa software y otras opciones faciles de adivinar. También usan programas
que exploran palabras y fechas que se usan comuinmente. Para hacerle mas dificil que entren en su
sistema, seleccione contrasefias sdlidas — cuanto mas extensas mejor — utilizando una
combinacion de letras, simbolos y numeros y cambiandolas frecuentemente.

Seguridad de las Computadoras Portatiles

¢ Restrinja el uso de computadoras portatiles solamente a aquellos empleados que las

http:/Awww.business.ftc.govidocuments/sbus69-como- proteger-Ia-informacion-personal-una-g.ui-para-negocios 76


8/22/2014

Cémo Proteger la Informacion Personal: Una Guia para Negocios | BCP Business Center

almacena en su red de computadoras 0 en discos u otros dispositivos portatiles de
almacenamiento de datos utilizados por sus empleados. Asimismo, considere encriptar
mensajes de correo electronico si contienen informacién personal identificable.

Active con regularidad programas antivirus y anti-spyware actualizados en todas las
computadoras individuales y servdores de su red.

Visite con regularidad los sitios Web especializados (por ejemplo www.sans.org) y el de su

proveedor de programas software para consultar las alertas sobre nuevas vulnerabilidades e
implemente normas para instalar los parches de seguridad aprobados por su proveedor para
corregir los problemas.

Considere implementar una norma para impedir que sus empleados descarguen programas
software no autorizados. Los programas software que se descargan a los aparatos que estan
conectados a su red (computadoras, teléfonos inteligentes y computadoras portatiles tipo
tablet) pueden usarse para distribuir malware.

Examine las computadoras de su red para identificar y configurar el sistema operativo y los
servicios de red abiertos. Si encuentra servicios innecesarios, desactivelos para prevenir
ataques de hackers u otros potenciales problemas de seguridad. Por ejemplo, si no es
necesario que una computadora determinada esté conectada al servicio de e-mail oa
Internet, considere cerrar los servicios en esa computadora para evitar el acceso no
autorizado de esa terminal.

Cuando reciba o transmita informacion de tarjetas de crédito u otros datos financieros
delicados, use el estandar de seguridad llamado Secure Sockets Layers (SSL) o alguna otra
conexién segura que proteja la informacion transmitida.

Preste atencién especial a la seguridad de sus aplicaciones Web — el software utilizado
para darle informacion a los visitantes de su sitio Web y para captar la informacion de los
\visitantes. Las aplicaciones Web pueden ser particularmente vulnerables a una variedad de
ataques de hackers. En una de las variaciones de este tipo de ataques llamado “injection
attack”, un hacker inserta comandos maliciosos en su sistema por medio de lo que aparenta
ser una solicitud de informacion legitima. Una vez que tengan acceso a su sistema, los
hackers transfieren informacién delicada desde su red a sus propias computadoras. Existen
defensas relativamente simples contra estos ataques y estan disponibles en una variedad de
fuentes.

CONTROL DE SEGURIDADPregunta:

En mi negocio encriptamos los datos financieros que nuestros clientes ingresan en nuestro sitio
Web. Pero después de recibirlos los desciframos y los enviamos por e-mail en formato de texto a
través de Internet hacia nuestras sucursales. ~Hay alguna practica que ofrezca mayor seguridad?

Respuesta:

Si. El correo electrénico comtn no es un método seguro para enviar datos delicados. Lo mejor es

encriptar o cifrar todas las transmisiones que contengan informacion que pueda ser utilizada por
defraudadores o ladrones de identidad.

http:/Awww.business.ftc.govidocuments/sbus69-como- proteger-Ia-informacion-personal-una-g.ui-para-negocios a6


8/22/2014

Cémo Proteger la Informacion Personal: Una Guia para Negocios | BCP Business Center

controls) — para determinar cuales son los usuarios autorizados a acceder a través del
firewall y qué tipo de informacion estan autorizados a consultar — de esta manera usted
puede autorizar el acceso a la red solamente a los empleados de confianza que tengan una
razon legitima para hacerlo. Revise periddicamente los controles de acceso ya que la
proteccién que brinda un firewall solamente es efectiva si los controles de acceso estan
correctamente configurados.

Si almacena informacién delicada solamente en algunas de las computadoras de su
compania, considere utilizar programas firewalls adicionales para proteger éstas
computadoras.

Acceso Inalambrico y Remoto

Determine si en su negocio existen dispositivos inalambricos como por ejemplo teléfonos
inteligentes, computadoras portatiles tipo tablet o escaneres para inventario que podrian
conectarse a su red de computadoras o ser utilizados para transmitir informacion delicada.

Si asi fuera, considere limitar la cantidad de empleados que tienen permitido usar una
conexion inalambrica para acceder a su red de computadoras. Usted puede obstaculizarle el
acceso a la red a un intruso limitando la cantidad de dispositivos 0 aparatos inalambricos
conectados a su red.

Aun mejor, considere encriptar los contenidos para impedir que un intruso pueda leerlos. Al
encriptar transmisiones desde dispositivos inalambricos hacia su red de computadoras puede
prevenir que un intruso logre acceder a través de un proceso llamado “spoofing” — simulando
ser una de sus computadoras para lograr acceder a su red.

Si permite acceso remoto a su red (network) a sus empleados 0 proveedores de servicios
como los que prestan asistencia técnica y actualizacién de programas para procesar
compras con tarjeta de crédito, debe considerar encriptar sus archivos.

Copiadoras Digitales

En su plan de seguridad de la informacion debe incluir las copiadoras digitales que se utilizan en su
compafiia. El disco duro de una copiadora digital almacena datos sobre los documentos que copia,

imprime, escanea, envia por fax y por email. Si usted no toma las medidas de seguridad necesarias
para proteger los datos, se los pueden robar del disco duro, ya sea por acceso remoto o extrayendo
los datos del disco duro cuando se lo retire del aparato.

Algunas recomendaciones para proteger los datos delicados almacenados en los discos duros de
las copiadoras digitales:

¢ Cuando esté por comprar una copiadora digital, haga participar al personal de la seccion de

tecnologia de la informacion. Los empleados que se ocupan de la seguridad de sus
computadoras también deben asumir la responsabilidad de proteger los datos almacenados
en las copiadoras digitales.

¢ Cuando compre o alquile una copiadora, considere las funciones de seguridad que le ofrece

http:/Awww.business.ftc.govidocuments/sbus69-como- proteger-Ia-informacion-personal-una-g.ui-para-negocios 96


8/22/2014 Cémo Proteger la Informacion Personal: Una Guia para Negocios | BCP Business Center

Federal Trade Commission
BCP Business Center
business.ftc.gov

7; oS
2a eS

Como Proteger la Informacion Personal: Una Guia
para Negocios

La mayoria de las compafiias mantiene un registro que contiene informacion personal delicada —
nombres, numeros de Seguro Social, datos de tarjeta de crédito o de otros datos que es utilizada
para identificar a sus clientes o empleados.

Frecuentemente, es necesario contar con esta informacion para completar ordenes de compra,
liquidar salarios o desempefiar otras funciones propias de la operacién del negocio. Pero si los datos
delicados caen en las manos equivocadas puede resultar en fraude, robo de identidad o algun otro
tipo de perjuicio similar. Por lo tanto, debido al costo que acarrea una violacién del sistema de datos
— la pérdida de confianza de sus clientes y quizas hasta tener que asumir los costos de su defensa
en una demanda judicial — proteger la informacion personal registrada por su compaiiia es
simplemente una cuestion de buen sentido comercial.

Algunos negocios pueden contar con personal capacitado para implementar un plan adecuado. Otros
tal vez puedan recurrir a un contratista especializado. Independientemente del volumen — o
naturaleza — de su negocio, los principios detallados en el presente folleto le seran de gran ayuda
para mantener la seguridad de los datos.

Un plan de seguridad de datos personales solido se basa en 5 principios clave:

1. Conozca su inventario.Sepa cual es la informacion personal que usted posee en sus archivos y
computadoras.

2. Reduzca sus archivos. Mantenga Unicamente la informacién que necesita para manejar su
negocio.

3. Cierre con lIlave.Proteja la informacion que mantiene.

4. Elimine lo innecesario.Deseche correctamente la informacién que ya no necesita.

5. Planifique con anticipacion. Elabore un plan para responder a las violaciones de seguridad.

Use las listas de verificacion que se presentan en las siguientes paginas para ver si las practicas de

su compaiiia son las adecuadas — y para identificar donde deben implementarse cambios. También
puede ver un tutorial interactivo en inglés en business. ftc.gowprivacy-and-security.

1. CONOZCA SU INVENTARIO. Sepa cual es la informacion personal que tiene almacenada en sus
registros y computadoras.

http:/Awww.business.ftc.govidocuments/sbus69-como- proteger-Ia-informacion-personal-una-g.ui-para-negocios 116


8/22/2014

Cémo Proteger la Informacion Personal: Una Guia para Negocios | BCP Business Center

Enséfieles a sus empleados cuales son los riesgos del phishing — mensajes de correo
electronico con informacion de apariencia legitima. Puede que estos mensajes electrénicos
parezcan provenir de alguna persona que trabaja en la compaiiia, por lo general de algun jefe
o directivo. Establezca una norma para que el personal de su oficina verifique
independientemente todos los mensajes de correo electronico recibidos en los cuales se
solicite informacion delicada o confidencial. Informeles a sus empleados que para verificar la
legitimidad de un email de este tipo no tienen que responderlo ni usar los enlaces, numeros
de teléfono ni los sitios web contenidos en el mensaje.

Advierta a sus empleados sobre la practica conocida como phishing telefonico. Enséfieles a
sospechar de personas desconocidas que llamen al negocio diciendo que necesitan numeros
de cuenta para procesar un pedido o que pidan la informacion de contacto de clientes o
empleados. Establezca como norma que se verifiquen esto Ilamando a la compajiia a un
numero de teléfono que usted sepa es real.

Pida a los empleados que le notifiquen inmediatamente si existe una potencial violacién de la
seguridad del sistema de datos, como por ejemplo la pérdida o robo de una computadora
portatil.

Imponga medidas disciplinarias para castigar las violaciones de las normas de seguridad y
proteccion de la informacion.

Para consultar recomendaciones para computadoras, tutoriales, juegos y pruebas para todos
los miembros de su personal, visite en Internet www.AlertaenLinea.gov.

PRACTICAS DE SEGURIDAD APLICABLES A CONTRATISTAS Y PROVEEDORES DE
SERVICIOS

Las practicas de seguridad de su compafiia dependen de las personas que las implementan,
incluidos sus contratistas y proveedores de servicios.

« Antes de contratar servicios externos para desempefiar alguna de sus funciones comerciales

— liquidaci6n de salarios, administracion y localizacién de servicios Web, operaciones del
centro de atenci6n de llamadas, procesamiento de datos o servicios similares — investigue
las practicas de seguridad de la informacion de la compajiia a contratar y compare sus
estandares con los de su negocio. Si fuera posible, visitelos en su lugar de trabajo.

Deje aclarado en el contrato todos los asuntos de seguridad referidos al tipo de datos que
administraran sus proveedores de servicios.

Insista que sus proveedores de servcios le notifiquen cualquier incidente de seguridad que
tengan, aun cuando estos incidentes no resulten en un compromiso real de los datos de su
compahiia.

CONTROL DE SEGURIDAD

Pregunta:

En realidad, no soy una persona demasiado habilidosa en cuestiones tecnoldgicas. ¢Existen
algunas medidas que pueden tomar nuestros especialistas en computacion para proteger nuestro

http:/Awww.business.ftc.govidocuments/sbus69-como- proteger-Ia-informacion-personal-una-g.ui-para-negocios 12/16


8/22/2014

Cémo Proteger la Informacion Personal: Una Guia para Negocios | BCP Business Center

Es posible que su plan de seguridad parezca muy solido en papel, pero solamente lo sera en la
medida en que los empleados que lo implementen lo cumplan al pie de la letra. Toamese tiempo para
explicarle las reglas al personal y capacite a los empleados para que puedan detectar las
wulnerabilidades de seguridad. La regularidad de los programas de capacitacion enfatiza la
importancia que usted le otorga a las practicas de seguridad y proteccién de datos importantes. La
mejor arma de defensa contra el robo de identidad y contra las violaciones de los sistemas de datos
es contar con personal bien capacitado.

Antes de contratar empleados nuevos que tendran acceso a informacion delicada, verifique
sus referencias y antecedentes.

Exija que cada empleado nuevo firme un documento en el que exprese que cumplira con las
normas de confidencialidad y seguridad que han sido establecidos por su compafiia para
controlar el manejo de los datos delicados. Asegurese de que los empleados nuevos
comprendan que una parte esencial de sus tareas es adoptar e implementar las normas del
plan de proteccion de la informacién mantenida por la compafiia. Recuérdeles regularmente
las normas de su compafiia — y cualquier otro requerimiento legal — para mantener la
seguridad y confidencialidad de la informacion.

Sepa quiénes son los empleados que tienen acceso a la informacion de identificacion
personal delicada de los consumidores. Preste atencion especial a los datos tales como
numeros de Seguro Social y numeros de cuentas. Limite el acceso a los datos personales
solamente a aquellos empleados que tengan una necesidad legitima de conocerla.

Implemente un procedimiento para garantizar que los empleados que dejen su empleo o que
sean transferidos a otra seccién de la compafiia dejen de tener acceso a la informacién
delicada. Como parte del proceso de cese de empleo o cambio de puesto cancele las
contrasefias de estos empleados y recupere las Ilaves y tarjetas de identificacion.

Cree una “cultura de seguridad” implementando un programa regular de capacitacién de los
empleados. Mantenga actualizados a sus empleados a medida que tome conocimiento de la
aparicion de nuevos riesgos y vulnerabilidades. Asegurese de que los empleados de sus
Oficinas satélites, el personal temporal y los trabajadores de estacién también participen de
los cursos de capacitacion. Considere bloquear el acceso a la red a los empleados que no
concurran al programa de capacitacion.

Capacite a sus empleados para que aprendan a reconocer las amenazas de seguridad.
Indiqueles como reportar la actividad sospechosa y recompense publicamente a los
empleados que lo alerten de la aparicion de vulnerabilidades del sistema.

Considere pedirles a sus empleados que miren el tutorial interactivo disponible en inglés en
www. ftc.gowinfosecurity.

¢ Mantenga informado a su personal sobre las normas de su compafiia de proteccion y

confidencialidad de la informacién. Coloque recordatorios en las areas donde se usa 0
almacena la informacion delicada y también en los lugares donde se congregan los
empleados. Aseguirese de que sus normas también cubran a los empleados que trabajan a
distancia o que acceden a la informacion delicada desde sus casas u otro lugar fuera de su
negocio.

http:/Awww.business.ftc.govidocuments/sbus69-como- proteger-Ia-informacion-personal-una-g.ui-para-negocios 11/16


8/22/2014

Cémo Proteger la Informacion Personal: Una Guia para Negocios | BCP Business Center

necesiten para realizar sus tareas.

Evalue si es realmente necesario almacenar la informacion delicada en una computadora
portatil. Si no fuera necesario, eliminela con un programa de borrado (wiping) que sobrescriba
los datos guardados en la computadora portatil. No es suficiente con eliminar los archivos
utilizando los comandos del teclado porque los datos podrian permanecer archivados en el
disco duro de la computadora portatil. Estos programas de borrado se consiguen en la
mayoria de los comercios especializados en articulos de oficina.

Exija a sus empleados que guarden las computadoras portatiles en un lugar seguro. Aun
cuando las computadoras portatiles estén en uso considere un cable y candado para
asegurarlas al escritorio de los empleados.

Considere autorizar a los usuarios de computadoras portatiles que accedan a la informacion
delicada, pero no les permita almacenarla en sus computadoras portatiles. Bajo este
esquema, la informacion se almacena en una computadora central protegida y las
computadoras portatiles funcionan como terminales que muestran la informacion desde la
computadora central pero que no la almacenan. También podria aumentar el nivel de
proteccion de la informacion requiriendo que para acceder a la computadora central se utilice
algun dispositivo de identificaci6n como una ficha, smart card, huella digital u otra medida
biométrica de seguridad — ademas del ingreso de una contrasefia.

Cuando se almacena informacion delicada en una computadora portatil se deben encriptar
los datos o se debe configurar de manera tal que los usuarios no puedan descargar ningun
programa software ni cambiar las configuraciones de seguridad sin la aprobacién de su
especialista en tecnologia informatica. Considere agregar una funcidn de “auto-destrucci6én”
para que los datos robados de una computadora se destruyan cuando el ladr6én los use para
intentar acceder a Internet.

Capacite a sus empleados para que esten atentos a la seguridad de la informacién cuando
se encuentran fuera de su negocio. Nunca deben dejar una computadora portatil en un lugar
visible dentro de un automowil, en el depdsito de equipaje de un hotel, o dentro del equipaje
de viaje a menos que asi se lo indique el personal de seguridad del aeropuerto. Si alguien
tuviera la necesidad de dejar una computadora portatil en el auto, debe guardarla en el batl
del vehiculo. Todo aquel que pase por seguridad en un aeropuerto debe mantener la mirada
atenta a la computadora portatil mientras pasa por la cinta.

Programas Firewalls

¢ Para proteger su computadora de ataques de hackers mientras esta conectada a Internet

use un programa firewall. Un firewall es un programa software o hardware disefiado para
bloquear el acceso de los hackers a su computadora. Un programa firewall correctamente
configurado obstaculiza los intentos de los hackers para localizar su computadora e
introducirse en sus programas y archivos.

Determine si es necesario instalar un firewall tipo border firewall en el lugar donde su
computadora se conecta con Internet. Un border firewall separa su red del Intemet y puede
prevenir que un atacante logre acceder a una computadora conectada a la red en la que
almacena informacién delicada. Establezca la funcién de “control de accesos” (access

http:/Awww.business.ftc.govidocuments/sbus69-como- proteger-Ia-informacion-personal-una-g.ui-para-negocios 86


8/22/2014

Cémo Proteger la Informacion Personal: Una Guia para Negocios | BCP Business Center

« Revise las configuraciones del programa software que lee los numeros de las tarjetas de
crédito de sus clientes y que procesa las transacciones. Algunas veces este esta
configurado por el fabricante para que la informacion se guarde permanentemente. Para estar
seguro de que no esta guardando informacion innecesaria inadvertidamente, cambie la
configuracion.

¢ Si debe mantener archivada la informacién por razones comerciales o legales, desarrolle
normas escritas de retencién de registros para identificar el tipo de informacién que debe
conservarse, como resguardarla, el periodo de tiempo durante el que debe conservarse y
como desecharla de manera segura cuando ya no la necesite.

CONTROL DE SEGURIDADPregunta:

En mi negocio queremos tener la informacion correcta de nuestros clientes y para eso, creamos un
archivo permanente en el que registramos todos los aspectos de sus transacciones, incluso la
informacién contenida en las bandas magnéticas de las tarjetas de crédito. ¢Esto podria ser
riesgoso para la seguridad de la informaci6n?

Respuesta:

Si. Mantenga archivados los datos delicados en su sistema solamente mientras tenga una

necesidad comercial legitima para guardar ésta informacion. Cuando ya no la necesite deséchela
correctamente. Si no esta archivada en su sistema, no podra ser robada por hackers o intrusos.3.
CIERRE CON LLAVE. Proteja la informacién que mantiene.

&Cual es la mejor manera de proteger la delicada informacion personal identificable que necesita
retener? Esto depende del tipo de informacion y la manera en que se almacene. Los planes de
seguridad de datos mas efectivos se basan en cuatro elementos clave: seguridad fisica, seguridad
electronica, capacitacion del personal y practicas de seguridad de los contratistas y proveedores de
servicios.

SEGURIDAD FISICA

Muchos de los incidentes que comprometen la informacion suceden a la vieja usanza — a través del
robo o pérdida de documentos en papel. Frecuentemente, la mejor defensa contra este problema es
mantener la puerta cerrada con llave o un empleado alerto.

¢ Guarde los documentos, archivos, CD, disquetes, unidades zip, cintas y copias de seguridad
que contengan informacién personal en un cuarto cerrado con Ilave o en un archivo con llave.
Limite el acceso a estos archivos solamente a aquellos empleados que realmente necesiten
consultarlos por una razon relacionada a la operacion del negocio. Lleve un control de la
cantidad de llaves que existen y de las personas que tienen acceso a ellas.

¢ Exija que todas las carpetas con informacién personal identificable sean mantenidas en
archiveros con llave, excepto cuando un empleado esta trabajando con la carpeta.
Recuérdeles a los empleados que no deben dejar documentos con informacion delicada
sobre sus escritorios cuando no estan en sus puestos de trabajo.

¢ Exija asus empleados que al finalizar la jornada de trabajo guarden las carpetas en los

http:/Awww.business.ftc.govidocuments/sbus69-como- proteger-Ia-informacion-personal-una-g.ui-para-negocios 46


8/22/2014

Cémo Proteger la Informacion Personal: Una Guia para Negocios | BCP Business Center

dependera del tipo de negocio que opere y de la clase de informacion que recolecte de sus clientes.
Algunas de las medidas de seguridad mas efectivas — utilizar contrasefias sdlidas, guardar bajo
llave la documentacion delicada, capacitar a su personal, etc. — le costaran muy poco y ademas,
usted puede encontrar herramientas de seguridad gratuitas o de bajo costo en los sitios Web de las
organizaciones sin fines de lucro dedicadas a la seguridad de la informacion. Ademas, a largo plazo
resulta mas econémico invertir en un mejor sistema de seguridad de datos que perder la confianza
de sus clientes, asumir costos legales y enfrentar las posibles consecuencias de una violacion del
sistema de datos.RECURSOS ADICIONALES

Los sitios web y publicaciones listados a continuacién contienen mas informacién sobre como
proteger datos delicados e informacion confidencial:

Computer Security Resource Center del National Institute of Standards and Technology (NIST)
www.csrc.nist.gov

Most Critical Internet Security Vulnerabilities del SANS (SysAdmin, Audit, Network, Security)

Institute

www. sans.org/top-cyber-security-risks

United States Computer Emergency Readiness Team (US-CERT)
www.us-cert.gov

Alerta en Linea
www.alertaenlinea.gov

Para Mas Informacion

La FTC trabaja para prevenir las practicas comerciales fraudulentas, engafiosas y desleales en el
mercado y proveer informacion para ayudar a los consumidores a identificar, detener y evitar dichas
practicas. Para presentar una queja o para obtener informaci6n gratuita sobre temas de interés del
consumidor visite www. ftc.gowespanol o llame sin cargo al 1-877-FTC-HELP (1-877-382-4357); TTY:
1-866-653-4261. Para mas informacién, vea el nuevo video Como Presentar una Queja. La FTC
ingresa las quejas presentadas por los consumidores a una base de datos segura y herramienta
investigativa llamada Red Centinela del Consumidor (Consumer Sentinel) que es utilizada por cientos
de agencias de cumplimiento de las leyes civiles y penales en los Estados Unidos y del extranjero.

Su Oportunidad de Presentar Comentarios

La agencia National Small Business Ombudsman y 10 juntas regionales llamadas Regional Fairness
Boards recogen comentarios de parte de las pequefias empresas sobre las acciones federales de
cumplimiento y fiscalizacién. Todos los afios, el Ombudsman evalua la conducta de dichas
actividades y califica la capacidad de respuesta de cada agencia ante las pequefias empresas. Los
representantes de las pequefias empresas pueden presentar comentarios al Ombudsman sin temor
a represalias. Para presentar comentarios, llame a la linea gratuita 1-888-REGFAIR (1-888-734-3247)
0 visite en Internet www.sba.gowombudsman.

Noviembre 2011

http:/Awww.business.ftc.govidocuments/sbus69-como- proteger-Ia-informacion-personal-una-g.ui-para-negocios 15/16


8/22/2014

Cémo Proteger la Informacion Personal: Una Guia para Negocios | BCP Business Center

© Qué tipo de informacion recolecta en cada uno de los puntos de entrada.
éLa informaci6n de las tarjetas de crédito se obtiene en linea? ,La oficina de
contabilidad y administracién mantiene un registro de las cuentas bancarias de sus
clientes?

ec Dénde mantiene archivada la informacion que recolecta en cada punto

de entrada. {En una base de datos computarizada central? ~En computadoras

portatiles indivduales? {En teléfonos inteligentes, computadoras portatiles tipo tablet
0 en otros aparatos moéviles de sus empleados? ,En discos o cintas? {En ficheros?
éEn las sucursales de su negocio? ~Sus empleados tienen archivos en sus casas?

° Quién tiene — o podria tener — acceso a la informacion. ;Quiénes son los

empleados autorizados para acceder a la informacion? ~Es necesario que tengan
acceso a la informacion? ;Alguna otra persona podria obtener autorizacién para
acceder a la informacién? {Qué sucede con los proveedores que le suministran y
actualizan los programas software que se utilizan para procesar las transacciones de
tarjeta de crédito? ~Los contratistas que operan su centro de atencidn de llamadas?

¢ Cada tipo de informacion presenta diferentes tipos de riesgos. Preste particular atencion a

registros de informacion de identificacion personal: numeros de Seguro Social, informacion
de tarjetas de crédito y financiera en general y otros datos confidenciales. Estos son los
datos mas comunmente utilizados por los ladrones para cometer fraude o incurrir en robo de
identidad.

2. REDUZCA SUS ARCHIVOS Mantenga solamente la informacién que necesita para manejar su
negocio.

Si no tiene una necesidad legitima para mantener informacion delicada no la guarde. De hecho, lo
mejor es no recolectarla. Si necesita legitimamente la informacién para operar su negocio
manténgala archivada solamente el tiempo que la necesite.

¢ Utilice los numeros de Seguro Social solamente para fines legales y obligatorios — como por

ejemplo para reportar los impuestos de sus empleados. No use innecesariamente los
numeros de Seguro Social — por ejemplo para identificar a los empleados o clientes o
sencillamente porque siempre los utiliz6 para ese fin.

La ley establece que usted debe abreviar — o truncar — la informacion de los datos de las
tarjetas de crédito 0 débito de los recibos que les entrega a los clientes. Usted solamente
puede imprimir en los recibos los ultimos cinco digitos del numero de la tarjeta y debe
eliminar la fecha de expiracion.

No conserve la informacion de las tarjetas de crédito de los clientes a menos que sea
realmente necesario. Por ejemplo, no retenga el numero de cuenta y fecha de expiracion a
menos que tenga una necesidad comercial. Al mantener estos datos en sus registros — 0 al
conservarlos por mas tiempo que lo necesario — esta aumentando el riesgo de que la
informacién pueda ser utilizada para cometer fraude o robo de identidad.

http:/Awww.business.ftc.govidocuments/sbus69-como- proteger-Ia-informacion-personal-una-g.ui-para-negocios 316


8/22/2014

Cémo Proteger la Informacion Personal: Una Guia para Negocios | BCP Business Center

Proteger la informacién comienza por evaluar el tipo de informacion que usted mantiene e identificar
quién tiene acceso a la misma. El punto esencial a considerar en la evaluaci6n de las
vulnerabilidades de seguridad es entender bien como la informacion ingresa, se procesa y sale de su
negocio y quiénes tienen o podrian tener acceso a los datos. Solamente después de identificar ese
proceso podra determinar los mejores mecanismos para proteger la informacion.

CONTROL DE SEGURIDAD

Pregunta:

éExiste alguna ley que disponga que mi compafia debe mantener protegida la informacion
confidencial?

Respuesta:

Si. Cuando haga el inventario de los datos que guarda en sus archivos también haga un recuento de

las leyes aplicables. Algunos estatutos, tales como las leyes llamadas Gramm-Leach-Bliley, Fair
Credit Reporting y la Ley de la Comision Federal de Comercio (Federal Trade Comission Act) pueden
disponer que usted tiene que proveer un nivel razonable de seguridad para proteger la informacion
confidencial.

Para aprender mas, visite business.ftc.gov/espanol.

¢ Para detectar donde su compajia almacena los datos delicados, haga un inventario de todas
las computadoras de escritorio (desktop) y portatiles (laptop), aparatos movies, dispositivos
de memoria flash, discos, computadoras en el hogar, copiadoras digitales y demas equipos.
También haga un inventario de la informacion almacenada clasificandola por tipo y locaci6n.
Para realizar el inventario puede comenzar por sus archivos y sistemas de computacion.
Pero recuerde que su negocio recibe informacion personal de varias maneras — a través de
sitios Web, contratistas, centros de llamadas y fuentes similares. ;Qué sucede con la
informacion almacenada en computadoras portatiles, en las computadoras hogarefias de sus
empleados, dispositivos de memoria flash, copiadoras digitales y aparatos moviles? No se
puede dar por terminado el inventario hasta tanto haya verificado cada uno de los lugares
donde se pudiera haber almacenado informaci6n delicada.

¢ Localice la informacion personal registrada en su negocio hablando con el personal de
ventas, tecnologia, recursos humanos, contabilidad y con los proveedores de servicios
externos. De esta manera podra obtener un panorama completo de los siguientes temas:

© Quién envia informacion personal delicada a su negocio. ;La recibe de

parte de sus clientes? ~De compajiias de tarjeta de crédito? ¢De bancos u otras
instituciones financieras? ~De compafias de informes de crédito? ,De solicitantes
de empleo? ¢De otros negocios?

e° Como recibe su negocio la informacion personal. ;Llega a su negocio a

través de un sitio Web? ¢Por e-mail? ¢Por correo postal? ¢Es transmitida a través de
las cajas registradoras de sus tiendas?

http:/Awww.business.ftc.govidocuments/sbus69-como- proteger-Ia-informacion-personal-una-g.ui-para-negocios 216


8/22/2014

Cémo Proteger la Informacion Personal: Una Guia para Negocios | BCP Business Center

sistema de los ataques mas comunes?

Respuesta:

Si. Existen reparaciones simples que pueden ser adoptadas para proteger sus computadoras de

algunas de las vulnerabilidades mas comunes. Por ejemplo, una amenaza llamada “SQL injection
attack” puede darle paso a los defraudadores y permitir que accedan a los datos delicados que estan
guardados en su sistema. Proteja sus sistemas manteniendo los programas actualizados y
realizando revisiones de seguridad periédicas a su red. Para actualizar la informacion sobre las
amenazas mas recientes — y sus respectivas reparaciones — marque como favoritos los sitios Web

de grupos como Open Web Application Security Project, www.owasp.org.o SANS (SysAdmin,
Audit, Network, Security) Institute's Most Critical Internet Security Vulnerabilities,
www.sans.org/top-cyber-security-risks. Ademas, consulte a su proveedor de software acerca de la
disponibilidad de parches de seguridad contra las nuevas vulnerabilidades.

4. ELIMINELO. Deseche correctamente la informacion que ya no necesita.

Lo que a usted le puede parecer simplemente una bolsa de residuos, a un ladrén de identidad puede
resultarle una mina de oro. Depositar los recibos de tarjeta de crédito, o papeles o CD con
informacién de identificacion personal en un canasto de residuos facilita el fraude y expone a los
consumidores al riesgo del robo de identidad. Desechando correctamente la informacién delicada,
usted puede asegurarse de que la informacion no logre ser leida ni reconstruida.

¢ Implemente practicas para desechar la informacién que resulten logicas y apropiadas para
prevenir el acceso o uso de datos de identificacién personal. La racionalidad de las medidas
establecidas para eliminar informacion en su negocio se basa en el nivel de susceptibilidad
de la informacion, los costos y beneficios de los diferentes métodos de eliminacién y los
cambios de la tecnologia.

« Deseche eficazmente los registros impresos pasandolos por la trituradora de papel,
quemandolos o pulverizandolos antes de descartarlos. Coloque trituradoras de papel a
disposicion del personal en todas las secciones de su negocio, incluso al lado de la
fotocopiadora.

« Cuando se deshaga de computadoras y demas dispositivos portatiles de almacenamiento de
datos en desuso, use programas software indicados para borrar datos de manera segura,
comunmente Ilamados programas de borrado (wipe utility programs). Estos programas son de
bajo costo y pueden brindar mejores resultados ya que sobrescriben integramente el disco
duro de manera tal que los archivos quedan irrecuperables. Usualmente, no resulta suficiente
eliminar los archivos utilizando los comandos del teclado o el raton porque es posible que los
archivos continuen guardados en el disco duro de la computadora y por lo tanto podrian ser
recuperados.

« Asegurese de que todos los empleados que trabajan desde sus casas implementen los
mismos procedimientos para desechar la documentacion que contiene informacion delicada
y para deshacerse de las computadoras y dispositivos portatiles de almacenamiento de
datos en desuso.

http:/Awww.business.ftc.govidocuments/sbus69-como- proteger-Ia-informacion-personal-una-g.ui-para-negocios 13/16


8/22/2014 Cémo Proteger la Informacion Personal: Una Guia para Negocios | BCP Business Center

http:/Awww.business.ftc.govidocuments/sbus69-como- proteger-Ia-informacion-personal-una-g.ui-para-negocios 16/16