Source: http://calidadtic.blogspot.com/2008/09/
Timestamp: 2018-02-25 19:25:24+00:00

Document:
Calidad en las TIC: septiembre 2008
Las "best practices" o buenas prácticas... casi todo el mundo ha oído hablar de ellas, casi todo el mundo conoce, en general, sus principios y sus beneficios. Entonces, ¿Por qué no se utilizan?. ¿Por qué representa una dificultad trabajar con ellas y no se entienden como un beneficio?. Ante estas preguntas, suele ser común argumentar cuestiones relacionadas con costes e inversiones, por no hablar de recursos, sobrecarga de trabajo, etc., aunque desde mi opinión y siendo un tanto generalista, la parte más importante de la dificultad reside en un aspecto conceptual: la preponderancia de un tipo de pensamiento tecnicista. Una forma de pensamiento impermeable muy común y extendida entre muchos de los especialistas del sector, que hace que se perciban como una "Filosofía" en vez de hacerlo como una experiencia práctica que ha demostrado su eficacia y su utilidad en el contexto en el que se ha aplicado. ¡El eterno binomio de la teoría y la práctica!, a pesar de que ambos términos no sean semánticamente opuestos.
No resulta sorprendente que bajo este prisma se perciba negativamente, si se tiene en cuenta que el principio central, o dicho de otro modo, lo que lo hará posible, se fundamenta en un cambio de mentalidad. ¿Filosofía, entonces? En parte y sólo en parte.
Analizando la evolución de género humano, resulta curioso que el mayor logro a nivel de desarrollo (sin tener en cuenta aquí el desarrollo físico) se dé fundamentalmente en el ámbito tecnológico. A lo largo de millones de años de evolución, hemos sido capaces de pasar de la "ingeniería" lítica más arcaica a la ingeniería tecnológica más innovadora. ¿Cuál ha sido el denominador común de semejante logro? Simplificándolo mucho:
a) La predisposición mental que ha permitido ir un paso más allá, no sólo visualizando el resultado, sino que también asumiendo la dificultad e incluso el riesgo implícito. En resumen: el cambio.
b) La sistematización y optimización de procesos productivos mecanizables basados en los principios de la mejora continua (Plan - Do - Check - Act).
Vemos pues que ambos conceptos son complementarios y forman parte de un todo. Ahora bien, el segundo sólo será posible si el primero ha tenido lugar, estamos entonces ante una decisión trascendente:
Etiquetas: Best Practices, Metodología
¿Se está haciendo correctamente el documento de seguridad de la LOPD?
El Real Decreto 1720/2007 en su artículo 88 establece lo siguiente:
"3. El documento deberá contener, como mínimo, los siguientes aspectos:
e) Procedimientos de notificación, gestión y respuesta ante las incidencias.
g) Las medidas que sea necesario adoptar para el transporte de soportes y documentos, así como para la destrucción de los documentos y soportes, o en su caso, la reutilización de los mismos".
La propia Agencia de Protección de Datos dentro de su Guía de Seguridad publicada en abril de este año, incluye una guia modelo del documento de seguridad. A modo de ejemplo, dentro del apartado de gestión de soportes y documentos, podemos encontrar, entre otras, las siguientes recomendaciones:
"Los soportes que vayan a ser desechados, deberán ser previamente (detallar procedimiento a realizar para su destrucción o borrado) de forma que no sea posible el acceso a la información contenida en ellos o su recuperación posterior.
En el traslado de la documentación se adoptarán (indicar medidas y procedimientos previstos) las para evitar la sustracción, pérdida o acceso indebido a la información".
Tras lo expuesto queda claro que, en el documento de seguridad, es necesario detallar los procedimientos y medidas técnicas exigidas por el Real Decreto. Sin embargo, la práctica nos lleva a encontrar documentos de seguridad que son una mera copia del Real Decreto. Por ejemplo, cuando el Real Decreto determina en su artículo 94, punto 4 que:
"Siempre que vaya a desecharse cualquier documento o soporte que contenga datos de carácter personal deberá procederse a su destrucción o borrado, mediante la adopción de medidas dirigidas a evitar el acceso a la información contenida en el mismo o su recuperación posterior".
En el documento de seguridad aparece un texto similar al siguiente:
"Los soportes que tengan que ser desechados, se destruirán siguiendo un mecanismo que no permita recuperar la información contenida en los mismos"
Es decir, simplemente se copia el artículo de la ley sin detallar ni procedimientos (responsabilidades) ni medidas. El resultado ya es conocido por todos: currículums con anotaciones subjetivas sobre el comportamiento de los candidatos en papeleras, historias clínicas en contenedores públicos, etc.
¿Cuál es la razón?. Probablemente, porque se ve la LOPD como un trámite burocrático impuesto que viene a complicar la ya difícil realidad diaria de las empresas. Sin obviar que el Real Decreto es criticable en muchos de sus aspectos, creo que es conveniente tener en cuenta que:
1. La LOPD es como una moneda, tiene dos caras: como empresa nos parece un lastre burocrático más pero, como personas, constituye un garante de nuestros derechos individuales. Con esta perspectiva, como responsables del cumplimiento de la ley, debemos poner empeño en tratar los datos de los demás como nos gustaría que trataran los nuestros. Es decir, podemos intentar aplicar lo que podemos llamar la "regla de oro del tratamiento de datos de carácter personal".
2. Además, es muy interesante hacer una aproximación a la LOPD como algo más que el mero cumplimiento de una obligación legal. Podemos ver la LOPD com el principio, o la parte, de un SGSI o Sistema de Gestión de Seguridad de la Información. SGSI que puede estar basado en la norma ISO27000. Con esta perspectiva, vemos que prácticamente todas las medidas de seguridad exigidas por el Real Decreto tienen su equivalente en controles definidos en la norma. Por tanto, implantando las medidas de seguridad técnicas del Real Decreto, estamos construyendo el SGSI de nuestra organización.
Hola, os damos la bienvenida a este blog con el deseo de compartir con vosotros nuestro conocimiento y nuestras experiencias en el mundo de las TIC.
Publicado por David Ortega Enlaces a esta entrada

References: Real Decreto 
 artículo 88
 Real Decreto 
 artículo 94
 Real Decreto 
 Real Decreto