Statistical analysis 42

Objetivo: evitar incumplimientos a las obligaciones legales, estatutarias, normativas o contractuales relacionadas a la seguridad de la información y a cualquier requisito de seguridad.

18.1.1 Identificación de los requisitos de legislación y contractuales correspondientes

Control

Todos los requisitos estatutarios, normativos y contractuales legislativos y el enfoque de la organización para cumplir con estos requisitos de deberían identificar, documentar y mantener al día de manera explícita para cada sistema de información y la organización.

Orientación sobre la implementación

Los controles específicos y las responsabilidades individuales para cumplir con estos requisitos también se deberían definir y documentar.

Los gerentes deberían identificar toda la legislación que se aplica a su organización para poder cumplir con los requisitos para su tipo de negocio. Si la organización realiza negocios en otros países, los gerentes deberían considerar el cumplimiento en todos los países pertinentes.

18.1.2 Derechos de propiedad intelectual

Control

Se deberían implementar procedimientos adecuados para garantizar el cumplimiento con los requisitos legislativos, normativos y contractuales relacionados con los derechos de propiedad intelectual y utilizar productos de software propietario.

Orientación sobre la implementación

Se deberían considerar las siguientes pautas para proteger a cualquier material que se puede considerar como propiedad intelectual:

a) la publicación de una política de cumplimiento de derechos de propiedad intelectual que define el uso legal de software y productos de información;

b) la adquisición de software solo a través de fuentes conocidas y con buena reputación, para garantizar que no se transgreda el derecho de autor;

c) mantener la concientización de las políticas para proteger los derechos de propiedad intelectual dando aviso de la intención de tomar medidas disciplinarias contra el personal que las incumple.

d) mantener registros de activos adecuados y la identificación de todos los activos con los requisitos para proteger los derechos de propiedad intelectual;

e) mantener pruebas y evidencias de la propiedad de las licencias, discos maestros, manuales, etc.;

f) implementar controles para garantizar que cualquier número máximo de usuarios permitidos dentro la licencia no se exceda;

g) realización de revisiones para verificar que solo se instale software y productos licenciados; h) proporcionar una política para mantener las condiciones adecuadas de las licencias; i) proporcionar una política para eliminar o transferir el software a otros;

j) cumplir con los términos y condiciones para el software y la información obtenida de redes públicas; k) no duplicar, convertir a otro formato ni extraer de grabaciones comerciales (película, audio) a no ser que

lo permita la ley de derecho de autor;

l) no copiar libros, artículos, informes u otros documentos en su totalidad o en parte, que no sean los permitidos por la ley de derecho de autor.

Otra información

Los derechos de propiedad intelectual incluyen los derechos de autor del software o documentos, derechos de diseño, marcas registradas, patentes y licencias de código de fuente.

Los productos de software propietario generalmente se suministran bajo un acuerdo de licencia que especifica los términos y condiciones de la licencia, por ejemplo, limitando el uso de productos a máquinas específicas o limitando la copia a la creación de copias de respaldo solamente. La importancia y el conocimiento de los derechos de propiedad intelectual se deberían comunicar al personal para el desarrollo de software de la organización.

Los requisitos legislativos, normativos y contractuales pueden imponer restricciones en la copia de material propietario. En particular, pueden requerir que se utilice solamente material que desarrolla la organización o que tiene licencia, o que proporciona el desarrollador a la organización. Las infracciones al derecho de autor pueden llevar a acciones legales, que pueden involucrar multas y procesos penales.

18.1.3 Protección de registros

Control

Los registros se deberían proteger contra pérdidas, destrucción, falsificación, acceso no autorizado y publicación no autorizada de acuerdo con los requisitos legislativos, normativos, contractuales y comerciales. Orientación sobre la implementación

Al decidir sobre la protección de los registros organizacionales específicos, se debería considerar su clasificación correspondiente en base al esquema de clasificación de la organización. Los registros se deberían categorizar en tipos de registros, es decir, registros de contabilidad, registros de bases de datos, registros de transacciones, registros de auditoría y procedimientos operacionales, cada uno con detalles de los períodos de retención y el tipo de medios de almacenamiento permitidos, es decir, papel, microficha, magnético, óptico. Cualquier clave y programa criptográfico relacionado asociado a los archivos cifrados o firmas digitales (ver cláusula 10), se debería almacenar para permitir la descripción de los registros por el tiempo en que se retengan los registros.

Se debería tener en consideración la posibilidad del deterioro de los medios que se utilizan para el almacenamiento de registros. Se deberían implementar procedimientos de almacenamiento y manipulación de acuerdo con las recomendaciones del fabricante.

Donde se elijan medios de almacenamiento electrónico, se deberían establecer procedimientos para garantizar la capacidad de acceder a los datos (legibilidad de medios y formato) por todo el período de retención para protegerlos contra la pérdida debido a cambios en la futura tecnología.

Se deberían seleccionar sistemas de almacenamiento de datos para que se puedan recuperar los datos en un período de tiempo y formato aceptable, en función de los requisitos que se deberían cumplir.

El sistema de almacenamiento y manipulación debería garantizar la identificación de registros y su período de retención según lo define la legislación y las normativas nacionales y regionales, si corresponde. Este sistema debería permitir la destrucción adecuada de los registros después de ese período si la organización ya no los necesita.

Para cumplir con estos objetivos de resguardo de registros, se deberían realizar los siguientes pasos dentro de una organización:

a) se deberían emitir pautas sobre la retención, el almacenamiento, el manejo y la eliminación de los registros y de la información;

b) se debería establecer un programa de retención que identifique los registros y el período de tiempo en el que se deberían retener;

c) se debería mantener un inventario de las fuentes de información clave. Otra información

Es posible que se deban retener algunos registros de manera segura para cumplir con los requisitos estatutarios o contractuales, así como también para apoyar actividades comerciales esenciales. Algunos ejemplos incluyen registros que pueden ser necesarios como evidencia de que una organización opera dentro de las reglas estatutarias o normativas, para garantizar la defensa contra posibles acciones penales o civiles o para confirmar el estado financiero de una organización a los accionistas, partes externas y auditores. La ley o normativa nacional puede establecer el período de tiempo y el contenido de datos para la retención de la información.

Puede encontrar más información sobre la administración de los registros organizacionales en ISO 15489-1.

18.1.4 Privacidad y protección de información personal identificable

Control

Se debería garantizar la privacidad y la protección de la información personal identificable según se requiere en la legislación y las normativas pertinentes donde corresponda.

Orientación sobre la implementación

Se debería desarrollar e implementar una política de datos de la organización para la privacidad y protección de la información personal identificable. Esta política se debería comunicar a todas las personas involucradas en el procesamiento de información personal identificable.

El cumplimiento con esta política y toda la legislación y normativas pertinentes sobre la protección de la privacidad de las personas y la protección de la información personal identificable requiere la estructura y control de administración adecuada. A menudo esto se logra de mejor manera mediante la asignación de una persona responsable, como un funcionario encargado de la privacidad, quien debería brindar orientación a los gerentes, usuarios y proveedores de servicio sobre sus responsabilidades individuales y procedimientos

específicos que se deberían seguir. La responsabilidad de manejar información personal identificable y de garantizar el conocimiento de los principios de privacidad se debería abordar de acuerdo con la legislación y las normativas pertinentes. Se deberían implementar las medidas técnicas y organizacionales adecuadas para proteger la información personal identificable.

Otra información

ISO/IEC 29100 proporciona un marco de alto nivel para la protección de información personal identificable dentro de los sistemas de tecnología de información y comunicación. Ciertos países han introducido controles de legislación sobre la recopilación, el procesamiento y la transmisión de información personal identificable (generalmente la información que yace en personas que se pueden identificar a partir de esa información). En función de la legislación nacional correspondiente, dichos controles pueden imponer deberes en aquellas personas que recopilan, procesan y diseminan información personal identificable y también pueden restringir la capacidad de transferir información personal identificable a otros países.

18.1.5 Regulación de controles criptográficos

Control

Se deberían utilizar controles criptográficos en cumplimiento con todos los acuerdos, la legislación y las normativas pertinentes.

Orientación sobre la implementación

Se deberían considerar los siguientes elementos para el cumplimiento con los acuerdos, las leyes y normativas pertinentes:

a) restricciones sobre la importación o exportación de hardware y software informático para realizar funciones criptográficas;

b) las restricciones sobre la importación o la exportación sobre el hardware y software informático que está diseñado para tener funciones criptográficas agregadas;

c) restricciones sobre el uso del cifrado;

d) métodos obligatorios o discrecionales de acceso por parte de las autoridades del país a la información cifrada por hardware o software para proporcionar la confidencialidad del contenido.

Se debería buscar asesoría legal para garantizar el cumplimiento con la legislación y las normativas pertinentes. Antes de que se mueva la información cifrada o los controles criptográficos a través de las fronteras jurisdiccionales, también se debería buscar asesoría legal.