¿Qué Es Y Cómo Elaborar Un Documento De Seguridad?

tipo de algoritmo utilizado y la longitud de la llave (oclave).PARA SOPORTES ELECTRÓNICOSA. [Denominación de la Unidadadministrativa A]:A1. [Nombre del sistema A1]:I.Trasmisiones de DatosPersonales.1.3.Trasmisiones de DatosPersonales en soportes electrónicos.Procedimiento de Trasmisión:Tipo de cifrado:Canal de Trasmisión:Mecanismos para detectar intrusiones:Acuse de Recibido:Comunicación con el sistema de protección dedatos del remitente:Deberá precisar si los archivos electrónicosque contienen datos personales son cifradosantes de su envío y proporcionar detallestécnicos del cifrado tales como el tipo dealgoritmo utilizado y la longitud de la llave (oclave).Deberá precisar si utiliza un canal decomunicación dedicado o una red privadavirtual especificando detalles técnicos relativosal cifrado de dicho canal como la longitud dellave (o clave); en su caso, deberá precisar sipara dicho canal utiliza una red pública (comoInternet) especificando el protocolo detransmisiones protegidas utilizado.Deberá manifestar si el remitente y/o eldestinatario cuentan con dispositivos quefaciliten la detección de intrusiones en el canalde comunicaciones.Deberá informar si el destinatario envía acusede recibo al remitente una vez recibidos losdatos personales.Deberá señalar si el remitente registra la o lastransmisiones en su bitácora, así como en elSistema Persona15¿Qué es y cómo elaborar documento de seguridad?: Guía para Sujetos obligados.

II.Resguardo de sistemas de datos personales consoportes físicos *A. [Denominación de la Unidadadministrativa A]:A1. [Nombre del sistema A1]:II.Tipo de Soporte del sistema:Medidas de seguridad implementadas:Personal autorizado para el acceso al sistema:III.Físico.Señalar las medidas de seguridad que haimplementado el sujeto obligado para elresguardo de los soportes físicos del sistemade manera que evite la alteración, pérdida oacceso no autorizado a los mismos.Señalar en un listado las personas que tienenacceso a los soportes físicos del sistema.Bitácoras para accesos y operación cotidianaA. [Denominación de la Unidadadministrativa A]:A1. [Nombre del sistema A1]:III.Bitácoras para accesos yoperación cotidiana.Los datos que se registran en las bitácoras:Datos de acceso:Soporte físico:Soporte Electrónico:Quién accede a los datos personales, fecha yhora en la que se realiza el acceso o se intentael mismo, propósito del acceso, así como fechay hora de salida.Número o clave del expediente utilizado.Operaciones o acciones llevadas a cabo yregistros utilizados de la base de datos.16¿Qué es y cómo elaborar documento de seguridad?: Guía para Sujetos obligados.

IV.Registro de incidentesA. [Denominación de la Unidadadministrativa A]:A1. [Nombre del sistema A1]:IV.Registro de Incidentes.Persona que resolvió el incidente:Metodología aplicada:Soporte físico:Soporte Electrónico:Autorización a la recuperación de datos:V.Quién accede a los datos personales, fecha yhora en la que se realiza el acceso o se intentael mismo, propósito del acceso, así como fechay hora de salida.Los oficios, documentos, expedientes, estanteso archiveros, tanto los dañados como losrecuperados.Los campos, registros, tablas, bases de datoso archivos electrónicos, tanto dañados comorecuperados.Nombre del responsable quien autoriza larecuperación de los datos.Acceso a las instalacionesPARA DESCRIBIR LA SEGURIDAD PERIMETRALA. [Denominación de la Unidadadministrativa A]:A1. [Nombre del sistema A1]:V.Acceso a las instalaciones.Descripción de las medidas generales deseguridad perimetral:Proceso de identificación para el ingreso:Proceso de autentificación para el ingreso:Proceso de autorización para el ingreso:PARA DESCRIBIR LA SEGURIDAD AL INTERIOR¿Qué es y cómo elaborar documento de seguridad?: Guía para Sujetos obligados.17

A. [Denominación de la Unidadadministrativa A]:A1. [Nombre del sistema A1]:V.Acceso a las instalaciones.Descripción de las medidas generales deseguridad al interior:Proceso de identificación para el ingreso:Proceso de autentificación para el ingreso:Proceso de autorización para el ingreso:VI.Actualización del sistema de datos personalesA. [Denominación de la Unidadadministrativa A]:A1. [Nombre del sistema A1]:VI.Mecanismo de actualización delsistema.Descripción del mecanismo:Establecer un mecanismo o procedimientoinstitucional para la actualización de lainformación personal contenido en el sistema,en donde se establezca la frecuencia con la quese efectúa y la forma en que se está solicitandoal titular acreditar de manera idónea susrequerimientos de rectificación de datosinexactos.18¿Qué es y cómo elaborar documento de seguridad?: Guía para Sujetos obligados.

VII. Perfiles de usuario y contraseñasA. [Denominación de la Unidadadministrativa A]:A1. [Nombre del sistema A1]:VII.Perfiles de usuario ycontraseñas.Modelo de control de acceso:¿Es obligatorio (etiquetas para objetos yacreditación para sujetos)? ¿Es discrecional(matriz de control de acceso)? ¿Está basadoen roles (perfiles) o grupos? ¿Está basado enreglas?Perfiles de usuario y contraseñas en elsistema operativo de red:¿Cuenta con un sistema operativo de redinstalado en sus equipos? ¿Proporciona dichosistema operativo un manejo riguroso deperfiles de usuario y contraseñas? ¿Cifra elmencionado software los nombres de usuario ylas contraseñas cuándo los almacena?Perfiles de usuario y contraseñasmanejados por el software aplicativo delsistema de datos personales:¿Ofrece dicho software un manejo riguroso deperfiles de usuario y contraseñas? ¿Cifra elmencionado software los nombres de usuario ylas contraseñas cuando los almacena?Administración de perfiles de usuario ycontraseñas:¿Quién da de alta nuevos perfiles? ¿Quiénautoriza la creación de nuevos perfiles? ¿Selleva registro de la creación de nuevos perfiles?Acceso remoto al sistema de datospersonales:¿Requieren los usuarios acceso remoto alequipo de cómputo que por lo general utilizanpara trabajar con el sistema? ¿Requiere eladministrador acceso remoto al equipo dondereside el sistema para realizar tareas demantenimiento? ¿Cómo se evita el accesoremoto no autorizado?19¿Qué es y cómo elaborar documento de seguridad?: Guía para Sujetos obligados.

VIII. Procedimientos de respaldo y recuperación de datosA. [Denom A. [Denominación de la Unidadadministrativa A]:inación de la Unidad administrativa A]A1. [Nombre del sistema A1]:VIII.Procedimiento de respaldo yrecuperación de los datos.Tipo de respaldo:Tipo de medios:Especificaciones sobre el almacenamiento:Nombre del responsable de las operacionesde respaldo:Señalar si realiza respaldos completos,diferenciales o incrementales.El tipo de medios (por ejemplo: cintasmagnéticas, discos duros, CD-ROM, entreotros) que utiliza para almacenar las copias deseguridad.Cómo y dónde archiva esos medios.Una vez que hemos establecido esto, debemos analizar el estado actual y futuro denuestros sistemas de datos personales. Esto significa realizar un análisis de riesgo yun análisis de brecha.20¿Qué es y cómo elaborar documento de seguridad?: Guía para Sujetos obligados.

¿Qué es y cómo se elabora un análisis de riesgo?Análisis previo que se debe de dar a todo nuevo tratamiento de datos personales con laprincipal finalidad de establecer los controles y medidas de seguridad adecuadas quegaranticen las libertades y los derechos de las personas afectadas.MATRIZ DE ANÁLISIS DE RIESGOS.A. [Denominación de la Unidad administrativa A].IDENTIFICACIÓNA1. [Nombredel sistemaA1]Nombre de labase de datospersonalesmencione elnombre con elcual identificaráesa base.RIESGODescribaclaramenteel o NTRATAMIENTOONIVEL tablezca elEstablezca elvalor de 1 a 4valor de 1 a 4según lasegún laprobabilidad de gravedad delocurrencia delriesgo oriesgo o nteriormente.Multiplique elvalor deprobabilidadpor el valor dela gravedad.1 siendo nada 1 siendo nadaprobable y 4 muy grave y 4 muyprobable.grave.Establezcael mismo deacuerdo a laDescriba elcalificación tratamiento o elobtenidacontrol que se(alto, medio aplicará al o loso bajo), estoriesgos, parade acuerdoque este sea la tabla deprevenga,coloresreduzca oelimine.verde,amarillo yrojo.Valor de Gravedad (1-4)Nivelderiesgo481216ALTO (12-16)36912MEDIO (8-9)2468BAJO (1-6)1234Valor de Probabilidad (1-4)¿Qué es y cómo elaborar documento de seguridad?: Guía para Sujetos obligados.21

¿Qué es y cómo se elabora un análisis de brecha?Análisis de las medidas de seguridad existentes y aquellas faltantes, que resultannecesarias para la protección de los datos personales.Análisis de Brecha.A. [Denominación de la Unidad administrativa A].A1. [Nombre del sistema A1].(Medidas de seguridad existentes VS medidas de seguridad faltantes).Pregunta o Control.¿Existente?SINOObservaciones.Medidas de seguridad basadas en la cultura del personal.¿Pones atención en no dejar a la vistainformación personal y llevas registro desu manejo?Política de escritorio limpio.Hábitos de cierre y resguardo.Impresoras, escáneres, copiadoras ybuzones limpios.¿Tienes mecanismos para eliminar demanera segura la información?Destrucción segura de documentos.Eliminación segura de información enequipo de cómputo y medios dealmacenamiento electrónico.Fijar periodos de retención y destrucciónde información.Tomar precauciones con losprocedimientos de reutilización.Informar al personal sobre sus deberesmínimos de seguridad y protección dedatos.Fomentar la cultura de la seguridad de lainformación.Asegurar la protección de datospersonales en subcontrataciones.22¿Qué es y cómo elaborar documento de seguridad?: Guía para Sujetos obligados.

¿Tienes procedimientos para actuarante vulneraciones a la seguridad de losdatos personales?Tener un procedimiento de notificación.¿Realizas respaldos periódicos de losdatos personales?Medidas de seguridad en el entorno de trabajo físico.¿Tienes medidas de seguridad paraacceder al entorno de trabajo físico?Mantener registros del personal conacceso al entorno de trabajo.¿Tienes medidas de seguridad paraevitar el robo?Cerraduras y candados.Elementos disuasorios.¿Cuidas el movimiento de informaciónen entornos de trabajo físicos?Aprobación de salida de documentos,equipo de cómputo y/o medios dealmacenamiento electrónico.Mantener en movimiento sólo copias dela información, no el elemento original.Usar mensajería certificada.Medidas de seguridad en el entorno de trabajo digital.¿Realizas actualizaciones al equipo decómputo?¿Revisas periódicamente el softwareinstalado en el equipo de cómputo?¿Tienes medidas de seguridad paraacceder al entorno de trabajoelectrónico?Uso de contraseñas y/o cifrado.Bloqueo y cierre de sesiones.Administrar usuarios y accesos.¿Revisas la configuración de seguridaddel equipo de cómputo?¿Tienes medidas de seguridad paranavegar en entornos digitales?¿Qué es y cómo elaborar documento de seguridad?: Guía para Sujetos obligados.23

Reglas de navegación segura.Uso de conexiones seguras.¿Cuidas el movimiento de informaciónen entornos de trabajo digitales?Seguridad de la información enviada yrecibida.Finalmente, se debe establecer un plan de trabajo que incluya: un programa decontingencias, un programa de capacitaciones y un programa de vigilancia y auditorías.¿Cuáles son las partes finales del documento?Programa decontingenciaPrograma decapacitacionesPrograma deauditorías yvigilanciasPrograma de contingencia.24¿Qué es y cómo elaborar documento de seguridad?: Guía para Sujetos obligados.

Programa de contingenciaPrograma de contingencia:Presentar el plan de contingencia con el cualgarantiza la continuidad de la operación delsistema o informar si no lo tiene, pero seencuentra desarrollándolo.Mecanismos para probar su eficacia:Modelos, simulacros, ataques controlados,simulaciones.El tipo de sitio (caliente, tibio o frío); Si el sitioes propio o subcontratado con un tercero.Sitios alternos de resguardo:Procedimiento detallado ante vulneracionesy contingencias:Tiempo de reacción:Programa de capacitación.A. [Denom Programa de CapacitaciónUnidad administrativa A]Programa de capacitación:Periodicidad:Unidades administrativas a las que vadirigido:Anual, Semestral, Trimestral, etc.Temas para abordar y cronograma:Responsable del programa:Medios de verificación del aprendizaje:Programa de auditorías y vigilancias.A. [Denom Programa de Auditoria y vigilanciainación de la Unidad administrativa A]Programa de Auditoría y vigilancia:Periodicidad:Unidades administrativas a las que vadirigido:Anual, Semestral, Trimestral, etc.Responsable de la ejecución:Manejo de la información reportada:PARTES FINALES DEL DOCUMENTO DE SEGURIDAD.¿Qué es y cómo elaborar documento de seguridad?: Guía para Sujetos obligados.25

1. Mecanismos para la supresión de un Sistema de Datos Personales.2. Aprobación del documento por el Comité de Transparencia.3. Anexos técnicos.NOTA: la divulgación o publicación total del documento de seguridad constituye ensí, una vulneración de los sistemas de datos personales contenidos en el mismo, porlo que deben elaborarse versiones públicas que disminuyan el riesgo devulneraciones a los datos personales.26¿Qué es y cómo elaborar documento de seguridad?: Guía para Sujetos obligados.

Glosario de términos y Acrónimos Consentimiento: Manifestación de la voluntad libre, específica e informada deltitular de los datos personales mediante la cual se efectúa el tratamiento de losmismos. Datos personales: Cualquier información concerniente a una persona físicaidentificada o identificable expresada en forma numérica, alfabética, alfanumérica,gráfica, fotográfica, acústica o en cualquier otro formato. Se considera que unapersona es identificable cuando su identidad puede determinarse directa oindirectamente a través de cualquier información, siempre y cuando esto norequiera plazos, medios o actividades desproporcionadas. Datos personales sensibles: Aquellos que se refieran a la esfera más íntima desu titular, o cuya utilización indebida pueda dar origen a discriminación o conlleveun riesgo grave para éste. De manera enunciativa más no limitativa, se consideransensibles los datos personales que puedan revelar aspectos como origen racial oétnico, estado de salud presente o futuro, información genética, creenciasreligiosas, filosóficas y morales, opiniones políticas y preferencia sexual. Derechos ARCO: Los derechos de acceso, rectificación, cancelación y oposiciónal tratamiento de datos personales. IAIP: Instituto de Acceso a la Información y Protección de Datos Personales delEstado de Oaxaca. INAI: Instituto Nacional de Transparencia, Acceso a la Información y Protecciónde Datos Personales. LPDPPSO: Ley de Protección de Datos Personales en Posesión de SujetosObligados del Estado de Oaxaca. Medidas compensatorias: Mecanismos alternos para dar a conocer a los titularesel aviso de privacidad, a través de su difusión por medios masivos decomunicación u otros de amplio alcance. Responsable: Cualquier autoridad, dependencia, entidad, órgano y organismo delos poderes Legislativo, Ejecutivo y Judicial, ayuntamientos, órganos, organismosconstitucionales autónomos, tribunales administrativos, fideicomisos y fondospúblicos y partidos políticos del Estado, que decide y determina los fines, mediosy demás cuestiones relacionadas con determinado tratamiento de datospersonales, es decir, aquellos que tengan carácter de sujeto obligado en términosdel artículo 3 de la LPDPPSO. Titular: La persona física a quien corresponden los datos personales.¿Qué es y cómo elaborar documento de seguridad?: Guía para Sujetos obligados.27

Transferencia: Toda comunicación de datos personales dentro o fueradel territorio mexicano, realizada a persona distinta del titular, delresponsable o del encargado. Tratamiento: Cualquier operación o conjunto de operaciones efectuadasmediante procedimientos manuales o automatizados aplicados a losdatos personales, relacionadas con la obtención, uso, registro,organización, conservación, elaboración, utilización, comunicación,difusión, almacenamiento, posesión, acceso, manejo, aprovechamiento,divulgación, transferencia o disposición de datos personales.

¿Qué es y cómo elaborar documento de seguridad?: Guía para Sujetos obligados. 7 ¿Qué es un Inventario de Datos Personales y de sistemas de tratamiento? Inventario de datos personales: se refiere a qué datos personales se tienen, cuál tipo son (sensibles o no), cuántos sistemas de datos se tienen y en qué