A lo largo de nuestro viaje hemos aprendido mucho sobre el alcance, ámbito y ubicación de nuestros datos, la forma de gestionarlos y comprobar y validar su protección y seguridad. Sin embargo, completar todas estas tareas no asegura por sí solo el cumplimiento con la normativa.
Estas tareas cubren los tres primeros principios de las 5 lecciones que hemos aprendido.
- Conocimiento de sus datos
- Gestión de los datos
- Protección de los datos
- Documentación y cumplimiento
- Mejora continua
Este viaje nos lleva a los dos principios finales: Documentación y cumplimiento, así como la Mejora continua.
Las lecciones 4 y 5 pueden reunirse en una sola. Todo lo que haga hoy en materia de documentación, y esté automatizado, puede usarse también para la mejora continua.
Primero, es importante documentar cada uno de los procesos que tengan lugar dentro de su entorno. Los datos en sí mismos podrían estar clasificados y protegidos, pero ¿qué ocurre con la infraestructura o servicios subyacentes? ¿Qué ocurre si se mueven los datos de una ubicación a otra? Si un empleado se traslada de una división a otra, ¿recibirá los permisos adecuados para su nueva responsabilidad y serán rechazados sus permisos antiguos? ¿La información que está recopilando (qué era relevante hace 6 meses) sigue siendo relevante a día de hoy? (Ejecute estos análisis desde la lección 1 de forma regular nuevamente) ¿Cambió su proveedor la forma en la que gestiona sus datos porque cambiaron las necesidades? ¿Están protegidos los datos de sus cargas de trabajo más nuevas según el diseño? ¿Se cifran los datos en tránsito donde es necesario? Estos son tan solo algunas de las cuestiones que necesita preguntar constantemente.
La documentación no solo ayuda en el caso de realizarse una auditoría, sino también para el Responsable de la Protección de Datos (o cualquier otro que actúe como tal, dependiendo del tamaño de su organización. El Responsable de la protección de datos podrá utilizar esa documentación para revidar los flujos de trabajo, cambiar el acceso a determinados datos y asegurarse de que la compañía mantiene su cumplimiento con la legislación vigente.
Muchas de estas preguntas requerirán la realización de cierto esfuerzo y encuestas manuales para completarse, pero otras pueden automatizarse a través de los dashboards y la generación de informes. Ya hemos comentado que una solución tecnológica no será capaz de dar respuesta a todos sus requisitos, así que el responsable de la protección de datos necesitará recibir los informes y contar con dashboards de diferentes fuentes. Esta información podrá provenir de distintos orígenes: Los datos reales en sí mismos, la infraestructura para la entrega de información, el perfil de protección de datos y seguridad (revisión de accesos, violaciones potenciales…), encuestas manuales y mucho más.
GDPR requiere de un trabajo de constante supervisión, auditoría, revisión y mejora.
Conclusión
El camino hacia el cumplimiento de RGPD no finaliza el 25 de mayo de 2018. Esto es tan solo el principio Cumplir con la normativa y mantener el cumplimiento requiere de un continuo trabajo de supervisión, auditoría, revisión y mejora. A día de hoy no existe una única solución técnica para documentar y supervisar su infraestructura. Los informes y dashboards pueden provenir de una amplia variedad de fuentes dentro de su organización. Parte del trabajo a realizar será manual, mientras que otro podrá realizarse con las distintas soluciones técnicas que tenga instaladas. Asegúrese de investigar qué datos puede proporcionar cada solución para que el responsable de protección de datos pueda supervisarlos y corregirlos si es necesario.
El recorrido de Veeam hacia el cumplimiento de RGPD ha sido un ejercicio muy útil y enriquecedor. Estamos encantados de poder compartir estos conocimientos para ayudar a sus clientes y a la vez garantizar la confianza que necesitan los usuarios en su vida digital.