Protección de datos e ISO 27001

Two colleagues sketching an idea on a whiteboard in the office

Protección de datos

¿En qué consiste la norma ISO/IEC 27001?

Fiabilis Consulting Group está comprometido con un proceso de protección de datos. La certificación ISO 27001 confirma nuestra capacidad para proteger toda la información y los datos esenciales para nuestros análisis.

Brindamos a nuestros clientes, socios y colaboradores una seguridad completa de sus datos mediante la implementación, actualización y mantenimiento de un Sistema de Gestión de Seguridad de la Información (SGSI) integrado y global.

Esta certificación demuestra la capacidad de Fiabilis para evaluar su aptitud en la gestión de todos los tipos de riesgos existentes, ya sean derivados de infraestructuras, personas o procesos.

ISO 27701

La norma ISO 27701, un complemento a la norma ISO/IEC 27001

Como complemento a la norma ISO 27001, Fiabilis obtuvo la certificación ISO 27701 en 2022. Esta norma internacional de certificación amplía el alcance de la ISO 27001 a la gobernanza y medidas de seguridad necesarias para proteger los datos personales. Tiene en cuenta las principales regulaciones aplicables en materia de protección de datos personales, en particular el RGPD.

Esta norma nos permite demostrar, en cumplimiento del principio de responsabilidad, que nuestras prácticas internas de tratamiento de datos personales están alineadas con los principios fundamentales del RGPD (licitud, lealtad, transparencia; limitación de la finalidad; minimización; exactitud; limitación del almacenamiento; integridad y confidencialidad).

Certificación

Control externo y renovación de las certificaciones ISO

Aenor realiza auditorías anuales exhaustivas cada año. Cada tres años, las certificaciones son revisadas y renovadas tras un estricto control de conformidad.

Nuestras iniciativas

Iniciativas tomadas para proteger sus datos

Recursos Humanos

Verificación de referencias y antecedentes penales del candidato.
Firma de la Carta de TI, así como un acuerdo de confidencialidad.
Capacitación, concienciación y evaluaciones periódicas del conocimiento sobre seguridad de la información.
Seguimiento de una matriz RACI (Responsable, Consultor, Consultado, Informado) según los proyectos, competencias y organigrama de la empresa.

Seguridad física

Supervisión directa de los visitantes por un miembro de Fiabilis durante toda la duración de la visita.
Controles y acceso limitado a las instalaciones.

Gestión de activos

Gestión automatizada y descentralizada del inventario de activos.
Política de gestión, seguimiento y eliminación de los activos asignados durante todo su ciclo de vida.
Política de seguridad para dispositivos (bloqueo automático, complejidad y rotación de contraseñas, protección en tiempo real contra malware, firewall, cifrado de discos, restricción en la instalación de software, actualizaciones automáticas).
Política centralizada de gestión de derechos de acceso con revisiones periódicas independientes.
Política de gestión de proveedores de servicios o suministros, con compromiso obligatorio de confidencialidad y auditoría anual de seguridad.
Política de control de desarrollos, incluyendo auditoría de código y pruebas de vulnerabilidad.
Todos nuestros activos están gestionados dentro de nuestro SGSI certificado según la norma ISO 27001.

Datos

Designación, en cada país, de un especialista en protección de datos personales para controlar la conformidad de nuestras actividades con el RGPD y otras normativas sobre privacidad, así como para proporcionar asesoramiento específico (DPO o Privacy Champion).
Alojamiento de todos los datos de clientes e internos en nuestra propia infraestructura interna.
Política estricta de intercambio o compartición de archivos, utilizando exclusivamente nuestras herramientas internas alojadas en nuestra infraestructura.
Seudonimización de los datos desde su descarga en el sitio de la Seguridad Social.
Ninguna transferencia de datos sensibles a subcontratistas.
Autenticación obligatoria de los usuarios mediante login y contraseña, con doble autenticación (MFA) obligatoria para accesos remotos (VPN).
Archivado centralizado de los registros de acceso a los datos.
Ciclo de vida estricto de los datos, en conformidad con las regulaciones vigentes (RGPD), recomendaciones locales y normas ISO 27001 e ISO 27701.
Política de respaldo (backup) que define claramente el cifrado y el lugar de almacenamiento de los datos, tanto en nuestras instalaciones internas como en un sitio seguro externo.

Alojamiento y redes

Toda la infraestructura está alojada localmente en nuestras propias oficinas físicas.
Fiabilis cuenta con diferentes redes internas que permiten una fina gestión de acceso y separación de ambientes.
El acceso a los datos, reservado para el personal de Fiabilis, solo es posible a través de una conexión física local o a través de la VPN protegida por doble autenticación (MFA).

Auditoría de seguridad

Cada año, de acuerdo con nuestra certificación ISO 27001, el organismo independiente AENOR audita, controla y certifica nuestro SGSI (Sistema de Gestión de Seguridad de la Información), además del control de nuestro SGPI (Sistema de Gestión de la Privacidad de la Información) en virtud de la ISO 27701.
Un plan de auditoría interna garantiza la coherencia del ciclo PDCA (Plan, Do, Check, Act), esencial para todos nuestros procesos.
Cada año se realizan tres pruebas de penetración internas llevadas a cabo por nuestros equipos de TI. Estas se complementan con una prueba de penetración externa y un escaneo de vulnerabilidades, ambos realizados de manera externa e independiente.

Preguntas frecuentes

Conformidad con la protección de datos

Fiabilis procesa los datos personales de sus clientes en calidad de encargado del tratamiento. Antes de iniciar un análisis, firmamos con cada cliente un acuerdo adecuado sobre el tratamiento de datos personales (Data Processing Agreement o DPA). Este acuerdo define con precisión los principios bajo los cuales se llevará a cabo el tratamiento de los datos, así como nuestras obligaciones en este proceso, de conformidad con el artículo 28 del RGPD.

Hemos creado una plataforma de intercambio de datos segura e individual para cada cliente, a través de la cual puede enviar sus datos directamente a nuestro servidor. El cliente también puede optar por una transferencia de datos según sus propias necesidades, por ejemplo, a través de una infraestructura interna dedicada y proporcionada por él mismo.

Sus datos se almacenan y procesan exclusivamente en nuestros servidores seguros en Europa. De acuerdo con los términos del DPA, se conservan durante el período acordado y, posteriormente, se eliminan de forma definitiva.

Contacte con nuestro DPO