¿En qué consiste la norma ISO/IEC 27001?
Fiabilis Consulting Group está comprometido con un proceso de protección de datos. La certificación ISO 27001 confirma nuestra capacidad para proteger todo dato e información esenciales para nuestros análisis.
Ofrecemos a nuestros clientes, socios y profesionales una seguridad completa de sus datos mediante la implantación, la actualización y el mantenimiento de un sistema integrado de gestión global de la seguridad de la información (SGSI).
La certificación acredita la aptitud de Fiabilis para evaluar su capacidad de responder a todas las categorías de riesgo presentes, ya provengan de las infraestructuras, de las personas o de los procesos.
La norma ISO 27701, complemento de la norma ISO/IEC 27001
Como complemento de la norma ISO 27001, Fiabilis obtuvo la certificación ISO 27701 en 2022. Esta norma internacional de certificación amplía el ámbito de aplicación de la 27001 a la gobernanza y a las medidas de seguridad que deben implantarse para proteger los datos personales. Tiene en cuenta los principales textos aplicables en materia de protección de datos personales y, en particular, el RGPD.
Esta norma nos permite demostrar, conforme al principio de responsabilidad proactiva, que nuestras prácticas internas de tratamiento de datos personales están alineadas con los principios básicos establecidos por el RGPD (licitud, lealtad y transparencia; limitación de la finalidad; minimización; exactitud; limitación del plazo de conservación; integridad y confidencialidad).
Control externo y renovación de las certificaciones ISO
Un resumen de las iniciativas adoptadas para proteger sus datos
- Firma de una Carta de TI y de un compromiso de confidencialidad
- Formaciones, sensibilización y evaluaciones periódicas de los conocimientos en materia de seguridad de la información
- Supervisión directa de las visitas por un miembro de Fiabilis durante toda la duración de la visita
- Controles y acceso restringido a las instalaciones
- Gestión automatizada y descentralizada del inventario de activos
- Política de gestión, seguimiento y retirada de los activos confiados a lo largo de toda su vida útil
- Política de seguridad de los dispositivos (bloqueo automático, complejidad y rotación de contraseñas, protección en tiempo real frente a programas maliciosos, cortafuegos, cifrado de discos, restricción de la instalación de software, actualizaciones automáticas, etc.)
- Política centralizada de gestión de los derechos de acceso y revisiones periódicas independientes
- Política de gestión de proveedores de servicios o de suministro, compromiso de confidencialidad obligatorio y auditoría anual de su seguridad
- Política de control de los desarrollos, auditoría de código y pruebas de vulnerabilidad
- Todos nuestros activos entran en la gestión de nuestro SGSI certificado ISO 27001
- Designación, en cada país, de un especialista en protección de datos personales para controlar la conformidad de nuestras actividades con el RGPD y las demás normas en materia de protección de la vida privada, y emitir dictámenes específicos (DPO o Privacy Champion)
- Alojamiento de todos los datos de clientes e internos en nuestra propia infraestructura interna
- Política estricta de intercambio o de compartición de archivos en nuestras propias herramientas alojadas internamente
- Seudonimización de los datos desde su descarga del sitio de la Seguridad Social
- Ninguna transferencia de datos sensibles a ningún encargado del tratamiento
- Autenticación obligatoria de los usuarios mediante usuario y contraseña, con doble factor (MFA) obligatorio para los accesos remotos (VPN)
- Archivado centralizado de los registros de acceso a los datos
- Ciclo de vida estricto de los datos en aplicación de la normativa vigente (RGPD) y de las recomendaciones locales (las normas ISO 27001 e ISO 27701)
- Política de copias de seguridad que define claramente el cifrado y el lugar de almacenamiento de los datos internamente (en nuestras instalaciones) y en un emplazamiento externo seguro.
- Toda la infraestructura está alojada localmente en nuestras propias oficinas físicas
- Fiabilis dispone de distintas redes internas que permiten una gestión detallada de los accesos y una separación de los entornos
- El acceso a los datos, reservado al personal de Fiabilis, solo es posible mediante conexión física local o a través de la VPN protegida por doble autenticación (MFA)
- Cada año, conforme a nuestra certificación ISO 27001, el organismo independiente Aenor audita, controla y certifica nuestro SGSI, además de controlar nuestro SGPI en virtud de la ISO 27701.
- Un plan de auditoría interna garantiza la coherencia del PDCA (Plan, Do, Check, Act), indispensable en el conjunto de nuestros procesos
- Cada año se realizan 3 pruebas de penetración internas por parte de los equipos de TI internos. Se completan con 1 prueba de penetración y escaneo de vulnerabilidades externo e independiente.
Conformidad con la protección de datos – Preguntas frecuentes
1) ¿Cuál es el papel de Fiabilis en el tratamiento de los datos de los clientes?
Fiabilis trata en principio los datos personales de sus clientes en calidad de encargado del tratamiento. Antes de iniciar un análisis, firmamos con cada cliente un acuerdo apropiado sobre el tratamiento de los datos personales (Data Processing Agreement o DPA). Este acuerdo define con precisión los principios conforme a los cuales se llevará a cabo el tratamiento, así como nuestras obligaciones durante ese proceso, conforme al artículo 28 del RGPD.
2) ¿Cómo se transfieren los datos a Fiabilis?
Hemos creado una plataforma de intercambio de datos segura e individual para cada cliente, a través de la cual el cliente puede enviar sus datos directamente a nuestro servidor. El cliente también puede optar por una transferencia de datos según sus propios requisitos, por ejemplo mediante una infraestructura interna específica facilitada por él.
3) ¿Dónde y durante cuánto tiempo se almacenan los datos?
Sus datos se almacenan y se tratan exclusivamente en nuestros servidores seguros en Europa. Conforme a los términos del DPA, se conservan durante el plazo acordado y después se suprimen de forma definitiva.