Implantar la gestión de seguridad de datos conforme a VGYS e ISO 27001
Un sistema de gestión de la seguridad de los datos (VGYS) protege los activos de información de una organización, asegura los accesos y normaliza el tratamiento de datos personales. Basado en…
¿Qué contiene este artículo?
Seguridad de datos & Normas ISO; 2025
Implantar la gestión de seguridad de datos conforme a VGYS e ISO 27001
Un sistema de gestión de la seguridad de los datos (VGYS) protege los activos de información de una organización, asegura los accesos y normaliza el tratamiento de datos personales. Basado en ISO 27001 e ISO 27701, combina medidas técnicas con un enfoque de gestión.
Resumen: Un VGYS sólido abarca la infraestructura de TI, los procesos, las personas y el derecho.1. Fundamentos del VGYS: ISO 27001 e ISO 27701
Estas dos normas crean marcos aceptados internacionalmente para la seguridad de la información y la gestión de la privacidad:
| Norma | Enfoque | Ámbito de aplicación |
|---|---|---|
| ISO 27001 | Gestión de la seguridad de la información | Sistema, acceso, cifrado, registro |
| ISO 27701 | Gestión de la privacidad y los datos personales | KVKK, RGPD y procesos de protección de datos |
"ISO 27001 construye la seguridad, ISO 27701 gestiona la privacidad".
2. Implantar el VGYS paso a paso
- Crear un inventario de activos: Enumere todos los activos de información digitales y físicos, como servidores, servicios en la nube y contratos.
- Evaluación de riesgos: Analice los riesgos de confidencialidad, integridad y disponibilidad de cada activo.
- Políticas y procedimientos: Prepare políticas de contraseñas, protocolos de intercambio de datos y documentos de autorización de acceso.
- Control de acceso: Implante un control de acceso basado en roles (RBAC). Cada usuario debe acceder solo a los recursos autorizados.
- Registro y supervisión: Registre a diario los accesos a sistemas, las transferencias de datos y las acciones de los administradores.
- Ciclo de pruebas de penetración: Realice pruebas de penetración al menos dos veces al año y documente los resultados.
- Gestión de violaciones de datos: Prepare un procedimiento de notificación de violaciones de datos basado en la regla de las 72 horas.
- Seguridad física: Controle el acceso a salas de servidores, archivos y dispositivos.
- Formación: Todo el personal debe recibir formación de sensibilización sobre seguridad de la información al menos una vez al año.
- Auditoría: Asegure la mejora continua mediante auditorías internas y revisiones por la dirección.
3. Crear un comité interno de protección de datos
Para dar continuidad a la seguridad de los datos de la organización, debe crearse un comité de protección de datos (Data Protection Board). Su objetivo es tomar decisiones de seguridad a nivel directivo y garantizar una supervisión periódica.
- Presidencia: Responsable de seguridad de la información (CISO o dirección de TI)
- Miembros: Representantes de las áreas jurídica, RR. HH., operaciones y marketing, y del responsable del tratamiento
- Tareas:
- Definir la estrategia anual de seguridad.
- Examinar los informes de análisis de riesgos.
- Auditar los registros de violaciones de datos y los logs.
- Aprobar los resultados de las auditorías internas y externas.
- Evaluar el impacto de las nuevas tecnologías en la seguridad.
«La seguridad de los datos no es solo una cuestión de TI; es una responsabilidad de la dirección».
4. Recomendación de B10 Digital Agency: enfoque VGYS integrado
B10 adopta un enfoque de tres capas para configurar un VGYS adaptado a cada organización:
- Capa técnica: Infraestructura ISO 27001 + pruebas de penetración + sistemas de supervisión de registros
- Capa de gestión: Políticas de protección de datos, definiciones de funciones y circuitos de aprobación
- Capa de cumplimiento: Integración de la KVKK y el RGPD, registros de transferencias y DPA
¿Estás listo para instalar VGYS?
B10 Digital Agency ofrece configuración del VGYS, gestión de registros, políticas de acceso y consultoría de pruebas de penetración conforme a ISO 27001 e ISO 27701.
Fuentes y documentos relacionados
Estos documentos sirven de referencia para los métodos y las reglas tratados en este artículo.