Legislación

Como en el mundo real, romper la seguridad informática de una empresa para robar sus datos es un delito perseguido por la ley. También el desarrollo de Internet ha impulsado la aparición de leyes completamente nuevas, como la que regula el comercio electrónico.

LOPD 

La Ley Orgánica de Protección de Datos de Carácter Personal (LO 15/1999, de 13 de diciembre) establece las bases para proteger el tratamiento de los datos de carácter personal de las personas físicas. Estos datos pueden estar en cualquier tipo de soporte, digitalizado o no. 

 La ley establece cómo se pueden tomar los datos, qué tipo de almacenamiento protegido necesitan y qué derecho y obligaciones tiene el ciudadano sobre esos datos suyos en manos de terceros.

El Real Decreto 1720/2007, de 21 de diciembre, desarrolla la LOPD para ficheros
(automatizados y no automatizados). Define tres tipos de medidas en función de la
sensibilidad de los datos tratados:


 Niveles de seguridad de LOPD


 Nivel básico:

Cualquier fichero de datos de carácter personal. Las medidas de seguridad con estos datos son:

– Identificar y autenticar a los usuarios que pueden trabajar con esos datos.

– Llevar un registro de incidencias acontecidas en el fichero.

– Realizar copia de seguridad como mínimo semanalmente. 



 Nivel medio:  

Cuando los datos incluyen información sobre infracciones administrativas o penales, informes financieros y de gestión tributaria y datos sobre la personalidad del sujeto. Las medidas de seguridad incluyen las del nivel básico más:

– Al menos una vez cada dos años una auditoría externa verificará los procedimientos de seguridad.

– Debe existir control de acceso físico a los medios de almacenamiento de los datos.



 Nivel alto: 

Son los datos especialmente protegidos: ideología, vida sexual, origen racial, afiliación sindical o política, historial médico, etc. Las medidas de seguridad amplían las de nivel medio:

– Cifrado de las comunicaciones.

– Registro detallado de todas las operaciones sobre el fichero, incluyendo usuario, fecha y hora, tipo de operación y resultado de la autenticación y autorización.