ISO 27018 (Protección de la información de identificación personal en la nube)
La norma ISO 27018 es una variante más limitada y específica de la norma ISO 27001. Mientras que la norma 27001 abarca la gestión de la seguridad de la información en términos generales, la norma 27018 es un código de buenas prácticas destinado específicamente a la protección de la información de identificación personal (PII) que se trata en entornos de nube pública, y se ha elaborado como una extensión del conjunto de controles de la norma 27002. Aborda directamente la siguiente cuestión: cuando un proveedor de servicios en la nube trata los datos de los clientes de otra entidad en su nombre, ¿qué compromisos debe asumir respecto a cómo se gestionan dichos datos, quién puede acceder a ellos y qué ocurre con ellos?
Este enfoque es importante. La norma 27018 es especialmente relevante para las organizaciones que actúan como proveedores de servicios en la nube o como encargados del tratamiento de datos de carácter personal (PII): proveedores de SaaS, plataformas en la nube y cualquier entidad que almacene o trate datos personales en nombre de clientes que, a su vez, sean responsables de dichos datos en virtud del RGPD, la CCPA o leyes similares. Si es usted un cliente que está evaluando a un proveedor de servicios en la nube, la norma 27018 es uno de los aspectos sobre los que merece la pena preguntar si se han adaptado a ella, ya que indica que han reflexionado seriamente sobre el consentimiento, la minimización de datos, la notificación de violaciones de seguridad y el hecho de no utilizar los datos de los clientes para su propia publicidad o marketing sin permiso.
¿A quién va dirigido?
Proveedores de servicios en la nube y SaaS que gestionan datos personales de clientes y desean disponer de una forma creíble y reconocida internacionalmente de demostrarlo a sus clientes empresariales y a sus equipos jurídicos, especialmente cuando venden a sectores regulados o a mercados con una legislación estricta en materia de protección de datos. También resulta relevante si está desarrollando un programa más amplio de privacidad o seguridad y desea que los controles específicos de la norma 27018 sobre información de identificación personal (PII) en la nube se superpongan a una base ISO 27001 ya existente, en lugar de crear prácticas de privacidad en la nube partiendo de cero.
Cómo lo abordaría yo
Yo empezaría por identificar con exactitud qué datos personales circulan por sus sistemas, dónde se almacenan, quién tiene acceso a ellos y con qué fundamento jurídico, ya que la norma 27018 solo tiene sentido una vez que esa información sea precisa. A partir de ahí, se trata de realizar un análisis de deficiencias en relación con los controles específicos de la norma 27018 (gestión del consentimiento, limitación de la finalidad, transparencia de los subencargados del tratamiento, notificación de violaciones, devolución y supresión de datos al término del contrato) y elaborar un plan de corrección que distinga con claridad entre lo que supone una rápida modificación de las políticas y lo que requiere un trabajo técnico real en la forma en que sus sistemas gestionan los datos. Prefiero indicarle que un control aún no se cumple realmente que ayudarle a eludirlo.
Si sus clientes actuales o potenciales le preguntan cómo protege los datos personales de sus usuarios en su entorno en la nube, hablemos de cómo puede ofrecer una respuesta sólida y defendible.