¿Para qué me sirve esta actividad? 📚
Esta actividad te ayudará a establecer el proceso que debe seguir tu empresa para solicitar, autorizar y registrar transferencias de información mediante medios extraíbles, como pendrives, discos duros externos o tarjetas de memoria.
Este documento es importante porque los medios extraíbles pueden aumentar el riesgo de pérdida, robo, malware o acceso no autorizado a la información. Contar con un procedimiento formal permite que su uso sea excepcional, controlado y trazable.
¿Qué tengo que hacer? 🚀
💡Este documento debe reflejar la realidad técnica de tu empresa y los controles que efectivamente puede aplicar.
Al trabajar en el template, te recomendamos primero leerlo en su totalidad para así comprender la información que deberás documentar posteriormente. Y para completarlo de forma adecuada, te recomendamos considerar lo siguiente:
Objetivo y alcance del procedimiento.
Verifica que el objetivo establezca la protección de la privacidad, confidencialidad, integridad y disponibilidad de la información transferida mediante medios extraíbles.
Asegúrate de que el alcance aplique a todos los colaboradores o áreas que soliciten, autoricen o ejecuten este tipo de transferencias.
Formalización de la solicitud.
Define el canal oficial para solicitar la transferencia, como un correo corporativo o sistema de tickets.
La solicitud debe identificar al usuario, la información requerida, su propietario, la justificación, el medio que se utilizará, el destino previsto y si contiene datos personales.
Consulta al Oficial de Protección de Datos y/o al Comité de Privacidad cuando existan dudas sobre el tratamiento de la información antes de realizar cualquier transferencia.
⚖️ Recomendación legal: La transferencia debe limitarse a la información estrictamente necesaria y solicitada. Extraer bases completas de datos por comodidad operativa aumenta el riesgo y puede ser contrario al principio de minimización de datos.
Evaluación y autorización de la solicitud.
El responsable debe revisar la necesidad de la transferencia y verificar primero si existe un canal más seguro, como una plataforma corporativa autorizada o almacenamiento seguro en la nube.
Si la solicitud se aprueba, debe definirse quién habilitará temporalmente los puertos o controles necesarios.
Si se rechaza, se deben comunicar los motivos al solicitante y, cuando corresponda, las correcciones necesarias.
⚖️ Recomendación legal: Si la información será entregada a un proveedor, cliente u otro tercero, revisa previamente si existe un contrato, cláusula de confidencialidad o acuerdo de tratamiento de datos aplicable. No toda entrega de información tiene el mismo tratamiento legal.
Ejecución de la transferencia de forma segura.
Define si la transferencia debe realizarse bajo supervisión del área responsable, Oficial de Protección de Datos Personales o algún otro rol equivalente dentro de tu empresa.
Cuando la información contenga datos personales o información confidencial, el medio extraíble debe contar con medidas de seguridad pertinentes, como cifrado robusto y protección mediante contraseña.
Verifica que el dispositivo sea escaneado con herramientas antimalware antes y después de la transferencia, siempre que sea posible.
Una vez finalizada la operación, los puertos USB deben volver a bloquearse o aplicarse los controles definidos para evitar transferencias no autorizadas.
⚖️ Recomendación legal: El cifrado reduce considerablemente el riesgo ante pérdida o robo del dispositivo, pero no elimina automáticamente la obligación de analizar el evento. Cualquier incidente debe evaluarse conforme al Procedimiento de Gestión de Incidentes y la normativa aplicable.
Comunicación y registro.
El área responsable debe notificar al solicitante cuando la operación haya finalizado. Además, debe registrar la fecha, responsables, medio utilizado, información transferida, si se involucran datos personales y, cuando corresponda, la confirmación de eliminación segura en el destino.
Define el documento, ticket o sistema donde se conservará este registro para mantener trazabilidad.
Completa el versionado del documento.
Al finalizar, completa la tabla de versionado indicando quién elaboró el procedimiento, quién lo aprobó, la fecha de aprobación y la clasificación de la información.
Nuestro template está estructurado para guiarte en el ciclo de solicitud, autorización, transferencia y registro de información mediante medios extraíbles, pero recuerda ajustarlo a las políticas y controles reales de tu empresa.
💡Los pasos a seguir para terminar la actividad dentro de la plataforma son los siguientes:
Una vez que nuestro equipo haya aprobado la actividad, debes subir el documento final en versión PDF (no editable).
Posteriormente, debes subir la evidencia de su aprobación.
Recomendamos que esta evidencia sea a través de una minuta de sesión de comité (en ese caso, debes subir el documento en PDF de la minuta), o con una captura de pantalla de la respuesta explícita de quién o quiénes lo aprobaron.
Esto debe realizarse por algún medio de comunicación interno de la empresa, como Slack, Teams o el correo electrónico organizacional.
O también puedes utilizar la funcionalidad de aprobación que tiene la plataforma Hackmetrix.
Y por último, debes subir la evidencia de su comunicación.
Al igual que la aprobación, la comunicación del documento puede ser por cualquier medio formal interno de la empresa. Y para esto, debes subir una captura de pantalla donde se muestre que el documento fue comunicado a todos los colaboradores interesados.
O también puedes utilizar la funcionalidad de comunicación que tiene la plataforma Hackmetrix.
Recomendaciones ✅
Prohíbe el uso de medios extraíbles personales. Los dispositivos autorizados deberían ser corporativos, estar registrados en el Inventario de Activos y contar con cifrado habilitado.
Configura el bloqueo de puertos USB por defecto y habilítalos temporalmente solo cuando exista una autorización documentada.
Alinea este procedimiento con el Procedimiento de Gestión de Incidentes. La pérdida, robo o uso no autorizado de un medio extraíble debe reportarse inmediatamente.
¡Califica este artículo 👇, esto nos ayudará a mejorar nuestro contenido para ti! También puedes contactarnos por correo electrónico o a través de la plataforma, y te brindaremos la atención que necesites.