GDPR: What’s going on?

AGENDA 9.20-9.30h Bienvenida

Ramon Planas, Director General de Necsia

9.30 – 10.00h GPDR 360º

Maria Eugenia Sánchez Millán CISA Lead Auditor & GDPR Compliance consultors en Necsia Rafael Navarro Sánchez CISA Lead Auditor & GDPR Compliance consultors en Necsia

10.00-10.30h

Aproximación legal a la GDPR

10.30-11.00h

Descubrir: GDPR Inventory – ¿Conoces dónde se pierden los datos? Carlos de la Insua Softcare Managing Director

11.30h

Xavier Ribas Abogado Compliance

COFFEE BREAK

AGENDA 12.00h-12.30h

Microsoft Secure (GDPR Approach) Miguel Ángel Cervera, Security & Compliance Business Development (Microsoft) Maureen Manubens, Channel Marketing Manager (Microsoft)

12.30-13.30h Observe IT: Detección real del tiempo y análisis de actividades riesgosas de usuario para predecir y prevenir infracciones

Amir Yampel, Business Development – Identify and eliminate user based risks &GDPR en Observe IT

Observe IT demo (Data Loss Prevention & Comply with Rapid 72-Hour Post-Incident Forensics). Amir Yampel, Business Development – Identify and eliminate user based risks &GDPR en Observe IT

13.30h

COCKTAIL NETWORKING – SORTEO DRON

GDPR: What’s going on? Bienvenida Ramon Planas Director General de Necsia

www.necsia.es

Nuestra compañía QUIÉNES SOMOS

100%

CAPITAL ESPAÑOL Crecimiento sostenido del 20% durante los últimos cuatro años.

2005

FUNDADA EN 2005 Más de 10 años de solvencia contrastada en el sector IT español. Presencia en cuentas IBEX-35

300

PROFESIONALES Profesionales contrastados con certificaciones. Personas comprometidas con los valores de Necsia

D Ó N D E E S TA M O S

SOCIOS

BARCELONA MADRID SANTIAGO DE CHILE LIMA CIUDAD DE MÉXICO CIUDAD DE PANAMÁ

PEDRO FONTANA

I N N O VA C I Ó N

MIGUEL PLANAS

Presidente

Vicepresidente ejecutivo RAMON PLANAS Director General 3

Nuestros clientes BANCA y SEGUROS

UTILITIES y AAPP

INDUSTRIA y SERVICIOS

I NNOVACIÓN

ES P EC I A L I ZAC I Ó N

F L EX IBIL IDAD Trabajamos con Necsia, entre todos los motivos, por su flexibilidad.

Necsia es el tipo de compañía que sabe entender las oportunidades que la tecnología aporta en cada momento.

- Grupo Agbar -

- Banco Sabadell -

El equipo de Necsia está formado por personas de confianza y honestidad que transmiten todo su conocimiento y calidad de servicios en cada uno de nuestros proyectos. - CaixaBank -

Necsia demuestra siempre e implicación y profesionalidad, aportando su experiencia y conocimiento en los proyectos de la Oficina Técnica de Seguridad.

Es una empresa próxima y capaz de entender todos nuestros problemas. - CIRSA -

- Vueling -

6

Nuestros servicios

FLEXIBILIDAD | INNOVACIÓN | ESPECIALIZACIÓN 7

Necsia Cybersecurity Center Auditoría PLANOS DE CONCIENCIACIÓN CURSOS ON-LINE (E-LEARNING)

CURSOS PRESENCIALES APP DE CONCIENCIACIÓN

OTS EXPERTOS EN CIBERSEGURIDAD

SEGURIDAD LÓGICA

Necsia Academy

Compliance

(ISO27001, NIST, ENS)

AUDITORIAS (ISO27001, GDPR, PCI-DSS) GESTIÓN DE RIESGOS Y DE TERCEROS

Security Infraestructure

Servicios Especializados

IDENTIDAD APLICACIONES Y DATOS DISPOSITIVOS INFRAESTRUCTURA

HACKING ÉTICO INFRAESTRUCTURA WEB, APPs e IoT

Managed Detection & Response

Microsoft Secure Platform

ProSOC

MSSP

SIEM APT RED APT ENDPOINT NG HONEYPOT NG FIREWALL NAC MDM

SOC-AS-A-SERVICE ACTIVE DEFENSE THREAT INTELLIGENCE SIEM-AS-A-SERVICE

DEVICE MANAGEMENT SECURITY TECHNICAL SUPPORT VULNERABILITY ASSESMENT

8 9

GDPR: What’s going on? GDPR 360º Maria Eugenia Sánchez Millán | [email protected] CISA Lead Auditor & GDPR Compliance consultors en Necsia Rafael Navarro Sánchez | [email protected] CISA Lead Auditor & GDPR Compliance consultors en Necsia

www.necsia.es

¿Cómo afrontar la GDPR? ASESORAR

REPORTAR

DESCUBRIR

GDPR 360º

PROTEGER

GESTIONAR

GDPR Product Mapping

Antecedentes: Adaptarse al desarrollo tecnológico El nuevo Reglamento viene motivado por la necesidad de renovar una ley obsoleta fruto de una joven UE. El desarrollo tecnológico y evolución de Internet han ocasionado que nos encontremos ante cierta desprotección sobre:

DATOS PERSONALES DE NAVEGACIÓN

DESARROLLO CLOUD

REDES SOCIALES

Normativas aún vigentes: DISPOSITIVOS MÓVILES Y GEOLOCALIZACIÓN

BIG DATA

EVOLUCIÓN DEL E-COMMERCE

‒ Directiva 95/46/CE de octubre de 1995 ‒ En España: Ley Orgánica 15/1999 de Protección de Datos de Carácter Personal.

LOPD Vs GDPR

Categorías modificadas Los datos especialmente protegidos por la ley son:

Los datos personales son aquellos que contienen información que permite identificar a una persona inequívocamente.

Afecta a todas las empresas del mundo que procesen datos de residentes de la UE.

Tratamientos En la nueva normativa sólo se habla del concepto tratamiento

(incluido en el fichero como un tratamiento más). Además, se cuenta con una mayor flexibilidad dado que hay que tener los tratamientos a disposición de la Autoridad de Control en lugar de notificar a la Agencia Española.

LOPD Vs GDPR: Sanciones por incumplimiento

Simulación por incumplimiento Simulación empresas IBEX 35

*Valores expresados en millones de euros

¿Y el riesgo reputacional?

VS

Entrada en vigor El Reglamento será aplicable a partir del 25 de mayo de 2018. El Reglamento fue publicado en el Diario Oficial de la Unión Europea el 4 de mayo, y tras los 20 días de su publicación, entró en vigor el día 25 de mayo de 2016.

Obligaciones Los Responsables deben aplicar medidas técnicas, legales y organizativas apropiadas a fin de garantizar el tratamiento conforme el GDPR.

CÓDIGO DE CONDUCTA Y CERTIFICACIONES •

La adhesión al código de conducta

•

Mecanismo de certificación, sellos y marcas de protección de datos

PROTECCIÓN DE DATOS DESDE EL DISEÑO Y POR DEFECTO •

Esta medida debe aplicarse antes, durante y hasta el fin del tratamiento

ELECCIÓN DEL ENCARGADO •

Este debe ofrecer garantías suficientes para aplicar las mismas medidas técnicas, legales y organizativas del Responsable

REGISTRO DE ACTIVIDADES DE TRATAMIENTO A disposición de la Autoridad de Control. Aplica a entidades a partir de 250 empleados o cuando: - Tratamiento sea continuado - Entraña riesgo a las libertades - Categorías especiales - Condena e infracciones penales

EVALUACIÓN DEL NIVEL DE SEGURIDAD

NOTIFICACIÓN A LA AUTORIDAD DE CONTROL

Derechos de los interesados

RENOVACIÓN DEL CONSENTIMIENTO EXPLÍCITO RECLAMACIÓN A LA AUTORIDAD DE CONTROL

Plazo para atender los derechos: ‒

Un mes a partir de la recepción de la solicitud.

‒

Prorrogable otros dos meses en caso necesario según la complejidad y el número de solicitudes.

‒

En caso de no atender la solicitud, el interesado podrá presentar una reclamación a la autoridad de control y ejercitar acciones judiciales.

Figuras claves en GDPR

ENCARGADO DEL TRATAMIENTO

RESPONSABLE DEL TRATAMIENTO •

Establece los plazos de supresión y revisión de los datos.

•

Debe demostrar que el interesado ha dado su consentimiento para la operación del tratamiento.

•

Aplica medidas técnicas, legales y organizativas apropiadas a fin de garantizar y poder demostrar que el tratamiento es conforme.

•

Asiste al Responsable de Tratamiento

•

Informa de cualquier cambio o sustitución de los responsables (terceros).

•

Trata los datos en base a las instrucciones del Responsable

•

Pone a disposición del Responsable el Cumplimiento de las obligaciones establecidas.

DATA PROTECTION OFFICER (DPO) Junto con CIO y CISO, el DPO es la figura que vela por el cumplimiento correcto de las leyes de la misma forma que tiene la misión principal de adaptar la nueva normativa con la máxima precisión dentro de la compañía. Entre sus principales responsabilidades se encuentran:

Nuevas figuras en la empresa: Data Protection Officer (DPO)

Cuando el tratamiento lo realice una autoridad u organismo público (excepto los tribunales)

Cuando las actividades del responsable o encargado traten datos personales a gran escala

• Informar, aconsejar, documentar y dar respuesta sobre las obligaciones de la empresa. • Documentar qué son los datos personales, quién los ha recogido dentro de la empresa, dónde, mediante qué entidad o colaborador y qué finalidad. • Controlar y monitorizar la implementación y aplicación de las políticas así como la formación de la organización en administración de datos. • Velar por la transacción de los datos dentro o fuera de la UE y definir los límites temporales de uso. • Supervisar las fugas y filtraciones de datos y ser el responsable de contacto con la autoridad supervisora.

¿Cómo empezar con GDPR?

¿Cómo empezamos?

5 ASESORAR 4 REPORTAR

GDPR 360º

PROTEGER

3

DESCUBRIR

1

GESTIONAR

2

¿Cómo Necsia te puede ayudar?

¿Cómo Necsia te puede ayudar? Análisis GAP & GDPR Inventory 

El servicio de Análisis GAP consiste en la realización de una análisis tipo GAP (análisis comparativo entre una situación actual y una objetivo) en relación a GDPR. Como resultado del análisis GAP se dispondrá de:  una “foto” de la organización con respecto a los objetivos y requerimientos de GDPR.  un plan de acción que permitirá cumplir los objetivos y requisitos de GDPR

Inventario de Activos – Clasificación de la Información

Proyectos de Adecuación 

Los proyectos de adecuación a adecuación a GDPR consistirán en proyectos de consultoría en el caso de tratarse de requisitos de carácter organizativo o de proyectos relacionados en la tecnología al tratarse de requisitos de carácter técnico. Estos últimos consistirán en la implantación de soluciones tecnológicas que permitan la automatización y simplificación de las actividades requeridas por los requisitos de GDPR, que de otra forma requerirían de un esfuerzo humano significativo.

Roadmap de Análisis FASE 0: Formación y Concienciación

FASE 1: Análisis GAP

¿Cómo Necsia te puede ayudar?

Oficina de adecuación  



La oficina de adecuación proporciona a las empresas todos los recursos necesarios para implementar los objetivos y requisitos establecidos en la norma GDPR. Los requisitos son de carácter legal, técnico y organizativo. Dentro de este servicio se distinguen dos modalidades:  Empresa con presencia en un solo país (España) y cuyos departamentos/áreas están gestionados de forma centralizada.  Grupo de empresas con presencias en varios países y los departamentos/áreas están gestionados de forma independiente, p.e. por ubicación física, por empresa. La modalidad “Grupo de empresas con presencias en varios países y los departamentos/áreas están gestionados de forma independiente” se diferencia en el modelo que siguen algunas organizaciones consistente en la existencia de una sede central encargada de dar las directrices y recursos necesarios al resto de sedes para la implantación de leyes, regulaciones o sistemas de gestión. Este modelo se caracteriza por la necesidad de una mayor gestión y organización. Asimismo, la documentación tiene como requisitos ser auto-explicativa y disponer de instrucciones para su cumplimentación y/o uso.

c

¿Cómo Necsia te puede ayudar?

Necsia Academy 





Curso básico GDPR (presencial o e-learning): es un curso básico de formación y concienciación en GDPR. El contenido consiste en una descripción del reglamento, explicación de los conceptos clave y ejemplos de situaciones en los que se debe aplicar GDPR. Al final del curso se deberá llevar a cabo un examen de evaluación de los contenidos del curso. Finalmente se dispondrá de un certificado de aprovechamiento del mismo. La plataforma de e-learning permitirá asegurar la asistencia al curso mediante el registro de los asistentes y los certificados de aprovechamiento correspondientes. Cursos específicos GDPR: personal con responsabilidades en la contratación de servicios en los que se trate información personal, área de marketing, área de personas y áreas de ventas. Estos cursos consistirán en cursos adicionales al básico (de menor duración) en los que se tratará de forma específica los conocimientos necesarios del área/rol en cuestión. App de FyC de GDPR: la App de formación y concienciación en Seguridad de la Información que dispone Necsia con contenidos de GDPR.

c

¿Cómo Necsia te puede ayudar? Data Protection Officer 



Los servicios profesionales de DPO buscan proporcionar ayuda al cliente la necesidad de disponer del nuevo rol incluido en GDPR, cuyas responsabilidades son: Informar, aconsejar, documentar y dar respuesta sobre las obligaciones de la empresa. Controlar y monitorizar la implementación y aplicación de las políticas así como la formación de la organización en administración de datos. Documentar qué son los datos personales, quién los ha recogido dentro de la empresa, dónde, mediante qué entidad o colaborador y qué finalidad. Velar por la transacción de los datos dentro o fuera de la UE y definir los límites temporales de uso. Supervisar las fugas y filtraciones de datos y ser el responsable de contacto con la autoridad supervisora.

Se dispone de dos modalidades:  DPO: los servicios profesionales serán proporcionados por la misma persona con dedicación al 100% a ese cliente las horas mensuales contratadas.  Apoyo al DPO: los servicios profesionales podrán ser prestados por distintas personas según las necesidades del momento del DPO. Se requiere que la empresa disponga de un DPO certificado y nombrado formalmente. Este servicio es un soporte en las actividades llevadas a cabo por el DPO.

¿Realmente estás preparado?

¿ALGUNA PREGUNTA?

CONTÁCTENOS www.necsia.es

[email protected] 932 521 285 914 415 677 SANTIAGO DE CHILE LIMA CIUDAD DE PANAMÁ CIUDAD DE MÉXICO MADRID BARCELONA