CONFIDENCIALIDAD DE LA INFORMACIÓN DE IDENTIFICACIÓN PERSONAL
Las organizaciones deben evaluar el contexto de uso y finalidad para la que la Información de Identificación Personal (PII) se recoge, almacena, utiliza, procesa y divulga. El contexto de uso puede causar que los mismos elementos de datos aplicados a diferentes fines puedan determinar distintos niveles de impacto dependiendo de su uso.
Por ejemplo, supongamos que una organización tiene dos listas que contienen los mismos campos de datos identificación personal (por ejemplo, nombre, dirección, número de teléfono). La primera lista es la gente que se suscriben a un boletín de noticias de interés general producido por la organización, y la segunda lista es la gente que trabaja encubierto en aplicación de la ley. Si se viola la confidencialidad de las listas, los posibles impactos para los individuos afectados y para la organización son significativamente diferentes para cada lista.
Por ello quería compartir con ustedes esta guía de protección publicada por NIST (SP 800-122 - Guide to Protecting the Confidentiality of Personally Identifiable Information (PII) - Special Publication), que tiene el propósito de ayudar en la protección de la confidencialidad de la información de identificación personal (PII) en los sistemas de información.
El documento explica la importancia de proteger la confidencialidad de la información de identificación personal en el contexto de seguridad de la información y explica su relación con la privacidad mediante la información de Prácticas justas, que son los principios que inspiran la mayoría de las leyes de privacidad y las mejores prácticas de privacidad. (accesos inadecuados, uso y divulgación).
Este documento constituye una guía práctica, basada en el contexto para identificar y determinar qué nivel de protección es adecuado para cada instancia de la información de identificación personal. El documento también sugiere garantías que pueden ofrecer niveles adecuados de protección y proporciona recomendaciones para la elaboración de planes de respuesta para incidentes. Puede servir como guía para adaptar estas recomendaciones a las necesidades de cumplimiento de requisitos específicos de las diferentes Leyes de Protección de Datos Personales.
Abrazo, Fabián
Link de acceso al documento: http://nvlpubs.nist.gov/nistpubs/Legacy/SP/nistspecialpublication800-122.pdf
Fuente: http://csrc.nist.gov/
