La necesidad de someterse a auditoría es una exigencia de la normativa de protección de datos. Se trata de una medida de seguridad de obligado cumplimiento para los ficheros de datos de nivel medio y alto.
¿Qué es sistema de información?
Un sistema de información es el conjunto de ficheros, tratamientos, programas, soportes y equipos empleados para el tratamiento de datos de carácter personal.
¿Cuándo debe llevarse a cabo la auditoría?
La auditoría debe llevarse a cabo cada dos años, o antes si se ha producido alguna modificación relevante en el sistema de información que pueda repercutir en el cumplimiento de las medidas de seguridad implantadas. Se trata de verificar la adaptación y eficacia de las modificaciones y su adecuación a la normativa de protección de datos y sus requisitos de seguridad.
Incumplir la obligación de auditar sus sistemas de seguridad constituye una infracción grave, a la que podría corresponder una sanción significante.
¿Quién realiza la auditoría?
Puede llevarla a cabo su propia empresa (auditoría interna), o subcontratar a un tercero para que la lleve a cabo (auditoría externa). Es preferible optar por una auditoría externa para asegurar la imparcialidad e independencia del resultado.
La normativa hasta ahora no recogía ningún requisito respecto a la formación profesional que debe tener el auditor.
El informe de la auditoría
La auditoría concluye con un informe en el que, por un lado, se identifican las deficiencias detectadas y, por otro, se proponen las medidas correctoras o complementarias necesarias para subsanarlas.
Fases de auditoría
Fase 1: El auditor recopila el volumen de información necesario acerca del grado de cumplimiento del Documento de Seguridad.
Fase 2: Una vez actualizada toda la información, se procede a redactar el Informe de Auditoría, basándose en las evidencias e incluyendo las medidas correctoras. Debe priorizar las acciones de mejora.
Fase 3: Hay que conservar el informe junto al Documento de Seguridad para tenerlo a la disposición de la inspección.
Pidan presupuesto sin compromiso de implantación de la normativa vigente
