Procedimiento de gestión de incidentes y brechas de Ciberseguridad
Vítaly cuenta con un protocolo formal de investigación, contención y clasificación cuantitativa de incidencias técnicas en sus redes, oficinas y centros de trabajo. Este marco operativo responde a las exigencias de la norma ISO/IEC 27001, el Esquema Nacional de Seguridad (ENS) en categoría Alta, el Reglamento General de Protección de Datos (RGPD) y la Directiva NIS2, articulándose en las siguientes fases:
- Comunicación y registro inicial del incidente
- Investigación y confirmación técnica
- Clasificación y tipificación del evento
- Contención urgente de la amenaza
- Erradicación de la causa y recuperación de sistemas
- Actualización continua del registro de incidencias y recopilación de evidencias
- Notificación a autoridades, clientes y partes afectadas
- Análisis post-incidente y lecciones aprendidas
- Documentación final y cierre del expediente
El Equipo Resolutor y el Coordinador de Incidentes analizan de forma inmediata cada suceso en coordinación con el Delegado de Protección de Datos y el área de Cumplimiento. Si las comprobaciones técnicas determinan la existencia de una brecha de seguridad sobre datos personales conforme a los criterios de la Agencia Española de Protección de Datos (AEPD), se activan los mecanismos oficiales de comunicación.
Cuando Vítaly actúa como Encargado del Tratamiento, el incidente puede involucrar a un único Cliente o comprometer de forma simultánea a varios Clientes dentro de una plataforma de servicios compartida. En ambos casos, Vítaly notificará por escrito a cada Cliente afectado de manera individualizada y sin dilación indebida tras confirmar el suceso, preservando el deber de confidencialidad interempresarial y facilitando la información necesaria para el cumplimiento de sus deberes legales. Cuando Vítaly actúa como Responsable del Tratamiento, reportará telemáticamente a la AEPD en el plazo máximo de 72 horas y a las personas físicas afectadas si concurre un alto riesgo para sus derechos. Si la investigación requiere un plazo superior para contrastar el alcance total, los hallazgos se trasladarán de forma gradual por fases.
No procede la notificación a la Autoridad de Control cuando el suceso no cumpla los criterios legales de reporte por ser improbable que entrañe un riesgo para los derechos y libertades de las personas físicas, quedando constancia justificada de ello en el registro interno del SGSI. Del mismo modo, no será obligatoria la comunicación individual a los interesados si el incidente no implica un alto riesgo, si la información disponía de medidas previas de protección (como el cifrado robusto) o si las acciones de contención evitaron de forma efectiva la materialización del daño.
