DIA-3 - Ciclo de Vida de los Datos

Definición de Control

Es necesario definir y gestionar las etapas del ciclo de vida de los datos, desde su creación hasta su destrucción, estableciendo controles de seguridad y privacidad para cada una y asignando custodios responsables. Es necesario documentar los flujos de datos entre sistemas y terceros utilizando canales seguros y acuerdos de tratamiento de datos, y garantizar su destrucción segura y documentada al finalizar su período de retención. Es necesario revisar periódicamente el ciclo de vida para evitar retener datos más allá de lo necesario, y gestionar de forma segura los medios de almacenamiento durante todo su ciclo de uso.

Requisitos

Requisito 1

Definimos y gestionamos las etapas del ciclo de vida de los datos: creación, almacenamiento, procesamiento, uso, compartición, archivado y destrucción.

Requisito 2

Establecemos controles de seguridad y privacidad aplicables en cada etapa del ciclo de vida del dato.

Requisito 3

Identificamos y capacitamos a los custodios de datos por sistema.

Requisito 4

Documentamos los flujos de datos entre sistemas mediante diagramas de flujo de datos (DFD).

Requisito 5

Exigimos un acuerdo de tratamiento de datos (DPA) vigente para cada transferencia de datos a terceros.

Requisito 6

Diagramamos el ciclo de vida del dato del negocio.

Requisito 7

Utilizamos canales cifrados y protocolos seguros (SFTP, HTTPS, MFT) para la transferencia de datos entre sistemas y hacia terceros.

Requisito 8

Garantizamos la destrucción segura de datos al finalizar la necesidad de retención con evidencia documentada en sistemas primarios, respaldos y sistemas de terceros.

Requisito 9

Gestionamos los medios de almacenamiento a lo largo de todo su ciclo de vida, desde su adquisición hasta su eliminación, siguiendo los criterios de clasificación de la información.

Requisito 10

Revisamos periódicamente el ciclo de vida para garantizar que los datos no se retengan más allá de lo necesario.