Con ValidaCripto, responsables y encargados del tratamiento cuentan con una herramienta para evaluar de forma sencilla sus sistemas o técnicas de cifrado de datos. En este artículo explicamos qué es ValidaCripto y cómo funciona.
Contenido del artículo
¿Qué es ValidaCripto?
ValidaCripto es una nueva herramienta gratuita lanzada por la AEPD (Agencia Española de Protección de Datos) para evaluar los sistemas o técnicas de cifrado o encriptación de datos y determinar si están adecuadamente implementados en los tratamientos de datos personales.
Recordemos que (mientras llega la criptografía cuántica) el uso de sistemas o herramientas criptográficas actuales ayuda a proteger la confidencialidad de los datos al aplicar un algoritmo y una clave de cifrado, lo que vuelve los datos ininteligibles para cualquier persona que acceda a ellos sin tener la clave de cifrado. Asimismo, el RGPD contempla el cifrado como una de las medidas que pueden adoptarse para cumplir con las condiciones para la conformidad del tratamiento, ya que gracias a él se reduce el riesgo y el impacto negativo para los derechos y libertades de los interesados ante una brecha de seguridad.
ValidaCripto, que es una herramienta intuitiva y fácil de usar, traslada las directrices y metodología plasmadas en la guía Orientaciones para la validación de sistemas criptográficos en la protección de datos, publicada junto a ISMS Forum y APEP.
¿Para qué sirve ValidaCripto?
La finalidad de ValidaCripto es que responsables y encargados del tratamiento, así como otros profesionales a quienes va dirigida esta herramienta, puedan evaluar el sistema de cifrado implementado en los tratamientos de datos personales que realizan y comprobar su eficacia y validez.
Para ello, la herramienta proporciona un diagrama visual compuesto de los elementos esenciales del sistema de cifrado y de una lista de posibles controles para cada uno de ellos. Cabe señalar que la propia AEPD nos advierte de que el listado de controles no es exhaustivo, ni todos ellos son exigibles en todos los casos, y podrán elegirse en función de cada tratamiento específico.
El cifrado de datos como medida de seguridad en la protección de datos personales va mucho más allá de elegir entre criptografía asimétrica o simétrica, de escoger este o ese algoritmo de cifrado e implementarlo, también implica documentar el proceso y aplicar los debidos controles y comprobaciones para asegurar la efectividad del sistema de cifrado utilizado. Por lo tanto, es necesario que responsables y encargados verifiquen, evalúen y valoren todos los elementos que intervienen en el proceso de cifrado de datos (dispositivos, controles de acceso, seguridad lógica y física, formato de la información, etc.), además de comprobar que estos requisitos se siguen cumpliendo y manteniendo en el tiempo.
El objetivo de ValidaCripto es facilitar estas valoraciones y comprobaciones respecto a los sistemas de cifrado a responsables y encargados.
¿A quién está dirigida ValidaCripto?
ValidaCripto es una herramienta que, aparte de responsables, encargados y subencargados del tratamiento, también va dirigida a delegados de protección de datos, asesores y auditores de protección datos, especialistas en seguridad de la información y desarrolladores de soluciones de cifrado.
Todos estos profesionales pueden recurrir a esta herramienta para evaluar y comprobar la eficacia de cualquier sistema de cifrado que estén empleando o desarrollando y determinar con ella su nivel de eficacia.
¿Cómo funciona ValidaCripto?
Cómo decíamos, ValidaCripto funciona de una manera muy sencilla y visual (si bien, hay que estar familiarizado con algunos términos técnicos relativos al funcionamiento de los sistemas de cifrado y conocer las políticas de seguridad de la información y protección de datos adoptadas por la entidad).
ValidaCripto funciona de manera local en el navegador del usuario y no registra ni transmite ningún dato a la AEPD. La propia herramienta, que es muy intuitiva, va guiando los pasos del usuario para cumplimentar cada uno de sus apartados (además, cuenta con una guía de ayuda en la que se describe cómo usarla).
El primer paso será indicar el nivel de impacto del cifrado para la conformidad del tratamiento con el RGPD (la herramienta cuenta con cuatro niveles, de menos a más crítico en función del nivel de riesgo del tratamiento).
El usuario deberá ir desplegando los elementos de cada apartado o componente del sistema en el diagrama, al pinchar en cada elemento, se abrirá una lista con los posibles controles, dependiendo del tipo de tratamiento y las políticas del responsable o encargado, el usuario que esté llevando a cabo la validación, deberá escoger entre «Sin comprobar», «No aplicar», «Incumple» o «Cumple» (la herramienta, además, permite incluir notas en cada control, así como añadir controles adicionales implementados por el responsable o encargado).
Cabe señalar que cada elemento está acompañado de un círculo de diferentes colores, estos colores marcan el nivel de validación recomendado entre opcional, medio y alto.
Ejemplo de controles de dispositivos
Una vez se han comprobado todos los elementos, el usuario pulsará en «Validar» para visualizar una tabla resumen con los valores recomendados para las orientaciones de la herramienta (que dependen del nivel de criticidad seleccionado al comienzo) y los obtenidos en las comprobaciones de cada elemento.
Ejemplo resultado de validación
Cómo podéis ver en la imagen del ejemplo, la herramienta utiliza un código de colores para determinar el nivel de cumplimiento en cada elemento.
Finalmente, la herramienta permite generar y descargar un informe en formato HTML o Word/LibreOffice de todas las tablas con los controles de validación.
En definitiva, ValidaCripto es una herramienta que resultará útil a responsables y encargados del tratamiento para evaluar el nivel de cumplimiento de sus sistemas de cifrado respecto al RGPD.
