Amb l’auge de la mobilitat i el teletreball, l’ús de dispositius mòbils i portàtils s’ha consolidat en moltes empreses. Aquesta nova realitat, tot i afavorir la flexibilitat i la productivitat, comporta un increment significatiu dels riscos en matèria de seguretat de la informació i protecció de dades personals.
Organismes com l’Agència Espanyola de Protecció de Dades ja han elaborat documents específics per guiar les organitzacions en aquest àmbit. Per a més informació, consulta la Nota tècnica (PDF) de l’AEPD sobre com protegir les dades en entorns de teletreball.
I és que, quan es treballa fora de l’oficina —a través de xarxes domèstiques, connexions públiques o dispositius sense la configuració adequada—, les dades són més vulnerables a accessos no autoritzats, pèrdues o atacs.
Tot plegat fa imprescindible disposar d’una política de governança i ús de dispositius corporatius que reguli clarament les condicions d’ús i les mesures de seguretat aplicables, especialment quan aquests equips són utilitzats per personal que accedeix o tracta dades confidencials.
Per a què serveix la política d’ús de dispositius?
L’objectiu principal d’aquesta política és prevenir riscos associats a l’ús indegut dels dispositius —com ara pèrdues d’informació, accessos no autoritzats, instal·lació de programari maliciós o exposició a xarxes insegures—, així com delimitar responsabilitats i garantir el compliment del marc legal.
La política d’ús de dispositius hauria de contemplar, entre d’altres:
- Els dispositius que poden ser assignats i les seves condicions d’ús.
- Els criteris de seguretat aplicables: contrasenyes, xifratge, actualitzacions, antivirus, etc.
- Els usos permesos i prohibits.
- Les responsabilitats de la persona usuària.
- El procediment de retorn o substitució del dispositiu.
En absència d’una política clara, l’empresa o entitat pot veure’s exposada a incidències de seguretat que afectin dades personals i, per tant, a conseqüències legals i reputacionals greus. Aquestes mesures no només són recomanables, sinó que també estan recollides en el marc normatiu vigent.
Quin marc normatiu ho exigeix?
Disposar d’una política d’ús de dispositius no només és una bona pràctica: és una obligació legal si es tracten dades personals. Això queda recollit en dues normatives fonamentals:
- Reglament (UE) 2016/679, General de Protecció de Dades (RGPD): obliga els responsables del tractament a aplicar mesures tècniques i organitzatives adequades per garantir un nivell de seguretat adequat al risc, incloent-hi la protecció davant accessos no autoritzats o la pèrdua de dades. Una política d’ús de dispositius és una d’aquestes mesures.
- Llei Orgànica 3/2018, de Protecció de Dades Personals i garantia dels drets digitals (LOPDGDD): reforça l’obligació d’establir polítiques internes i mesures que assegurin el compliment del RGPD i protegeixin els drets digitals del personal.
Aquests dos textos són clars: les empreses han de controlar com es gestionen les dades personals dins i fora de les seves instal·lacions, també a través dels dispositius que assignen.
Una guia per començar amb garanties
Per a moltes empreses que volen implantar una política d’ús de dispositius, una bona base és la guia elaborada per l’Institut Nacional de Ciberseguretat (INCIBE). Entre altres aspectes, la guia recomana:
- Mantenir un inventari actualitzat dels dispositius assignats.
- Establir normes de configuració i protecció (contrasenyes, antivirus, xifratge…).
- Delimitar l’ús professional respecte de l’ús personal.
- Definir com s’han de gestionar les incidències (software maliciós, pèrdua, robatori).
- Formar el personal en relació amb bones pràctiques i riscos de seguretat associats als dispositius.
A més de millorar la seguretat de la informació, tenir una política basada en aquestes directrius demostra el compromís de l’empresa o entitat amb la protecció de dades, tant davant d’auditories com en la gestió quotidiana dels riscos. Si vols veure un exemple real, pots consultar la Política d’ús de dispositius mòbils i PDA (Personal Device Assistant) del Cambridge College.
Com implementar-la amb garanties?
Si assignes portàtils, mòbils o altres equips a persones que accedeixen a dades personals o informació sensible, és imprescindible disposar d’una política clara i adaptada a la realitat i els riscos concrets de la teva empresa i ser entesa i acceptada per totes les persones que faran ús dels equips.
A ON4 t’assessorem en tot el procés: des de l’anàlisi de riscos fins a la redacció, validació jurídica i formació del personal. Contacta amb nosaltres i protegeix la informació de la teva empresa, des del dispositiu més petit fins al sistema més complex.