Política de enmascaramiento y seudonimización de datos

La Política de enmascaramiento y seudonimización de datos (P16) articula un marco integral para salvaguardar datos personales, confidenciales y sensibles mediante la minimización de la exposición y de los riesgos de identificabilidad. Diseñada como un pilar fundamental de las tecnologías de mejora de la privacidad (PETs), esta política establece el enfoque de la organización para implementar tanto el enmascaramiento de datos estático y dinámico como la seudonimización, de acuerdo con requisitos legales, normativos y operativos estrictos. Estructurada para aplicarse a todos los empleados, contratistas, terceros y proveedores que traten datos sensibles, el alcance de la política se extiende a todos los entornos de datos, ya sean el entorno de producción, desarrollo, pruebas o sistemas alojados en la nube. Exige que cualquier dato utilizado en entornos no productivos esté enmascarado o seudonimizado, y prohíbe el uso de datos reales salvo que se autorice explícitamente mediante una evaluación de riesgos formal y aprobación ejecutiva. La política destaca la necesidad de integridad referencial y transformaciones que preserven el formato, garantizando la usabilidad para analítica e informes sin comprometer la privacidad ni el cumplimiento. Esta política delimita responsabilidades claras entre roles organizativos: la dirección ejecutiva proporciona supervisión y gobernanza; el Director de Seguridad de la Información (CISO) y el Responsable del SGSI garantizan la implementación continua, el seguimiento y la alineación con normas (en particular con ISO/IEC 27001, cláusulas 6.1 y 8.1); mientras que el Delegado de Protección de Datos (DPO) garantiza la conformidad con leyes de privacidad como el GDPR. Los propietarios de datos se encargan de la identificación de conjuntos de datos y de la clasificación de datos adecuada, mientras que los equipos de TI y los desarrolladores de aplicaciones son responsables de emplear métodos aprobados y mantener la integridad de los datos transformados. Los proveedores de servicios y proveedores quedan vinculados contractualmente a mantener estándares de salvaguarda equivalentes. Los requisitos de gobernanza incluyen mantener inventarios de datos actualizados, realizar evaluaciones basadas en el riesgo de los procesos de transformación de datos y asegurar que todas las técnicas seleccionadas de enmascaramiento y seudonimización estén alineadas con las expectativas normativas y las necesidades operativas. La aprobación de herramientas está estrictamente controlada; solo se permiten herramientas verificadas, estandarizadas y auditables, y su desempeño debe validarse mediante una evaluación técnica centrada en el registro de auditoría, la integración y la resistencia a la elusión. La política aplica una monitorización robusta, exigiendo el registro de auditoría integral de eventos, auditorías periódicas de la eficacia del enmascaramiento y la conservación de registros y revisión de registros de acuerdo con la Política de conservación de datos (P14). Las medidas de tratamiento de riesgos se estipulan claramente; si el enmascaramiento o la seudonimización no son viables, se requieren controles compensatorios, y cualquier excepción debe someterse a una evaluación rigurosa, aprobación y revisión periódica. La política también prescribe medidas disciplinarias y remedios contractuales por incumplimientos, y exige formación, revisiones y actualizaciones periódicas para garantizar que la política evolucione con los cambios tecnológicos y normativos. La alineación con marcos internacionales, ISO/IEC 27001:2022, ISO/IEC 27002:2022, NIST SP 800-53 Rev.5, EU GDPR, NIS2, DORA y COBIT 2019 refuerza la base de la política en mejores prácticas reconocidas y mandatos regulatorios.