A menudo, la forma en que se manejan y gestionan los datos personales no es la adecuada, especialmente en lo que respecta a su seguridad. Existen serias preocupaciones sobre cómo se protegen fundamentalmente los distintos tipos de datos personales sensibles, como los financieros y de salud. Sin las medidas y los procesos de seguridad apropiados, los ciberdelincuentes podrían acceder a grandes cantidades de datos personales sensibles, lo que provocaría un caos total en la gestión de datos. Para gestionar este volumen crítico de datos, necesitamos comprender la delgada línea que separa la seguridad de los datos de la privacidad, términos que a menudo se utilizan indistintamente.

Hoy hablaremos del factor diferenciador entre seguridad de datos y privacidad de datos, así como de los diversos factores como: cifrado, tokenizaciónY enmascaramiento afectando a ambos.

Seguridad de datos vs. Privacidad de datos

La diferencia fundamental entre privacidad y seguridad de datos radica en qué datos se protegen y cómo se protegen. La seguridad de datos se centra en proteger los datos de amenazas maliciosas y ciberdelincuentes, mientras que la privacidad de datos se centra en el uso responsable de los datos.
La seguridad de los datos se relaciona con la protección de la información confidencial y crítica. Su objetivo principal es impedir el acceso no autorizado e ilegítimo a los datos, ya sea por vulneraciones, brechas o filtraciones, independientemente de quién sea el responsable. Las empresas utilizan herramientas y tecnologías de TI, como cortafuegos, control de acceso, autenticación e identificación de usuarios, control de acceso a la red y medidas de seguridad internas, para prevenir dicho acceso. Esto también incluye las tecnologías de seguridad más recientes, como el cifrado, la tokenización y el enmascaramiento, para reforzar la protección de los datos haciéndolos ilegibles, lo que, en caso de una brecha, puede impedir que los ciberdelincuentes expongan grandes cantidades de información confidencial.
Por otro lado, la privacidad de datos se centra en cómo se utilizan, recopilan, transmiten o procesan los datos personales sensibles, de conformidad con el consentimiento del titular de los datos. La privacidad de datos implica informar a las personas de antemano sobre qué tipo de datos se recopilarán, con qué finalidad y con quién se compartirán en determinadas circunstancias. Una vez que la organización establece estas cláusulas de exención de responsabilidad, el usuario debe aceptar los términos de uso, lo que permite a la organización utilizar los datos de acuerdo con las normas de cumplimiento para la finalidad indicada.
La privacidad de datos se centra más en el uso responsable de los datos, con cláusulas específicas para evitar su uso indebido, que en la protección de los datos en sí frente a usuarios malintencionados. El uso de la privacidad de datos difiere en cierta medida del de la seguridad de datos; sin embargo, la privacidad se complementa con medidas de seguridad como la anonimización de datos personales (la vinculación de los datos personales con su titular original), la ofuscación y otras.
Es común ver que las palabras "seguridad de datos" y "privacidad de datos" se utilizan como sinónimos, aunque su aplicación es muy diferente.

Es común ver que los términos seguridad y privacidad de datos se usan como sinónimos, aunque su aplicación es muy diferente. La seguridad de datos puede implementarse por sí sola, mientras que la privacidad de datos requiere seguridad como pilar para sostenerse. En pocas palabras, la privacidad de datos permite un acceso limitado, mientras que la seguridad de datos emplea diversos procesos o métodos para proporcionar dicho acceso limitado.

Seguridad y privacidad de datos frente a cumplimiento normativo

Ahora que hemos comprendido la seguridad y la privacidad de los datos, debemos profundizar para entender cómo las diversas regulaciones del sector ayudan a las organizaciones a transformar su panorama de protección de datos.

PCI DSS
La Estándar de seguridad de datos de la industria de tarjetas de pago (PCI DSS) Proporciona un marco para proteger la información de las tarjetas de pago y los datos de los tarjetahabientes. El estándar PCI DSS se asocia fundamentalmente con los controles de seguridad relativos al almacenamiento, procesamiento y transmisión de datos de pago, incluidos datos personales como nombre, dirección, etc. Este estándar se aplica a comercios, bancos, terceros involucrados y cualquier otra entidad que maneje datos de tarjetahabientes.
CCPA
La Ley de Privacidad del Consumidor de California (CCPA) tiene como objetivo que el consumidor conserve la propiedad, el control y la seguridad de su información personal si es ciudadano del estado de California, estableciendo derechos importantes para los consumidores, tales como:
1. El derecho a saber qué información personal sobre ellos se recopila, vende y divulga y dónde se recopila.
2. La capacidad de negar la venta de información personal.
3. El derecho a tener igual servicio y precio si uno decide ejercer sus derechos de privacidad.
4. El derecho a que se elimine la información personal.
HIPAA
La Ley de Responsabilidad y Portabilidad del Seguro Médico (HIPAA) La HIPAA establece un conjunto de estándares para proteger los datos confidenciales de los pacientes en todo Estados Unidos. Esta normativa es compleja, ya que abarca una gran cantidad de datos sanitarios de los ciudadanos estadounidenses. Las empresas que manejan Información Sanitaria Protegida (PHI, por sus siglas en inglés) deben contar con medidas de seguridad administrativas, físicas y técnicas para cumplir con la HIPAA. Existen entidades cubiertas que brindan tratamiento, aceptan pagos, operan en el sector sanitario o son socios comerciales, incluyendo a cualquier persona que tenga acceso a información de pacientes y preste apoyo en el tratamiento, los pagos o las operaciones. Las Normas Generales de Seguridad exigen que las entidades cubiertas mantengan salvaguardias administrativas, técnicas y físicas razonables y apropiadas para proteger la PHI.
1. Garantizar la confidencialidad, integridad y disponibilidad de toda la información sanitaria protegida (PHI) que las entidades cubiertas creen, reciban, mantengan o transmitan.
2. Identificar y proteger contra amenazas razonablemente anticipadas a la seguridad o integridad de la información.
3. Proteger contra usos o divulgaciones no permitidos y razonablemente anticipados.
4. Garantizar el cumplimiento por parte de la plantilla de las entidades sujetas a la normativa.
GDPR
La Reglamento General de Protección de Datos (GDPR) El RGPD es un estándar de privacidad de datos digitales para los ciudadanos de la UE. El RGPD establece las directrices generales para los datos personales, como qué datos deben protegerse, el tipo de datos personales y cómo deben gestionarse y protegerse. El RGPD se aplica a todas las empresas que recopilan y procesan datos de residentes de la UE. Las empresas no pertenecientes a la UE deberán designar un delegado de cumplimiento del RGPD y serán responsables de todas las multas y sanciones.
NYDFS
La normativa de ciberseguridad del Departamento de Servicios Financieros de Nueva York (NYDFS) es un conjunto de reglas aplicables a las instituciones financieras sujetas a ella. El NYDFS se aplica a todas las instituciones financieras que operan bajo licencia, registro o autorización del DFS, o que están reguladas por este. La normativa de ciberseguridad del NYDFS establece directrices estrictas para las normas de ciberseguridad y un plan detallado de ciberseguridad diseñado por el CISO, la implementación de la política de ciberseguridad y un sistema continuo de mantenimiento y reporte de incidentes de ciberseguridad.
HiTech
La Ley de Tecnología de la Información Sanitaria para la Salud Económica y Clínica (HITECH) estableció el mandato de promover el uso adecuado de la tecnología de registros electrónicos de salud (EHR) por parte de los proveedores de atención médica y sus socios comerciales en Estados Unidos. HITECH implica que los proveedores de atención médica deben demostrar que utilizan tecnología EHR certificada para evitar filtraciones de datos derivadas de EHR no encriptados.

La Ley HITECH también impulsó una aplicación más estricta de las normas de privacidad y seguridad de HIPAA al hacer obligatorias las auditorías de seguridad a todos los proveedores de atención médica. Estas auditorías se realizan para investigar y determinar si los proveedores de atención médica cumplen con los estándares mínimos especificados o para concluir si cumplen con la norma de privacidad y la norma de seguridad de HIPAA.

Analicemos cómo se puede lograr la seguridad y la privacidad de los datos con la ayuda de las siguientes tecnologías de seguridad:

Cifrado
Tokenization
Cintas

Cifrado para seguridad y privacidad de datos:
El cifrado proporciona seguridad de datos para diversas formas de datos confidenciales, como datos de titulares de tarjetas, información médica protegida (PHI), información de identificación personal (PII), etc., mediante el cifrado y descifrado con una clave derivada matemáticamente que posee una entidad autorizada. La seguridad de los datos se vuelve fundamental en el entorno actual, donde existen actores maliciosos por toda la internet. Muchas aplicaciones de cifrado protegen los datos personales durante el almacenamiento y la transmisión; sin embargo, dejan desprotegidos los datos sensibles en tránsito. texto sin formato durante el procesamiento.

Si bien el cifrado se convirtió en el estándar de facto para todos los casos de uso de datos en tránsito y datos en reposo, por sí solo todavía no proporciona la solución completa de privacidad de datos para datos confidenciales durante todo su ciclo de vida.
Tokenización para la seguridad y privacidad de datos:
La tokenización desempeña un papel fundamental en la seguridad y privacidad de los datos, ya que cumple con ambos requisitos. Al ofrecer la funcionalidad de seudonimización, puede considerarse un mecanismo de protección redundante en caso de una brecha de seguridad. Gracias a esta tecnología, incluso si los datos del sistema de la organización se ven comprometidos, resultan poco útiles para los ciberdelincuentes, puesto que la seudonimización los desensibiliza, anonimizándolos y haciéndolos inútiles para ellos.

Dado que los datos se desensibilizan en el sistema de la organización, se contrarresta el riesgo asociado a la privacidad de los datos. Por lo tanto, es evidente que, con la tokenización, la seguridad de nuestros datos adquiere la solidez necesaria y, por otro lado, la privacidad de los datos también se fortalece gracias a la desensibilización de los datos personales.
Enmascaramiento para la seguridad y privacidad de datos:
El enmascaramiento de datos juega un papel fundamental en la privacidad de los datos al proteger la información confidencial, como la información de tarjetas de crédito, PHI, PII, etc., reemplazando los datos reales con datos ficticios funcionales que se utilizarán en escenarios en los que no se necesiten los datos reales. Gar Teniente La describe como una tecnología que «puede proteger datos confidenciales de forma dinámica o estadística, reemplazándolos con datos ficticios que parecen realistas, para evitar su pérdida en diferentes casos de uso». El enmascaramiento de datos utiliza diversos mecanismos para alterar los datos mediante la sustitución de caracteres o números, la combinación aleatoria de caracteres o algoritmos de cifrado. Por lo tanto, el enmascaramiento de datos, también conocido como ofuscación o seudonimización de datos, facilita enormemente la gestión de la privacidad de los datos personales.

Conclusión

La seguridad y la privacidad de los datos son dos enfoques distintos para el manejo de datos personales confidenciales; sin embargo, a menudo se confunden. Es evidente que el enmascaramiento y la tokenización de datos se centran en brindar medidas de privacidad, mientras que el cifrado se enfoca principalmente en la seguridad. Considerando las características de estas tres tecnologías de seguridad, podemos afirmar que ninguna por sí sola puede proteger completamente la información personal. Todas deben trabajar en conjunto para proteger los datos personales sensibles contra el robo en las diferentes etapas de su ciclo de vida.