¿Cómo implantar las medidas técnicas exigidas por la normativa de protección de datos en la práctica?
Implantación sistema de logs en servidor de ficheros
Por Francisco Gordillo, asociado senior de Information Technology de ECIJA, en colaboración con Rubén Badules, consultor TI
Implantar las medidas técnicas que impone la normativa de protección de datos no es tarea fácil. Una de las más complicadas es la referida al “Registro de accesos”. En resumen se trata de tener identificados los accesos a datos que realizan los usuarios. Esto se consigue mediante unos ficheros llamados “log” que registran diferentes eventos en el sistema, para el caso que nos interesa registran la actividad del usuario.
Es importante recordar que esta medida solo aplica en ficheros que contengan datos personales de nivel alto, esto es, datos de ideología, afiliación sindical, religión, creencias, origen racial, salud, vida sexual, los que contengan o se refieran a datos recabados para fines policiales sin consentimiento de las personas afectadas, o bien aquéllos que contengan datos derivados de actos de violencia de género.
En este artículo se explicará de forma breve cómo implantar esta obligación en los servidores de ficheros a partir Windows Server 2008 a través de la opción “registros de eventos de seguridad”.
Los pasos para realizar esta tarea son los siguientes:
1) Identificar las carpetas donde los logs captarán la información
Es importante mantener una reunión con los responsables del departamento/s que tratan estos datos de nivel alto. Se les debe preguntar exactamente en qué ruta de carpetas guardan estos datos. El motivo es que no será lo mismo para el rendimiento del sistema implantar los logs en unas carpetas concretas que hacerlo en todo el servidor.
2) Asegurarse que los logs no pueden ser manipulables por terceros
Debería existir solo un administrador de dominio, ya que así se asegura que sólo él puede implantar estos logs y no va a haber terceros administradores que puedan desactivarlos o bien modificarlos o borrarlos.
3) Implantación de los logs
Una vez conocemos las carpetas que se quieren auditar, el administrador de dominio se dirige a las propiedades de la carpeta pestaña seguridad opciones avanzadas pestaña auditoria agregar buscar el usuario o grupo de usuarios que se pretende auditar. Si se quiere auditar a todos hay que indicar “usuarios del dominio”. A partir de ahí se seleccionan las opciones que se pretende auditar (eliminar, eliminar subcarpetas y archivos, cambiar permisos, tomar posesión,…). Es importante no marcar la opción “aplicar estos valores de auditoría solo a objetos y/o contenedores dentro de este contenedor” porque de hacerlo no se guardaran los logs en las subcarpetas.
4) Almacenaje de los logs
Por defecto los logs se almacenan en una ruta. Pero ésta puede modificarse para que se almacenen en otro lugar con mayor capacidad como para guardarlos durante dos años (el mínimo obligatorio por Ley para datos de nivel alto). Se recomienda ir exportando manualmente los logs cada cierto tiempo (ej. una vez al mes pero depende del tráfico del servidor) para evitar llegar al límite de capacidad del archivo donde se almacenan los eventos auditados. Y una vez exportado borrar los logs previamente exportados para liberar espacio en el fichero de log.
5) Recomendaciones de Seguridad
Revisión de los logs
Al menos una vez al mes, el Responsable de Seguridad deberá revisar estos logs para advertir cualquier incumplimiento por parte de los usuarios. Para esta tarea es recomendable escoger un log concreto y analizar si almacena la siguiente información:
– la identificación del usuario
– fecha y hora en que se realizó,
– fichero accedido,
– tipo de acceso y
– Si el acceso ha sido autorizado o denegado.
– Registro accedido.
Aunque la opción más recomendable sería utilizar un software que gestione la lectura de logs, a partir de ahí se deberían hacer búsquedas según criterios establecidos previamente con los responsables de los departamentos que tratan los datos: por ejemplo, ¿Es poco frecuente un acceso de usuarios un fin de semana? ¿Es inusual que un usuario elimine un número muy elevado de ficheros? Con esta información se redactará un informe mensual con las revisiones realizadas y los informes detectados.
Si esta obligación se encuentra correctamente implantada puede decirse que la entidad ha solventado uno de los puntos más complicados a cumplir en la normativa de protección de datos de carácter personal.
Enlace al artículo: http://www.microsoft.com/business/es-es/Content/Paginas/article.aspx?cbcid=635&listid=ca57e1e7-e8eb-4610-ac00-27c480f020b3