Capítulo 8
Ciberseguridad y protección de la información
Seguridad, minimización y respuesta a incidentes en sistemas que tratan datos de personas.
8.1 Datos y finalidades
Los expedientes laborales pueden reunir información identificativa, económica y especialmente sensible. Debe identificarse qué datos necesita cada proceso y evitar recopilar información por mera disponibilidad. La minimización reduce tanto riesgos de uso indebido como costes de protección.
La base jurídica, la información a las personas y los plazos de conservación deben analizarse según la finalidad. En el empleo, el desequilibrio entre las partes puede afectar a la validez del consentimiento. No debe utilizarse una casilla genérica como sustituto de ese análisis [R2].
8.2 Acceso y separación de funciones
El control de acceso debe aplicar el principio de privilegio mínimo. La autenticación multifactor añade protección, pero no elimina la necesidad de revisar permisos, dispositivos y procedimientos. Una cuenta correctamente autenticada puede utilizarse de forma indebida o tener autorizaciones excesivas.
Las operaciones relevantes necesitan trazabilidad y revisión. Deben separarse, cuando sea posible, tareas incompatibles como modificar un dato y aprobar su efecto económico. Las revisiones periódicas ayudan a detectar permisos heredados que ya no responden a una función legítima.
8.3 Amenazas específicas de la IA
Un asistente puede revelar información si combina fuentes sin respetar permisos. También puede seguir instrucciones maliciosas presentes en un documento o generar una respuesta que parezca oficial sin serlo. Los controles deben aplicarse al acceso a datos y a las acciones disponibles, no solo al texto visible.
Las pruebas deben incluir documentos manipulados, consultas de extracción y solicitudes fuera de alcance. La información confidencial no debe enviarse a servicios externos sin garantías y autorización apropiadas. Los registros de uso también necesitan límites para no conservar datos innecesarios.
8.4 Incidentes y continuidad
La respuesta a incidentes necesita responsables, canales de aviso y procedimientos ensayados. Debe priorizarse contener el problema, preservar evidencias y evaluar sus consecuencias. Las obligaciones de comunicación o notificación se analizan según el incidente y la normativa aplicable.
Las copias de seguridad deben probarse mediante restauraciones. Una copia no verificada ofrece una seguridad aparente. La continuidad también requiere alternativas de trabajo cuando una plataforma no está disponible, especialmente en procesos con efectos sobre salarios o derechos.
8.5 Conservación y revisión
Los plazos de conservación deben responder a finalidades y obligaciones identificadas. Guardar indefinidamente puede aumentar exposición sin aportar valor. El borrado debe contemplar sistemas activos, exportaciones y el ciclo de las copias de seguridad.
La protección de datos es una práctica continua. Los cambios de uso, proveedores o integraciones requieren revisar los controles. Cuando corresponda, una evaluación de impacto permite estudiar riesgos antes del tratamiento y documentar medidas, límites y decisiones pendientes [R2].
Cuestionarios
Comprensión del capítulo & Dilemas de Recursos Humanos
Los dilemas no tienen puntuación moral ni se utilizan para evaluar candidaturas.