Acuerdos de confidencialidad o no divulgación en la ISO 27001:2022

En un entorno digital donde la información es un activo fundamental, proteger su confidencialidad es una prioridad para cualquier organización. La filtración de datos puede generar graves consecuencias, desde daños reputacionales hasta sanciones legales y pérdidas económicas.

Los acuerdos de confidencialidad o no divulgación (NDA, por sus siglas en inglés) son herramientas esenciales para garantizar la protección de la información sensible dentro y fuera de la organización. El control 6.6 de la ISO 27001:2022 establece la necesidad de identificar, documentar, revisar y firmar regularmente estos acuerdos para asegurar que el personal y otras partes interesadas comprendan y respeten sus responsabilidades en materia de seguridad de la información.

1. Objetivo del Control 6.6 Acuerdos de confidencialidad o no divulgación.

El propósito de este control es preservar la confidencialidad de la información a la que acceden empleados, proveedores, contratistas y otras partes interesadas. A través de acuerdos de confidencialidad bien definidos, la organización puede minimizar el riesgo de divulgación no autorizada y garantizar el cumplimiento de los principios de seguridad de la información.

2. Aspectos Claves del Control

Para implementar este control de manera efectiva, se deben considerar los siguientes aspectos:

2.1. Definición clara de la información protegida

Los acuerdos de confidencialidad deben especificar qué tipo de información está sujeta a protección, incluyendo datos sensibles, secretos comerciales, propiedad intelectual y cualquier otro activo crítico para la organización.

2.2. Duración del acuerdo y vigencia de la Confidencialidad

Es fundamental establecer la vigencia del acuerdo, que puede extenderse incluso después de la terminación del contrato laboral o comercial. En algunos casos, la confidencialidad debe mantenerse de manera indefinida o hasta que la información se haga pública.

2.3. Procedimientos ante la terminación del acuerdo

Cuando finaliza la relación contractual, el acuerdo debe indicar si la información confidencial debe ser devuelta, destruida o mantenerse protegida según los términos establecidos.

2.4. Responsabilidades del firmante

Cada signatario debe conocer sus obligaciones, incluyendo la prohibición de compartir, distribuir o utilizar la información con fines no autorizados. También es importante definir sanciones en caso de incumplimiento.

2.5. Derechos de uso y auditoría

El acuerdo debe especificar el uso permitido de la información, así como el derecho de la organización para auditar y supervisar el manejo de datos sensibles en situaciones críticas.

2.6. Procedimientos ante filtraciones de información

Se deben establecer mecanismos para la notificación y gestión de incidentes de seguridad relacionados con la divulgación no autorizada. Esto permitirá tomar medidas correctivas de manera oportuna.

3. Aplicación Práctica del Control

Para implementar los acuerdos de confidencialidad de manera efectiva, las organizaciones pueden adoptar las siguientes medidas:

• Incluir cláusulas de confidencialidad en todos los contratos laborales y comerciales. Esto asegurará que los empleados y proveedores comprendan su responsabilidad en la protección de la información.

• Realizar revisiones periódicas de los acuerdos. Es necesario actualizarlos cuando se produzcan cambios en la regulación, en los procesos internos o en la clasificación de la información.

• Capacitar al personal sobre la importancia de la confidencialidad. Esto ayudará a crear una cultura de seguridad dentro de la organización.

• Implementar controles tecnológicos para reforzar la confidencialidad. Medidas como la restricción de accesos, el cifrado de datos y la supervisión del uso de la información contribuyen a reducir riesgos.

• Aplicar sanciones en caso de incumplimiento. Es importante que los acuerdos contemplen consecuencias legales en caso de violación de la confidencialidad.

• Gestionar la terminación del acceso a la información en caso de desvinculación. Esto incluye la revocación de credenciales y la recuperación de dispositivos corporativos.

Ten presente

Los acuerdos de confidencialidad o no divulgación son un pilar fundamental en la gestión de la seguridad de la información. Aseguran que los empleados y terceros comprendan la importancia de la confidencialidad y asuman su responsabilidad en la protección de datos sensibles.

Implementar este control no solo reduce el riesgo de filtraciones de información, sino que también fortalece la confianza entre la organización, sus colaboradores y sus socios comerciales. Un enfoque proactivo en la gestión de la confidencialidad es clave para garantizar la seguridad de la información y la continuidad del negocio.