Ley de Notificación de Violaciones de la Seguridad             

"En abril de 2002, piratas computacionales ingresaron al sistema del gobierno estatal de California y accedieron a la información personal de más de 200.000 empleados estatales, desde el gobernador hasta los conserjes.  Y, lo que es peor, el gobierno no notificó a los empleados hasta semanas después de ocurrido el incidente." - Kinley Levack (EContent)

Debido a la importancia que ha cobrado identificar la vulneración de los datos personales y en respuesta a la creciente preocupación relativa a la comunicación de dichas vulneraciones a los afectados, el 1 de julio de 2003 se aprobó en California la ley sobre notificación de la vulneración de las medidas de seguridad. Aunque se trata de una ley de rango estatal, sus efectos han abarcado a un amplio espectro de empresas en todo el país, sujetos al cumplimiento de esta nueva ley. En virtud de dicha ley toda empresa que de a conocer de forma accidental u de otra forma "información personal" de cualquier residente de California, deber revelar este hecho a la persona afectada dentro de un período razonable. Tal y como está formulada la ley, cualquier empresa que mantenga relaciones comerciales con cualquier residente de California también está obligado a cumplir dicha ley. 

El Acta de Notificación de Violaciones a la Seguridad indica lo siguiente:

• Las compañías no deberán compartir información con sus afiliadas sin el consentimiento del consumidor.
  

• La revelación de los datos puede realizarse en cualquier momento que se estime oportuno.

• Las compañías no pueden compartir los datos con sus filiales sin el consentimiento del consumidor.

• “La revelación de los datos debe hacerse en el momento más oportuno y sin excesivo retraso ”. (Sec. 2(a)). Con esta ley se pretende asegurar que el consumidor se entere de que sus datos están siendo recibidos por personas no autorizadas. Sin embargo, su ejecución dentro de la ley provee a las entidades que no están informadas de la revelación de datos el  no hacerse responsables de tales revelaciones o de alertar a los consumidores de que “hay sospechas fundadas de que sus datos han sido adquiridos por una persona no autorizada” (Sec. 2(a)). La ley SB-1386 provee al consumidor del “derecho de actuación”, con el fin de presentar una demanda civil contra cualquier organización que no cumpla la ley. Esta medida legal de presión es única para este estado, ya que la mayoría de las demandas federales no proveen al consumidor del “derecho de actuación”.

Gestión Informática

• Las diferentes organizaciones deben salvaguardar la seguridad y confidencialidad de la información y archivos de sus clientes de acuerdo con el reglamento SB-1386.

• Asimismo deben poder controlar e identificar los posibles ataques o penetraciones en sus sistemas de una forma eficiente y adecuada.

 

---

Otros servicios de cumplimiento de seguridad:

• The Health Insurance Portability and Accountability Act (HIPAA)

• Gramm-Leach-Bliley

• Sarbanes-Oxley

• Security Breach Notification Act

• VISA CISP

• NIST-800

• ISO 17799