Antar | Borrado Seguro Certificado - copy

¿Qué es borrado seguro?

Es un proceso basado en software para sobrescribir de forma segura la información almacenada digitalmente con datos binarios aleatorios de acuerdo con un estándar específico, y luego verificar y certificar que el borrado se ha realizado correctamente.

Que contiene un certificado de borrado auditable:

¿Qué se borró?
¿Cuándo se borró? (duración).
¿Cómo se borró? (estándar de borrado de en rondas de sobre escritura).
¿Dónde se borró?
Protección contra alteraciones
ID único por evento de borrado
Firma digital valida al importar el reporte a BMC

Disposiciones de Carácter General Aplicables a las Instituciones de Crédito Art. 316 Bis 11.-Sec. lll
SOX (Sarbanes-Oxley): Secciones 302 a 304
PCI-DSS (Payment Card Industry Data Security Standard): Art. 3.2, Art. 9.8 y Art. 9.8.2
Manual de Operación del SPEI/SPID
NIST (National Institute of Standards and Technology Especial Publication) 800-88 Certificate of Destruction
ISO/IEC 27001
GDPR 2018 de la Comunidad Europea (General Data Protection Regulation) Art. 17
FFIEC Information Technology Examination Handbook II.C.13 (c) Disposal of Information
LFPDPSO (Ley Federal de Protección de Datos Personales en Sujetos Obligados) Art.24, Art.33, Art.52 y Art.64

Disposiciones de Carácter General Aplicables a las Instituciones de Crédito

Art. 316 Bis 11.-Sec. lll

Deberán contar con procedimientos seguros de destrucción de los medios de almacenamiento de las bases de datos y archivos que contengan información sensible de sus usuarios, que prevengan su restauración a través de cualquier mecanismo o dispositivo.

SOX (Sarbanes-Oxley): Secciones 302 a 304

La Ley Sarbanes Oxley (SOX) regula la presentación de informes financieros y la auditoría de las empresas que cotizan en bolsa.
La ley establece requisitos estrictos para la presentación de informes, la divulgación y los controles internos, además de definir sanciones por incumplimiento.

Las secciones 302 y 304 de la Ley Sarbanes-Oxley (SOX) establecen estándares relacionados con la protección de datos, que se aplican a las empresas públicas y las firmas contables en EE. UU.

PCI-DSS (Payment Card Industry Data Security Standard)

Art 3.2: No almacene datos confidenciales de autenticación después de recibir la autorización (aun cuando estén cifrados). Si se reciben datos confidenciales de autenticación, convertir todos los datos en irrecuperables al finalizar el proceso de autorización

Art. 9.8: Destruya los medios cuando ya no sea necesario guardarlos por motivos comerciales o legales de la siguiente manera:

Los datos del titular de la tarjeta en los medios electrónicos deben quedar irrecuperables (por ejemplo, a través de un programa con la función de borrado seguro según las normas aceptadas en la industria para lograr una eliminación segura o mediante la destrucción física de los medios).

Art 9.8.2: Controle que los datos del titular de la tarjeta guardados en medios electrónicos sean irrecuperables para que no se puedan reconstruir:

Verifique que los datos del titular de la tarjeta guardados en dispositivos electrónicos sean irrecuperables (por ejemplo, a través de un programa con la función de borrado seguro según las normas aceptadas en la industria para lograr una eliminación segura o mediante la destrucción física de los medios).

MANUAL DE OPERACIÓN DEL SPEI/SPID

Se debe asegurar que al desechar o dar de baja componentes o dispositivos físicos (hardware) de la “Infraestructura Tecnológica”, la información contenida en éstos sea borrada de manera segura.

Ley General de Protección de Datos Personales en Posesión de Sujetos Obligados (LGPDPPSO)

Art. 24 : El responsable deberá establecer y documentar los procedimientos para la conservación y, en su caso, bloqueo y supresión de los datos personales que lleve a cabo, en los cuales se incluyan los periodos de conservación de los mismos, de conformidad con lo dispuesto en el artículo anterior de la presente Ley

Art. 33. : Para establecer y mantener las medidas de seguridad para la protección de los datos personales, el responsable deberá realizar, al menos, las siguientes actividades interrelacionadas:

Crear políticas internas para la gestión y tratamiento de los datos personales, que tomen en cuenta el contexto en el que ocurren los tratamientos y el ciclo de vida de los datos personales, es decir, su obtención, uso y posterior supresión.

Art. 52. : En la solicitud para el ejercicio de los derechos ARCO no podrán imponerse mayores requisitos que los siguientes:

Con relación a una solicitud de cancelación, el titular deberá señalar las causas que lo motiven a solicitar la supresión de sus datos personales en los archivos, registros o bases de datos del responsable.

CNBV (CUB, capítulo X)
LFPDPPP (Ley Federal de Protección de Datos Personales en Posesión de los Particulares)
PCI-DSS (Payment Card Industry Data Security Standard): Art.3.2 y Art 9.8
SOX (Sarbanes-Oxley) : Secciones 302 a 304
ISO/IEC 27000-series
NIST 800-88 Certificate of Destruction (National Institute of Standards and Technology Especial Publication)
Manual de Operación del (SPEI/SPID)
Health Insurance Portability and Accountability Act (HIPAA)
Information Technology for Economic and Clinical Health (HITECH)
Ley de Portabilidad y Responsabilidad de Seguros Médicos

Ley de Portabilidad y Responsabilidad de Seguros Médicos

La Ley de Portabilidad y Responsabilidad de Seguros Médicos de 1996 (HIPAA) y las reglamentaciones emitidas bajo HIPAA son un conjunto de leyes de atención médica de los EE. UU. que establecen requisitos para el uso, la divulgación y la protección de información médica identificable individualmente. El alcance de HIPAA se amplió con la promulgación de la Ley de tecnología de la información sanitaria para la salud económica y clínica (HITECH) en 2009.

HIPAA Security Rule - Subpart C

164.306 Normas de seguridad: Reglas generales.
164.308 Garantías administrativas.
164.314 Requisitos organizacionales
164.316 Políticas y procedimientos

Ley General de Protección de Datos Personales en Posesión de Sujetos Obligados (LGPDPPSO)

Art. 24: El responsable deberá establecer y documentar los procedimientos para la conservación y, en su caso, bloqueo y supresión de los datos personales que lleve a cabo, en los cuales se incluyan los periodos de conservación de los mismos, de conformidad con lo dispuesto en el artículo anterior de la presente Ley

Art. 33: Para establecer y mantener las medidas de seguridad para la protección de los datos personales, el responsable deberá realizar, al menos, las siguientes actividades interrelacionadas:

Crear políticas internas para la gestión y tratamiento de los datos personales, que tomen en cuenta el contexto en el que ocurren los tratamientos y el ciclo de vida de los datos personales, es decir, su obtención, uso y posterior supresión.

Ley General de Protección de Datos Personales en Posesión de Sujetos Obligados (LGPDPPSO)

Art. 24 : El responsable deberá establecer y documentar los procedimientos para la conservación y, en su caso, bloqueo y supresión de los datos personales que lleve a cabo, en los cuales se incluyan los periodos de conservación de los mismos, de conformidad con lo dispuesto en el artículo anterior de la presente Ley

Art. 33. : Para establecer y mantener las medidas de seguridad para la protección de los datos personales, el responsable deberá realizar, al menos, las siguientes actividades interrelacionadas:

Crear políticas internas para la gestión y tratamiento de los datos personales, que tomen en cuenta el contexto en el que ocurren los tratamientos y el ciclo de vida de los datos personales, es decir, su obtención, uso y posterior supresión.

Art. 52. : En la solicitud para el ejercicio de los derechos ARCO no podrán imponerse mayores requisitos que los siguientes:

Con relación a una solicitud de cancelación, el titular deberá señalar las causas que lo motiven a solicitar la supresión de sus datos personales en los archivos, registros o bases de datos del responsable.

Ley General de Protección de Datos Personales en Posesión de Sujetos Obligados (LGPDPPSO)

Art. 24 : El responsable deberá establecer y documentar los procedimientos para la conservación y, en su caso, bloqueo y supresión de los datos personales que lleve a cabo, en los cuales se incluyan los periodos de conservación de los mismos, de conformidad con lo dispuesto en el artículo anterior de la presente Ley

Art. 33. : Para establecer y mantener las medidas de seguridad para la protección de los datos personales, el responsable deberá realizar, al menos, las siguientes actividades interrelacionadas:

Crear políticas internas para la gestión y tratamiento de los datos personales, que tomen en cuenta el contexto en el que ocurren los tratamientos y el ciclo de vida de los datos personales, es decir, su obtención, uso y posterior supresión.

Art. 52. : En la solicitud para el ejercicio de los derechos ARCO no podrán imponerse mayores requisitos que los siguientes:

Con relación a una solicitud de cancelación, el titular deberá señalar las causas que lo motiven a solicitar la supresión de sus datos personales en los archivos, registros o bases de datos del responsable.

Regulaciones aplicables al sector financiero

Regulaciones aplicables al sector Gobierno Mexicano

Regulaciones aplicables al sector Salud

Regulaciones aplicables al sector Educación

Regulaciones aplicables al sector Manufactura

Regulaciones aplicables al sector Retail