Ciberseguridad
Otras normativas e información susceptible
Habilidades y conocimientos básicos / Normativas y Estándares
Una obligación depende de jurisdicción, sujetos y fecha de vigencia. Este mapa sirve para ubicar fuentes; antes de aplicar una regla o una sanción hay que leer sus condiciones. Nada de multas invocadas fuera de contexto.
A tener en consideración:
Datos regulados
- Información de salud protegida: El concepto PHI tiene un ámbito definido en HIPAA; no toda información de salud queda automáticamente bajo esa ley. Se trata de información de salud susceptible de identificación personal que se relaciona con los siguientes aspectos:
- Afección o salud física o mental de una persona, sin importar si es pasada, presente o futura
- Administración de la atención médica a la persona por parte de un proveedor cubierto (por ejemplo, hospital o médico)
- Pagos pasados, presentes o futuros por la prestación de atención médica a la persona
- Información de la industria de tarjetas de crédito o de pago (PCI): Se trata de información relacionada con tarjetas de crédito, débito y otras formas de pago. Los datos de la PCI se rigen por las Normas de Seguridad de Datos de la Industria de Tarjetas de Pago (PCI DSS), un estándar global de seguridad de la información diseñado para evitar fraudes mediante un mayor control de los datos de las tarjetas de crédito.
- Información de identificación personal (PII): Se refiere a información identificable o vinculable a una persona según el marco usado. No toda PII tiene la misma sensibilidad ni todas las normas usan idéntica definición. Entre los ejemplos, se incluyen direcciones, números de seguridad social o números de ID personal similares.
- Cumplimiento de la Ley Federal de Administración de Seguridad de la Información (FISMA): La FISMA exige a las agencias federales y a quienes prestan servicios en su nombre que elaboren, documenten y apliquen programas específicos de seguridad de TI, sin que esta frase permita deducir una obligación universal de almacenar todos los datos en suelo estadounidense. La localización debe contrastarse con los requisitos aplicables a ese sistema. Por ejemplo, organizaciones como la NASA, los Institutos Nacionales de la Salud, el Departamento de Asuntos de Veteranos (y cualquier contratista que procese o almacene datos para ellas) deben cumplir con la FISMA.
- Cumplimiento de las reglamentaciones de la administración de exportaciones (EAR): Es un conjunto de reglamentaciones gubernamentales de EE.UU. administradas por la Oficina de Industria y Seguridad (BIS) de la Secretaría de Comercio de EE.UU. Regula exportaciones, reexportaciones y ciertas transferencias dentro de un país de artículos sujetos a EAR; el alcance y las excepciones deben comprobarse. Los bienes de uso doble son artículos que tienen aplicaciones tanto civiles como militares. El uso doble describe aplicaciones civiles y militares posibles; no exige transformar físicamente el artículo ni vuelve idénticos los requisitos de todos los bienes.
ISO/IEC 29100:2024
Ficha pública ISO/IEC 29100:2024. La ficha confirma propósito y alcance; el enlace OBP anterior necesitaba JavaScript. Marco de referencia esencial para la protección de la información de identificación personal (PII) en los sistemas de tecnología de la información.
- Terminología común sobre privacidad
- Definición de actores y roles en el tratamiento de datos personales
- Principios clave como consentimiento, minimización de datos, y seguridad de la información
- Consideraciones y principios para proteger PII; no se presenta como lista de requisitos de una ley concreta.
GDPR
General Data Protection Regulation
El GDPR regula tratamientos de datos bajo su ámbito territorial y material; no depende únicamente de que una persona tenga ciudadanía europea. Las directrices del EDPB sobre el artículo 3 son la referencia para revisar ese alcance. Sus puntos más importantes:
- Identificar una base jurídica válida: el consentimiento es una de las seis bases, no la única. EDPB: bases jurídicas.
- Derecho al olvido y portabilidad de datos
- Las sanciones dependen del tipo de infracción y de las condiciones del artículo 83.
- Examinar establecimiento, oferta de bienes o servicios y seguimiento de personas según el artículo 3; no generalizar por nacionalidad.
Ley de Protección de Datos Personales de Chile
La nueva ley de protección de datos en Chile, busca actualizar sus leyes de protección y acercarse al estándar europeo.
La ley busca:
- Regular el tratamiento de datos personales
- Mejorar la protección de los derechos de los titulares de los datos
- Actualizar la ley 19.628 sobre protección de la vida privada
Se establecen los siguientes derechos para los titulares de los datos:
- Acceder a sus propios datos
- Rectificar o modificar datos incorrectos
- Suprimir datos sin fundamento legal
- Oponerse al tratamiento o uso de sus datos
- Solicitar copia de sus datos
- Bloquear o suspender el tratamiento de sus datos
La Ley 21.719 contempla los siguientes máximos generales, sujetos al régimen y condiciones del texto legal:
- Hasta 5.000 UTM por infracciones leves
- Hasta 10.000 UTM por infracciones graves.
- Hasta 20.000 UTM por infracciones gravísimas.
Los porcentajes del 2% y 4% no son alternativas automáticas para cualquier infracción: el texto los condiciona, entre otros requisitos, a reincidencia y al tipo de empresa. Fuente: Ley 21.719, BCN.
PCI-DSS
Payment Card Industry Data Security Standard Proviene de la industria de tarjetas de pago y busca la protección de los datos de transacciones con tarjetas de crédito/débito
- Estándar global
- Requisitos de cifrado, control de acceso y monitoreo de redes
- Su alcance incluye entidades que almacenan, procesan o transmiten datos de cuenta y otras que pueden afectar la seguridad del entorno correspondiente; hay que determinar el alcance concreto
- El incumplimiento puede tener consecuencias bajo programas y contratos de marcas/adquirentes; PCI SSC no impone por sí mismo una multa legal universal
HIPAA
Si bien es estado unidense, es útil mencionarla como un estándar sobre la protección de información médica.
- Regula el manejo de información de salud protegida (PHI)
- Establece estándares de privacidad y seguridad para registros médicos
- Los límites de sanción varían por categoría y actualización; consultar el texto aplicable con su fecha y condiciones.
- Las reglas HIPAA aplican a entidades cubiertas y asociados de negocio según sus definiciones; no a cualquier persona o empresa que maneje un dato médico. HHS: ámbito.
Fecha de vigencia en Chile: al 2026-10-19, la Ley 21.719 está publicada y su entrada en vigor está prevista para el 1 de diciembre de 2026 según BCN / Ley Chile. Las cifras, sujetos y sanciones resumidos arriba requieren revisión específica contra el texto legal y sus condiciones; no deben usarse como una tabla exhaustiva de obligaciones vigentes.
Fuentes de alcance: BIS, artículos sujetos a EAR, NIST, contexto FISMA, PCI SSC y EDPB, directrices territoriales completas.
+----------------------------------------+
| Floure & |
| Tachibana's guild |
| [Hikari · Nozomi · Nao · Sena] |
| SEAL: sha256/12: 65ebd75f99c6 |
| STATUS: LITURGY_IN_PROGRESS |
+----------------------------------------+
Conexiones
Desde este apunte · 0
Sin enlaces salientes a otras notas.