Gestión de capacidad y eliminación del dato (eliminación y destrucción de información)

ÍNDICE DE CONTENIDOS:
• 1. Normativa de Referencia
• 2. Clasificación y ciclo de vida
• 3. Borrado
• Plataforma de clientes
• Plataforma de Yunbit
• 4. Destrucción física
• Destrucción de Soportes Físicos (Papel y Hardware)
• Papel
• Hardware - Soporte electrónicos (Discos, USBs)
• Opción 2: procedimiento para el registro y certificado interno - TIQUE DE TRABAJO

1. Normativa de Referencia

• Real Decreto 311/2022 (ENS): Medidas de protección de los soportes de información.
• RGPD y LOPDGDD: Cumplimiento del derecho al olvido y plazos de conservación.
• Guía CCN-STIC 831: Borrado seguro de soportes de almacenamiento.
• Norma DIN 66399: Estándares para la destrucción de soportes de datos.

2. Clasificación y ciclo de vida

La eliminación se ejecutará cuando:

1. Haya expirado el plazo legal de conservación.
2. El cliente haya solicitado la supresión (derecho al olvido).
3. El soporte físico sea defectuoso o deba ser retirado/reutilizado.

3. Borrado

Plataforma de clientes

Se define un proceso para eliminar la información de clientes y aplicaciones cuando se dan de baja.

• Destrucción solicitada por el cliente o según contrato:
  • el cliente solicita la baja, o su contrato expira;
  • el departamento comercial negocia la fecha de fin de servicio y notifica a el equipo de desarrollo;
  • al día siguiente de la fecha acordada, se da de baja la plataforma del cliente (de forma que ya no sea accesible) y servicios asociados (si hay tareas programadas asociadas se desactivan);
  • pasado un mes natural, los datos del cliente se eliminan de los sistemas de Yunbit

• Se mantienen los datos:
  • mientras alguna obligación legal o legítima lo indique: hasta un mínimo de 5 años por si hubiera algún requisito legal que atender

Plataforma de Yunbit

Eliminación/ destrucción según:

• Política Pública de protección de datos
• Categorías de datos del análisis de riesgos
• Medidas técnicas y organizativas sobre protección de datos

4. Destrucción física

Cuando el soporte llega al final de su vida útil, se procederá a su destrucción física irreversible

• Eliminación física: Se borra el registro de la tabla de base de datos correspondiente.
• Logs de recuperación: Se mantiene un registro en el log de operaciones que incluye quién realizó el borrado, a qué hora y el comando SQL ejecutado para una posible recuperación rápida.
• Gestión de backups: Se debe asegurar que la información no sea recuperable una vez transcurrido el tiempo de retención de las copias de seguridad (actualmente configurado hasta 5 años para algunos volcados en Google Cloud).

Destrucción de Soportes Físicos (Papel y Hardware)

Se podrá realizar internamente y con los medios técnicos que garanticen la irreversibilidad del proceso según la norma DIN 66399.

Papel

• Documentación en papel: Destructora de papel que cumplan al menos con el nivel de seguridad P-4.

Hardware - Soporte electrónicos (Discos, USBs)

• Opción 1: recurrir a un proveedor externo certificado.
• Opción 2: asegurar la destrucción física total del soporte (trituración o perforación de los chips de memoria).

Opción 2: procedimiento para el registro y certificado interno - TIQUE DE TRABAJO

Para que el borrado tenga validez ante una auditoría del ENS, debéis generar una Acta de Destrucción interna firmada por el Responsable de Seguridad. El proceso sería el siguiente; mediante tique de trabajo:

1. Identificación del activo: Anotar el ID del activo o número de serie del soporte que se va a destruir.
2. Verificación del motivo: Confirmar que ha expirado el plazo legal de conservación o que el cliente ha solicitado formalmente la supresión.
3. Ejecución y Registro: Realizar la destrucción y completar un registro que incluya:
   • Fecha y hora de la eliminación.
   • Identificación de la información o soporte eliminado.
   • Método empleado (ej: borrado mediante sobrescritura, trituración mecánica).
   • Identificación del operario y validación del Responsable de Seguridad.