Plan de Respuesta a Incidentes

1. Objetivo

Definir el procedimiento de detección, contención, erradicación, recuperación y notificación de incidentes de seguridad.

2. Definiciones

• Incidente: evento que compromete o puede comprometer la seguridad.
• Violación de seguridad de datos personales: incidente que afecta a datos personales conforme al art. 4.12 RGPD.
• Riesgo para derechos y libertades: probabilidad de daño físico, material o inmaterial a los interesados.

3. Fases del plan

1. Detección: monitorización, alertas, reporte de usuarios.
2. Análisis: clasificación, alcance, impacto.
3. Contención: aislamiento, bloqueo de cuentas, mitigación.
4. Erradicación: eliminación de la causa raíz.
5. Recuperación: restauración de servicio y datos.
6. Notificación: a AEPD en 72 h si hay riesgo para derechos; a interesados si riesgo alto.
7. Lecciones aprendidas: informe post-mortem.

4. Clasificación de severidad

5. Notificación al Responsable

El Encargado notificará al Responsable en 48 h máximo, con la información del art. 33.3 RGPD.

6. Notificación a la AEPD

El Responsable notificará a la AEPD en 72 h si concurre riesgo. Si no se conoce el alcance, se notificará de forma parcial y se completará después.

7. Comunicación a interesados

Si existe riesgo alto, el Responsable comunicará a los interesados sin dilación indebida con lenguaje claro, indicando:

• Naturaleza de la violación.
• Datos de contacto para más información.
• Consecuencias probables.
• Medidas adoptadas.
• Recomendaciones al interesado.

8. Registro

Se mantendrá registro interno de todos los incidentes, incluso los no notificables, conforme al art. 33.5 RGPD.

9. Simulacros

Se realizarán simulacros anuales.

10. Revisión

Revisión anual y tras incidente grave.