Familias de privacidad y de cadena de suministro

La familia PT reúne controles sobre el tratamiento de información de identificación personal. Dos de ellos sirven de brújula: PT-2, la autoridad para tratar datos personales (qué ley, contrato o consentimiento lo permite), y PT-3, los fines del tratamiento (para qué se tratan y que no se usen para otra cosa). Hay otros de transparencia, como el aviso de privacidad.

Importa distinguir que PT es una familia de privacidad dentro del mismo catálogo: SP 800-53B tiene incluso una línea base de privacidad que se aplica con independencia del nivel de impacto del sistema. Los marcos locales (por ejemplo la ley de datos personales de cada país) se leen aparte; PT no los sustituye.

Todo tratamiento debe poder decir con qué autoridad se hace. La tabla tratamientos_de_datos registra, para cada uno, lo que se declaró y lo que se observa. Un tratamiento sin autoridad documentada no tiene ahí una evidencia que defender, aunque la finalidad parezca razonable.

Los datos se recogen para un fin, y el control PT-3 pide que se traten solo para ese fin salvo que se comunique y se autorice otro. Compara la finalidad declarada con el uso observado. Un correo recogido para enviar un boletín y entregado a un tercero comercial cambió de fin sin pasar por quien lo consintió.

La familia SR trata la cadena de suministro. SR-2 pide un plan de gestión del riesgo de la cadena de suministro; SR-3 exige establecer controles y procesos para identificar y tratar debilidades de esa cadena; SR-6 pide evaluar y revisar a los proveedores y a sus productos y servicios con regularidad.

Los tres se complementan: el plan fija la estrategia, los controles y procesos la operan y la evaluación periódica comprueba que el proveedor sigue siendo confiable.

La criticidad de un proveedor decide cuánta vigilancia merece. Un proveedor de papel y toner sin evaluación es una anotación; un proveedor de la biblioteca de mapas base de un sistema público sin evaluación es una brecha del control de evaluación de proveedores, porque su fallo llega al ciudadano.