Nuevo Hype Cycle™: avances y desafíos en la modernización de servicios sociales. Descubre el informe de Gartner.
El Reglamento General de Protección de Datos (RGPD) regula el tratamiento de datos personales en todas las fases de un proceso, incluido el desarrollo de software. Su alcance no se limita a los entornos de producción. Los entornos de desarrollo, preproducción y pruebas también manejan datos personales y quedan sujetos a las mismas obligaciones.
Estos entornos no productivos suelen recibir menos atención que los sistemas en producción, lo que los convierte en un punto de exposición frecuente. En este artículo repasamos qué exige el RGPD cuando se trabaja con datos personales durante el desarrollo, qué riesgos conlleva el uso de datos reales en pruebas y cómo tratar los datos de prueba de forma conforme con la normativa.
El RGPD exige la protección de datos desde el diseño y por defecto (art. 25). Esto obliga a incorporar la seguridad de los datos desde la fase inicial de cualquier operación, no solo cuando el software llega a producción. En la práctica, un equipo de desarrollo debe decidir de antemano cómo probará las aplicaciones, cómo gestionará las migraciones de datos y qué herramientas usará para sostener los derechos de las personas afectadas.
A pesar de esta exigencia, los entornos de desarrollo siguen siendo un área desatendida. Según un informe de Argon, el 80% de las empresas reconocía que sus entornos de desarrollo no resistirían un ciberataque, y solo un 30% contaba con protección específica para esta fase. Compañías de gran tamaño han sufrido ataques dirigidos precisamente a entornos de preproducción o desarrollo. El instituto Ponemon apunta que buena parte de las brechas en estos entornos se originan en negligencias o acciones de empleados y subcontratistas, ya que los entornos no productivos están más expuestos que los de producción.
La protección de las personas físicas frente al tratamiento de datos personales es un derecho fundamental reconocido por la Constitución española (art. 18.4), la Carta de los Derechos Fundamentales de la Unión Europea (art. 8.1) y el Tratado de Funcionamiento de la Unión Europea (art. 16.1). Aplicado a los entornos de desarrollo, este marco se concreta en varias fuentes:
En conjunto, la normativa fija requisitos detallados para que una empresa pueda emplear datos procedentes de producción en entornos de desarrollo y señala la necesidad de técnicas de anonimización, seudonimización y enmascaramiento adecuadas.
Cuando los datos personales reales llegan a un entorno de desarrollo sin las medidas adecuadas, aparecen varios riesgos.
La fuga de información es la salida de datos que deberían permanecer confidenciales. En entornos de desarrollo son frecuentes los accesos indebidos desde la propia organización, que pueden abrir la puerta a la red de información y a la infraestructura de la empresa. Evitar la presencia de datos sensibles mediante anonimización o enmascaramiento reduce este riesgo y mantiene esos datos fuera del entorno de desarrollo.
El acceso fraudulento a un entorno de desarrollo permite introducir fallos o vulnerabilidades en el software en construcción. Estos fallos tienen un impacto elevado y pueden derivar en costosos procesos de reingeniería.
El uso de datos personales reales sin las salvaguardas del artículo 32 y de las directrices del EDPS supone un incumplimiento directo de la normativa, con las sanciones y responsabilidades asociadas.
Un incidente de seguridad o un incumplimiento en entornos de desarrollo tiene consecuencias en tres planos.
El RGPD contempla multas de hasta el 4% de la facturación anual mundial o 20 millones de euros, la cifra que resulte mayor (art. 83). Las autoridades europeas han aplicado sanciones relevantes desde la entrada en vigor de la norma, y los importes acumulados han crecido de forma sostenida año tras año.
Los incidentes con datos personales dañan la confianza de los clientes y la imagen corporativa. En muchos casos, esa pérdida de confianza se traduce en pérdida de clientela y de ingresos.
Un ataque afecta a todo el negocio. La asignación de recursos a la gestión de la crisis y la corrección de fallos derivados de vulnerabilidades en desarrollo multiplican el coste económico del incidente.
De lo anterior se deduce que la gestión de los datos de prueba es un asunto a resolver con eficiencia. El objetivo es disponer de datos fiables, correctos, complejos y coherentes que, al mismo tiempo, cumplan la normativa y protejan la privacidad de las personas.
Sin las herramientas adecuadas, generar datos de prueba consume un volumen notable de esfuerzo, recursos y tiempo. En algunos desarrollos, esta tarea llega a ocupar hasta la mitad del tiempo que un ingeniero de pruebas dedica a un proyecto.
La Agencia Española de Protección de Datos (AEPD) recomienda las siguientes prácticas:
La herramienta icaria TDM (Test Data Management) se orienta a gestionar eficaz y eficientemente los datos en entornos de desarrollo, ocupándose de las siguientes funciones:
Entre los beneficios de esta herramienta se encuentran:
¿Quieres saber más sobre cómo cumplir con el tratamiento de datos personales en entornos de desarrollo? Solicita una demo de nuestra herramienta icaria TDM y experimenta de primera mano cómo puede ayudar a tu negocio.
