¿En qué beneficia obtener una certificación en ISO 27001 para los centros educativos? La norma ISO 27001 ha sido desarrollada para ayudar a las empresas a gestionar la Seguridad de la Información que manejan para el desarrollo de su labor, independientemente de su sector de actividad, su tamaño o su titularidad (pública o privada).

Certificarse en ISO 27001 resulta particularmente útil y beneficioso para aquellas empresas que deben gestionar información sensible o especialmente protegida, como es el caso de los centros educativos, o para aquellas entidades en las que los activos de información que manejan son clave para la obtención de sus objetivos (fidelización de clientes, prototipos o patentes, etc.).

Además, debido al auge de las TIC, todo tipo de entidades son más dependientes de la tecnología y, por tanto, más vulnerables a ciberataques y malware. Si pensamos en los centros educativos, un ataque cibernético o brecha de seguridad puede afectar en gran medida la actividad del centro (solo hay que pensar en las intranets a través de las que se suele establecer contacto con las familias o en las que se llevan a cabo las clases online o se comparten contenidos y evaluaciones), derivar en una pérdida de material que repercuta en la calidad de los contenidos que se imparten o en el acceso indebido a información protegida (fotos, datos médicos de los alumnos, datos de contacto, cuentas bancarias, etc.) y sus posibles consecuencias.

¿Qué leyes deben tener en cuenta en el manejo de estos datos?

Los centros educativos tratan a diario, para poder ejercer su función, con datos de carácter personal de sus alumnos (muchas veces menores de edad), de sus familiares o tutores, del cuadro docente y del personal de administración y servicios (extraescolares, servicios de acogida de estudiantes o comedor, limpieza…). Por tanto, deben cumplir, con lo dispuesto en el Reglamento General de Protección de Datos (RGPD) que, entre otras cosas, dice que el centro debe consignar un responsable del tratamiento de los datos y velar por que se haga un buen uso de los mismos y se respeten los derechos de los titulares.

Pero, es más, según la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales todos los centros educativos que ofrezcan alguna de las siguientes enseñanzas, deberán contar también con la figura de un DPD o Delegado de Protección de Datos:  

• Educación infantil.                                            
• Educación primaria.
• Educación secundaria obligatoria.
• Bachillerato.
• Formación profesional.
• Enseñanzas de idiomas.
• Enseñanzas artísticas y
• Enseñanzas deportivas.
• Educación de personas adultas.
• Enseñanza universitaria.

Las funciones de un DPD son las de ejercer como interlocutor con los interesados y, además, se encarga de asesorar e informar al responsable sobre el cumplimiento de la normativa sobre protección de datos en el centro.

Tratamiento de datos de carácter personal en los centros educativos y principales brechas de seguridad

En cuanto a la gestión de datos de carácter personal, los centros educativos, presentan algunas particularidades.

Por un lado, suelen tratar con datos especialmente protegidos. Por ejemplo, datos relacionados con la salud de sus alumnos: gestión de alergias alimentarias en comedores escolares, adaptaciones curriculares a alumnos con necesidades educativas especiales, administración de medicación para alumnos con enfermedades crónicas, etc.

Por otro lado, en muchos casos, en sus bases de datos albergan información de menores, por lo que son sus padres o tutores legales los que deben autorizar el tratamiento de los datos, lo que requiere de un cuidado especial en la redacción de las clausulas de autorización.  

Implantar un Sistema de Gestión de la Seguridad de la Información bajo la norma ISO 27001 para los centros educativos les ayudará a estar al día de las novedades normativas en materia de protección de datos, a revisar y actualizar con frecuencia los protocolos y  clausulas informativas utilizadas.

También le será de gran utilidad para crear conciencia entre el equipo docente y personal de administración y servicios que trabaja en el centro de la importancia de una correcta gestión  y tratamiento de los datos.

Y es que si nos fijamos en las brechas de seguridad e incidencias más habituales que se reportan a la AEPD (Agencia Española de Protección de Datos) por parte de los centros educativos la mayoría suceden por un desconocimiento o falta de capacitación de los profesionales implicados o por la inexistencia de unos protocolos claros.

Algunas de estas brechas de seguridad son:

• Robo o pérdida de dispositivos informáticos sin clave de seguridad con datos de carácter personal descargados en local o sin cifrar.
• Entrada de virus en los dispositivos informáticos por correo electrónico u otras vías.

• Eliminación de archivos o carpetas con datos de carácter personal por error y sin que haya una copia de seguridad de los mismos.
• Envío de emails a varios destinatarios sin poner sus direcciones de correo electrónico en copia oculta.
• Envío de documentación errónea o a un destinatario erróneo sin cifrar.
• Difusión de imágenes sin consentimiento por error o desconocimiento.
• Cesión de datos a terceros sin consentimiento por error o desconocimiento.

Ventajas de certificarte en ISO 27001 con RCQuality

Los centros educativos, por la tipología de datos que manejan y, por la cantidad de personas que están involucradas en su tratamiento, deben ser muy cuidadosos en la gestión de la seguridad de la información.

En RCQuality podemos ayudar a los centros educativos a diseñar e implantar un Sistema de Gestión de la Información que les ayude a cumplir con la normativa vigente y prevenir que se produzcan brechas de seguridad significativas que dificulten o entorpezcan su labor o que puedan derivar en sanciones o en una pérdida de reputación del centro.  Además también podemos formar al equipo en seguridad de la información lo que repercutirá en su motivación y su trabajo diario. 

Consúltanos sin compromiso sobre nuestro servicio de consultoría y certificación en ISO 27001 para los centros educativos