Article 19. Gestió de la seguretat basada en els riscos i anàlisi i gestió de riscos

Article 19. Gestió de la seguretat basada en els riscos i anàlisi i gestió de riscos

1. L’anàlisi i la gestió dels riscos és part essencial del procés de seguretat i ha de ser una activitat contínua i permanentment actualitzada.

2. La gestió dels riscos permet mantenir un entorn controlat i minimitzar els riscos a nivells acceptables. La reducció a aquests nivells s’ha de fer mitjançant una aplicació de mesures de seguretat apropiada, de manera equilibrada i proporcionada a la naturalesa de la informació tractada, dels serveis que cal prestar i dels riscos als quals estiguin exposats.

3. Tots els sistemes afectats per aquesta política de seguretat i tots els tractaments de dades personals han de ser objecte d’una anàlisi de riscos, avaluant les amenaces i els riscos als quals estan exposats. Aquesta anàlisi s’ha de fer:

a) Regularment, almenys una vegada a l’any.

b) Quan canviïn els serveis prestats o la informació tractada de manera significativa.

c) Quan s’esdevingui un incident greu de seguretat o es detectin vulnerabilitats greus.

4. El delegat de la seguretat de la informació és l’encarregat que es porti a terme l’anàlisi de riscos, així com d’identificar mancances i debilitats i posar-les en coneixement del Comitè de Seguretat de la Informació.

5. Aquesta gestió s’efectua per mitjà de l’anàlisi i el tractament dels riscos als quals està exposat el sistema. S’ha d’emprar alguna metodologia reconeguda internacionalment. Les mesures adoptades per mitigar o suprimir els riscos han d’estar justificades i, en tot cas, hi ha d’haver una proporcionalitat entre les mesures i els riscos.