Cuantifique el alcance de la brecha una sola vez y propáguelo a donde haga falta

Cuando se produce una violación de datos personales, el RGPD le concede 72 horas para notificar a la autoridad de control, y la notificación debe indicar el número aproximado de interesados y de registros afectados. Si se equivoca con esa cifra, habrá presentado un informe regulatorio inexacto; si la corrige tarde, da a entender que su gestión de incidentes no está bajo control.

El recuento rara vez es estable. Crece a medida que avanza el análisis forense, y una misma brecha suele afectar a varias actividades de tratamiento, cada una con su propia población afectada. Cuando los datos del incidente y los registros de tratamiento residen en lugares separados, cada revisión implica recontar manualmente, y una nueva oportunidad de introducir un error.

Sin una visión única y categorizada de quién resultó afectado y en qué medida, la evaluación de la gravedad se convierte en conjetura, justo cuando necesita que sea defendible.

Aquí el seguimiento de personas afectadas no es un registro independiente: reside dentro de una única plataforma unificada de privacidad y seguridad de la información. Como los incidentes, las actividades de tratamiento y el impacto de las brechas comparten el mismo modelo de datos, un recuento revisado fluye hacia sus registros de tratamientos vinculados sin reintroducir datos. A diferencia de las herramientas de GRC de uso general que acoplan el seguimiento de incidentes a un registro no relacionado, el vínculo entre una brecha y el tratamiento al que afectó está integrado de origen, por lo que el número que notifica y el número de sus registros son el mismo número.