Amb el nou reglament UE 2016/679, el pentesting o Hacking Ètic vénen implícits en l'obligatorietat de la seguretat de les dades.
Es en aquesta adequació al risc on existeix una connexió de l'Hacking Ètic amb el nou Reglament Europeu de Protecció de Dades en establir l'apartat 2 de l'article 32 el següent:
“En avaluar l'adequació del nivell de seguretat ES TINDRAN PARTICULARMENT EN COMPTE ELS RISCOS que presenti el tractament de dades, en particular com a conseqüència de la destrucció, pèrdua o alteració accidental o il·lícita de dades personals transmeses, conservades o tractades d'una altra forma, o la comunicació o accés no autoritzats a aquestes dades.”
I què és l'Hacking Ètic sinó les mesures de seguretat ofensiva que analitzen els riscos per evitar l'accés il·lícit a les dades o la comunicació o accés no autoritzats a les mateixes?
Així doncs, i per imperatiu legal és imprescindible abans de realitzar una consultoria i/o adaptació d'una activitat a la normativa de protecció de dades personals, una auditoria de seguretat informàtica prèvia que poden, i al meu parer han d'incloure sessions de Pentesting i Hacking Ètic per conèixer els riscos concrets que afecten cada tractament de dades per una possible alteració o accés il·lícit o no autoritzat a les mateixes.
Després del que hem vist és lògic que l'assessor o consultor ha de demanar consell a l'auditor informàtic sobre quines són les millors i més adequades mesures de seguretat personalitzades i adaptades per a aquest sistema informàtic en concret.
El repetit article 32 només proposa com a mesures de seguretat la seudonimització i el xifrat de dades personals i cita la capacitat de garantir la confidencialitat, integritat, disponibilitat i resiliència permanents dels sistemes i serveis de tractament, i la capacitat de restaurar la disponibilitat i l'accés a les dades de forma ràpida en cas d'incident físic o tècnic, així com un procés de verificació, avaluació i valoració regulars de l'eficàcia de les mesures tècniques i organitzatives per garantir la seguretat del tractament.
En ser ara la política de seguretat de cada entitat la que es dissenyi a l'efecte per a cada responsable de tractament conforme als riscos reals que comporti aquest tractament, l'àmbit legal haurà de recolzar-se en l'àmbit tècnic, sent necessari que els informàtics es compenetrin i s'entenguin amb els juristes que dissenyin la consultoria o adaptació a la normativa de protecció de dades.
