Artículo 30 de la LEY DE PROTECCIÓN DE DATOS PERSONALES EN POSESIÓN DE SUJETOS OBLIGADOS DE LA CIUDAD DE MÉXICO.

Tienes que hacer un documento de seguridad que incluya, como mínimo, estos puntos: los datos del sistema donde guardas información (como el nombre del programa), una lista de todos los datos personales que tienes, qué debe hacer cada persona que los maneja (empleados o encargados), un registro de cualquier problema o falla, y cómo identificas y verificas quién accede a la información. También debe decir cómo controlas quién entra, cómo haces respaldos y recuperas la información si se pierde, un análisis de los riesgos posibles, otro análisis de las fallas de seguridad, el nombre del encargado de seguridad, un control de quién y cómo se conecta, cómo supervisas y revisas las medidas de seguridad, un plan de trabajo, y un programa de capacitación para todo el personal.

Texto oficial

Artículo 30. El responsable deberá elaborar el documento de seguridad que contendrá, al menos, lo siguiente: I. Datos Generales del Sistema; II. El inventario de datos personales en los sistemas de datos; III. Las funciones y obligaciones de las personas que intervengan en el tratamiento datos personales, usuarios y encargados, en el caso de que los hubiera; IV. Registro de incidencias; V. Identificación y autentificación; VI. Control de acceso; gestión de soportes y copias de respaldo y recuperación; VII. El análisis de riesgos; VIII. El análisis de brecha; IX. Responsable de seguridad; X. Registro de acceso y telecomunicaciones; XI. Los mecanismos de monitoreo y revisión de las medidas de seguridad; XII. El plan de trabajo; y XIII. El programa general de capacitación.