Verificación de antecedentes penales del personal en el KSC: cómo definir el alcance y diseñar un proceso conforme

La verificación de antecedentes penales del personal en el KSC no es un control general de recursos humanos ni un trámite previo a una auditoría. Su alcance debe basarse en un fundamento concreto, en la condición de la organización y en las funciones y privilegios reales de cada persona. Empezar por recopilar certificados, sin clasificar antes los roles, puede dejar fuera a personas sujetas al requisito y, al mismo tiempo, provocar un tratamiento injustificado de datos relativos a condenas penales. Por ello, primero debe determinarse a quién puede verificarse y con qué fundamento; después, separar las responsabilidades de obtención de la información, evaluación del resultado y decisión de acceso; y, finalmente, limitar los registros a los datos necesarios para demostrar la conformidad.

El punto de partida no es el certificado, sino el alcance

La decisión de verificar los antecedentes penales no debe comenzar solicitando documentación al personal. En primer lugar, la dirección debe confirmar la condición de la organización dentro del sistema KSC e identificar la disposición concreta de la que se deriva la obligación respecto de determinadas personas. Una referencia genérica a NIS2, la preparación de una auditoría o la implantación de un sistema de gestión de la seguridad de la información no justifican someter a control a todos los empleados, colaboradores y proveedores.

Los límites del proceso deben definirse por separado para cada fuente del requisito. La Directiva NIS2, la ley polaca sobre el KSC en su redacción vigente, las disposiciones de desarrollo, la normativa sectorial, las condiciones contractuales y las reglas internas de concesión de acceso no son fuentes equivalentes. Para cada una deben determinarse los ámbitos organizativo, personal y temporal: a quién afecta el requisito, por qué motivo, desde cuándo, si contempla excepciones y cuándo exige una nueva evaluación. Diseñar el procedimiento antes de completar este análisis puede llevar tanto a omitir personas sujetas a la obligación como a tratar sin fundamento datos relativos a condenas penales.

El resultado de esta clasificación debe recogerse en una nota concisa aprobada por el responsable de cumplimiento. El documento debe indicar la condición de la entidad, el fundamento jurídico, la fecha y el marco normativo considerados en el análisis, los roles incluidos y las excepciones justificadas. La categoría «personal informático» es demasiado genérica. Es necesario determinar si el requisito comprende a los administradores con privilegios elevados, al personal que gestiona incidentes, al personal de proveedores y a los suplentes que desempeñan estas funciones de forma periódica. También debe asignarse un responsable del análisis jurídico y una fecha para revisarlo, especialmente cuando cambien la normativa, el alcance de la actividad o el modelo de acceso.

La definición de los límites de la verificación debe formar parte del proyecto «SGSI conforme con la ley sobre el KSC: cómo definir el alcance, los responsables y el calendario de implantación». El alcance del sistema, las responsabilidades de los procesos y los roles privilegiados deben proceder del mismo mapa organizativo. Solo entonces puede determinarse de forma responsable si la obligación resulta aplicable a la organización conforme al marco jurídico vigente, qué disposición permite obtener información sobre antecedentes penales y respecto de qué categorías de personal es admisible hacerlo.

A quién comprende la verificación

El alcance personal no viene determinado por el nombre del puesto ni por la modalidad contractual. Lo determinante es el contenido del requisito aplicable, contrastado con las tareas, los privilegios y la influencia real de la persona sobre la seguridad del servicio. La clasificación debe considerar el acceso lógico y físico, la capacidad para modificar configuraciones, la participación en la gestión de incidentes, el impacto sobre la continuidad del negocio y los privilegios temporales o de emergencia. No deben incluirse preventivamente roles sin relación con el servicio, sistema, instalación o ámbito protegido que señale la disposición correspondiente.

La principal herramienta para adoptar decisiones es una matriz de roles gestionada conjuntamente por el propietario del proceso, la persona responsable de seguridad de la información y recursos humanos, con la participación del responsable de cumplimiento. Esta matriz debe estar vinculada a la gestión de identidades y privilegios, así como a la segregación de funciones. Una simple relación de empleados no es suficiente. También se necesitan registros de cuentas privilegiadas, accesos administrativos, físicos y de emergencia, además de las personas externas que tengan acceso efectivo a los sistemas o procesos incluidos en el alcance.

Un administrador técnico de un proveedor puede disponer de privilegios más amplios que un directivo interno, aunque no sea empleado de la organización. Una clasificación basada en el tipo de contrato podría excluir, por tanto, a una persona con una influencia significativa sobre la seguridad. Esto no significa que el administrador externo esté sujeto automáticamente al mismo procedimiento que un empleado. El alcance de los datos, la forma de acreditar el cumplimiento del requisito y la responsabilidad por su evaluación deben derivarse de un fundamento jurídico admisible o de un contrato adecuadamente configurado. Los accesos temporales y de emergencia deben evaluarse según el alcance potencial de las operaciones, no por su frecuencia de uso prevista.

La matriz debe incluir a empleados, miembros de órganos de gobierno, personas vinculadas mediante otras modalidades, administradores externos y personal de proveedores y subcontratistas, pero únicamente dentro de los límites del requisito aplicable. Debe revisarse cuando cambien la arquitectura de privilegios, el alcance del servicio, el proveedor o la normativa. El número de roles privilegiados y de personas externas con acceso efectivo determina la dimensión del proceso y constituye un dato de entrada para planificar los recursos descritos en el artículo «Cuánto cuesta implantar NIS2 y la uKSC: cómo elaborar el presupuesto de auditoría, documentación, formación y controles sin errores costosos».

Dónde se originan los costes y los riesgos

El mayor riesgo no procede de la obtención técnica de la información sobre antecedentes penales, sino de iniciar el control sin un fundamento inequívoco, una finalidad definida y un alcance limitado. Los datos relativos a condenas e infracciones penales están sujetos a un régimen especial de tratamiento. Ni el consentimiento ordinario de la persona ni una cláusula genérica de la política de recursos humanos deben considerarse una justificación automática para obtenerlos. Antes de elegir la modalidad de verificación, debe determinarse qué información exige realmente la disposición aplicable, a quién comprende y quién responde de evaluar el resultado.

El coste aumenta cuando la organización solicita documentos completos a todo el personal, conserva copias sin un periodo de retención definido, las envía por correo electrónico ordinario o permite el acceso de recursos humanos, responsables jerárquicos, seguridad y auditores sin separar debidamente los permisos. Cada copia adicional incrementa el esfuerzo necesario para proteger los datos, controlar el acceso, atender solicitudes y realizar una eliminación segura. Por tanto, la dirección no solo debe medir el número de verificaciones realizadas, sino también cuántas personas tienen acceso a los documentos y durante cuánto tiempo se conservan realmente.

Otra fuente de riesgo es la ausencia de criterios para evaluar el resultado. La información revelada durante la verificación no puede dar lugar a una decisión improvisada por un responsable ni a una valoración desvinculada del requisito aplicable al rol correspondiente. Recursos humanos puede obtener correctamente el documento, pero el proceso seguirá siendo defectuoso si no se ha definido quién evalúa su relevancia, con qué fundamento decide autorizar el acceso y si resulta necesario conservar una copia. El procedimiento debe establecer el mecanismo de escalado y un plan de reacción dentro del plan de control: cómo definir las actuaciones cuando el proceso sale de los límites establecidos.

La evidencia de que el control se ha realizado debe diferenciarse de la conservación del contenido del documento. En función del fundamento aplicable y de la obligación probatoria, puede ser suficiente registrar la fecha de comprobación, el alcance de la verificación, la persona autorizada para evaluar, el resultado de la clasificación y la decisión de acceso, sin conservar el contenido íntegro del certificado. Cuando sea necesario guardar una copia, deben definirse sus destinatarios, las medidas de protección y la fecha de eliminación. Este enfoque combina la minimización de datos con la obligación de demostrar la conformidad, en lugar de sustituir el análisis jurídico por una acumulación preventiva de documentos.

Proceso desde la clasificación hasta la autorización de acceso

El proceso debe comenzar antes de obtener información sobre antecedentes penales. En primer lugar, el propietario del proceso clasifica el rol, identifica el fundamento jurídico vigente y determina el alcance de la comprobación requerida. A continuación, la organización informa a la persona sobre la finalidad, el procedimiento y las reglas de tratamiento de datos, selecciona una fuente de información admisible y verifica su identidad. Las siguientes puertas de decisión comprenden la evaluación del resultado, la decisión de autorización, la concesión de privilegios y la creación del registro de control.

Para cada actividad deben establecerse un responsable, los datos de entrada necesarios, el plazo y el modo de actuación cuando falte el documento, se incumpla el plazo o el resultado requiera aclaraciones. La comprobación formal no equivale a una decisión operativa. Recursos humanos puede informar a la persona, recibir el documento y confirmar que los datos están completos, pero no debería decidir por sí solo sobre el acceso a un sistema o infraestructura.

La decisión final debe corresponder a un rol de negocio designado, normalmente al propietario del sistema o a la persona responsable del área operativa, con participación de la función de seguridad. Si el resultado no es concluyente o existen dudas sobre el alcance admisible del tratamiento, el caso debe remitirse a la función jurídica o de protección de datos. Esta distribución de responsabilidades evita tanto la concesión automática de acceso después de presentar el documento como la interpretación discrecional por parte del responsable jerárquico.

Los criterios de decisión deben aprobarse antes de que se presente el primer caso problemático. El procedimiento debe definir quién evalúa una situación ambigua, qué información puede tenerse en cuenta, si es posible limitar el alcance del acceso y cómo documentar la justificación sin revelar su contenido a un grupo más amplio de destinatarios. Por ejemplo, una persona de nueva incorporación puede completar la formación y las tareas organizativas, pero no debería recibir una cuenta privilegiada ni acceder al entorno protegido hasta que exista una decisión. El acceso temporal, si se admite, exige una autorización independiente, un alcance limitado, una fecha de caducidad y supervisión. No puede utilizarse para eludir el control.

Un resultado negativo requiere un plan de reacción definido de antemano: suspensión de privilegios, escalado a las personas decisoras designadas, nombramiento de un sustituto, evaluación del impacto sobre la continuidad del negocio y cierre controlado del caso. La lógica debe ser la misma que en un plan de reacción: un evento determinado activa una respuesta, una responsabilidad y un registro asignados. Para la contratación y los cambios de rol puede resultar útil como referencia el artículo Cómo preparar el proceso de incorporación de un nuevo ingeniero de calidad o responsable ISO, especialmente en lo relativo a las puertas de decisión y a la confirmación de responsabilidades.

El registro de control debe permitir reconstruir la clasificación del rol, el fundamento y el alcance de la verificación, la fecha de confirmación de la identidad, la fuente de información, la persona que realizó la evaluación, la decisión, la fecha de concesión de privilegios y cualquier posible escalado. También deben definirse los eventos que activan una nueva evaluación, en particular los cambios de rol o del alcance de acceso, así como el procedimiento para retirar privilegios cuando una persona deja la organización. La eficacia del proceso se refleja principalmente en el tiempo transcurrido entre la clasificación y la decisión, el número de accesos concedidos antes de completar el control requerido y el número de escalados debidos a la falta de documentación o a resultados no concluyentes.

Documentación y nueva verificación

La documentación del proceso debe permitir reconstruir los motivos y efectos de la decisión, no crear un archivo de información sobre antecedentes penales. El registro debe explicar por qué un rol estaba sujeto a verificación, cuándo se realizó, quién resolvió el caso y cuál fue el efecto operativo: concesión, limitación o denegación del acceso. Esto no implica automáticamente que deba conservarse una copia del documento fuente. La decisión de guardar una copia debe separarse de la conservación de metadatos y basarse en el fundamento jurídico vigente, la finalidad del tratamiento y el principio de limitación del plazo de conservación.

El conjunto coherente de registros debe incluir:

• la matriz de roles, junto con la justificación del alcance;
• el registro de las verificaciones realizadas;
• las autorizaciones de tratamiento y las reglas de acceso;
• los periodos de conservación aprobados;
• el protocolo de escalado;
• las evidencias de cumplimiento de las obligaciones por parte de los proveedores.

Estos elementos requieren un propietario común, control de versiones y vinculación con la gestión documental del SGSI. Su dispersión entre recursos humanos, seguridad y compras dificulta demostrar que el proceso está completo. El repositorio debe conservar plantillas, decisiones de carácter general y el historial de cambios de las reglas, mientras que los datos de casos individuales deben estar disponibles únicamente para las personas autorizadas. Como referencia organizativa puede consultarse Cómo crear un repositorio interno de conocimiento sobre calidad para no perder la experiencia del equipo.

El registro puede contener las fechas de clasificación del rol, verificación y decisión, la identificación del fundamento aplicado, la fecha de concesión del acceso y la revisión prevista. Si basta con confirmar la realización del control y su resultado operativo, no debe conservarse una copia del certificado «por si acaso». El mecanismo de eliminación también debe abarcar los archivos adjuntos de los mensajes, las carpetas de trabajo y los recursos de los proveedores. La eficacia del control puede evaluarse mediante el porcentaje de roles que disponen de una justificación vigente para su inclusión en el proceso y el número de registros conservados después de finalizar el periodo aprobado.

Los plazos para repetir la verificación no deben fijarse mediante un calendario arbitrario. La frecuencia puede derivarse de la disposición aplicable, la naturaleza del rol, las condiciones contractuales o una evaluación de riesgos documentada. Con independencia de las revisiones periódicas, el procedimiento debe señalar los eventos que activan una evaluación, especialmente un cambio de puesto, la ampliación de privilegios, el regreso al rol después de una interrupción o una modificación relevante de los requisitos jurídicos o contractuales. Mantener actualizada la información no tiene por qué implicar la obtención periódica del documento completo. El proceso debe prever una forma legal y proporcionada de confirmar la situación, siempre de acuerdo con el fundamento jurídico vigente y con el alcance de los datos que la organización puede tratar.

Prueba de preparación antes de la auditoría

La evaluación de la preparación no debe comenzar comprobando si existe un procedimiento, sino reconstruyendo casos reales. La muestra debe incluir, como mínimo, a un empleado contratado para un rol sujeto a verificación, una persona que haya cambiado de rol, un administrador externo y un caso de acceso de emergencia. Para cada caso, el auditor debe seguir la trazabilidad completa: desde el fundamento jurídico vigente y la clasificación del rol, pasando por la obtención de la información y la decisión de autorización, hasta los privilegios efectivamente activos.

La prueba mínima comprende la comparación de la relación de roles con el registro de accesos, la comprobación de que las decisiones están completas, la puntualidad de los controles, la limitación del acceso a los registros y la corrección de los periodos de conservación. También debe simularse la ausencia del documento, un resultado no concluyente o un retraso en la verificación. La organización debe demostrar que puede suspender el acceso, activar el escalado e identificar a la persona autorizada para resolver el caso. La frecuencia de la auditoría interna del SGSI y el umbral de escalado deben responder al riesgo y a los requisitos derivados del fundamento vigente, no limitarse al calendario de auditorías.

Las no conformidades sistémicas habituales se originan en las interfaces entre procesos. Entre ellas se encuentran la falta de un fundamento demostrado, las discrepancias entre la relación de puestos y los privilegios reales, la omisión de subcontratistas, la concesión de acceso antes de completar el control, la ausencia de un periodo de conservación definido o la falta de un procedimiento de escalado documentado. Un registro de recursos humanos correcto no es suficiente si un administrador externo conserva una cuenta activa después de modificarse el alcance del contrato o amplía sus privilegios sin una nueva clasificación.

La dirección debe recibir información agregada, no el contenido de los datos sobre condenas penales. Resultan útiles indicadores como el porcentaje de accesos activos sujetos a control que disponen de una decisión vigente, el número de accesos concedidos antes de finalizar la verificación, el cumplimiento de los plazos de revisión y el número de no conformidades por causa sistémica. Los indicadores deben facilitar decisiones sobre recursos, correcciones y escalados, conforme al enfoque descrito en Cómo definir KPI de procesos para la dirección y evitar que el sistema de calidad se reduzca a tablas.

Estar preparado para una auditoría significa poder demostrar no solo que existe un procedimiento, sino también que su alcance es proporcionado, que las decisiones son coherentes y que el proceso funciona eficazmente. Los resultados de la prueba deben incorporarse a la auditoría interna del SGSI y a la revisión por la dirección, indicando el responsable de cada acción, el plazo para corregir la brecha y la evaluación de su impacto sobre los accesos activos.