DGIE

Todas las aplicaciones de la Power Platform utilizan la encriptación de los datos en tráfico mediante el uso de conexiones seguras con el protocolo HTTPS. 

Para los datos que se almacenan en cualquier documento, base de datos, carpeta o lista, se debe limitar el acceso únicamente a aquellas personas que realmente deban tener acceso a los datos. Además, se debe establecer cuál es el tipo de acceso que deben tener a ellas (lectura o lectura y escritura). 

Se debe evitar que se muestran datos de carácter confidencial en las interfaces de usuario de las Power Apps, a menos que sea estrictamente necesario. 

En las aplicaciones es conveniente implementar mecanismos de validación y de filtrado de la información con el fin de garantizar que los datos puedan ser visualizados por aquellas personas que tengan autorización a utilizarlas. 

Ante errores o situaciones de excepción, es necesario utilizar mensajes genéricos que no muestran información personal. Es necesario implementar mecanismos adecuados de manejo de excepciones para evitar la exposición de información sensible. 

Antes de compartir datos, hay que ser consciente de qué se compartirá y con quién. 

Si los datos a los que se accede desde la aplicación se comparten desde OneDrive, hay que evitar compartir con toda la organización, y compartir únicamente con aquellas personas que realmente deban tener acceso a la información. 

Para datos que deban ser accesibles únicamente por el equipo directivo de un centro, se dispone del equipo de Teams del equipo directivo, el cual dispone de su espacio de SharePoint que está limitado a estas personas. Las aplicaciones de Power Apps que deban usar solos las personas de un equipo directivo deberían ubicar su almacenamiento de datos sobre este espacio de SharePoint. 

Para datos que deban ser accesibles a todo el claustro de un centro, es conveniente utilizar el espacio de SharePoint asociado al equipo de Teams del claustro. Las aplicaciones de Power Apps que se usan por todo el claustro es conveniente que tengan su espacio de almacenamiento de datos asociado a este equipo. 

Para otro tipo de colectivo (equipos docentes, consejo escolar -para personas con identidad digital-, etc.), hay que seguir las recomendaciones respecto de la compartición de datos, incluyendo el establecimiento de permisos, que se mencionan en las guías correspondientes. El nivel de permisos que se aplique a los documentos, carpetas o listas será el mismo al que pueda accederse desde las Power Apps. 

Las aplicaciones de Power Apps permiten generar interfaces de usuario con las que se accede a datos que están almacenados en otros sitios, como son OneDrive y/o SharePoint. Hay que establecer los mínimos niveles de permisos sobre los datos accesibles para las aplicaciones (documentos, listas, y/o carpetas compartidas). Las personas que tengan permisos sobre los documentos, listas y/o carpetas compartidas serán las mismas personas que puedan acceder mediante las aplicaciones. 

Hay que establecer los permisos sobre los recursos basándose en el criterio del «menor privilegio posible», concediendo solo aquellos permisos que sean indispensables para poder realizar el trabajo requerido. 

Se debe limitar el acceso a las aplicaciones de Power Apps y los flujos de Power Automate únicamente a aquellas personas que realmente deban usarlas, evitando compartirlas a nivel global. 

Es importante concienciar a las personas usuarias y desarrolladoras de las aplicaciones de la Power Platform sobre la importancia de proteger la información confidencial y los datos sensibles. Esto es especialmente importante cuando la información corresponde a alumnado menor de edad, dado que se trata de un colectivo especialmente vulnerable. 

Algunas de las cosas más básicas que deben considerarse son: utilizar contraseñas fuertes en la cuenta de la identidad digital; no compartir las credenciales de acceso de las cuentas personales; no reutilizar las contraseñas en distintas aplicaciones.