Cuando hablamos de una brecha de seguridad, casi todos imaginamos la misma escena: un hacker encapuchado entrando en los sistemas de una gran empresa.
Pero la realidad es mucho más sencilla… y mucho más preocupante.
Una brecha puede empezar porque un empleado hace clic en un enlace fraudulento, porque una contraseña es demasiado débil, porque se envía un correo electrónico al destinatario equivocado o porque se pierde un ordenador portátil que no estaba cifrado.
Y aquí hay una idea muy importante
Sufrir una brecha de seguridad no significa automáticamente que la empresa haya incumplido la ley. Pero tampoco significa que quede libre de responsabilidad.
Lo que realmente analiza la Agencia Española de Protección de Datos es una pregunta muy sencilla:
¿La empresa había adoptado medidas razonables antes de que ocurriera el incidente?
El RGPD considera brecha de seguridad cualquier pérdida, destrucción, alteración o acceso no autorizado a datos personales.
No hace falta que los datos aparezcan publicados en Internet. Si una persona no autorizada accede a información personal, ya existe una brecha. Incluso enviar un correo con datos personales al destinatario equivocado puede convertirse en una violación de seguridad.
Un ejemplo muy reciente es el caso de Flexicar.
La empresa fue sancionada con 680.000 euros tras sufrir un ciberataque.
Pero la sanción no se produjo simplemente porque hubo un ataque.
La Agencia concluyó que algunas medidas de seguridad se implantaron después del incidente y que, si hubieran existido antes, probablemente habrían reducido o incluso evitado sus consecuencias.
Además, detectó otro incumplimiento muy frecuente: la empresa conservaba datos durante más tiempo del necesario y no informaba correctamente sobre esos plazos de conservación. La lección es clara.
La AEPD no exige una seguridad perfecta.
Lo que exige es poder demostrar que la organización había hecho los deberes antes del problema.
Y esto enlaza con otro aspecto que muchas empresas olvidan.
Una brecha de seguridad no solo puede acabar en una sanción, también puede provocar pérdida de confianza de los clientes, daños reputacionales, costes de recuperación e incluso la pérdida de negocio. En muchas ocasiones, el mayor perjuicio no es la multa.
Es la pérdida de credibilidad.
Quiero compartir también dos casos reales que hemos gestionado desde nuestro despacho.
En ambos casos, varias empresas recibieron correos electrónicos aparentemente enviados por proveedores habituales. Todo parecía auténtico: el mismo logotipo, la misma línea de conversación, misma firma.
Un ciberdelincuente había conseguido acceder previamente al correo del proveedor.
Esperó pacientemente hasta que llegó una factura importante y modificó únicamente el número de cuenta bancaria. El cliente realizó la transferencia convencido de que estaba pagando a su proveedor de siempre. Pero el dinero terminó en manos del delincuente.
Este tipo de fraude se conoce como Man in the Middle.
Y demuestra que la ciberseguridad no depende únicamente de la tecnología. Depende, sobre todo, de las personas y de los procedimientos.
Entonces, ¿qué debe hacer una empresa cuando detecta una brecha?
Lo primero es no intentar ocultarla, hay que contener el incidente, investigar qué ha ocurrido, identificar qué datos se han visto afectados, valorar el riesgo para las personas y documentar absolutamente todo.
Si existe riesgo para los afectados, la brecha deberá notificarse a la Agencia Española de Protección de Datos en un plazo máximo de 72 horas.
Y si el riesgo es elevado, también habrá que informar directamente a las personas afectadas.
Eso sí, conviene recordar algo muy importante: no todas las brechas deben notificarse, pero todas deben documentarse. Ese registro puede ser decisivo si algún día la empresa recibe una inspección.
¿Y cómo podemos reducir el riesgo?
Hay varias medidas muy sencillas: utilizar autenticación multifactor. mantener los equipos actualizados, formar periódicamente a los trabajadores, verificar por teléfono cualquier cambio de cuenta bancaria recibido por correo electrónico, disponer de copias de seguridad comprobadas, y, por supuesto, realizar periódicamente un análisis de riesgos.
No para cumplir un trámite, sino para descubrir las debilidades antes que los ciberdelincuentes.
Las medidas no sirven de nada si se implantan cuando el daño ya está hecho.
En definitiva, las brechas de seguridad ya no son un problema exclusivo de las grandes empresas. Hoy cualquier pyme, autónomo o asociación puede convertirse en víctima de un ciberataque o de un fraude mediante correo electrónico.
La buena noticia es que muchas de estas situaciones pueden evitarse con procedimientos sencillos, formación y una verdadera cultura de protección de datos.
Porque cumplir el RGPD no consiste únicamente en tener documentos archivados.
Consiste en proteger la información de las personas antes de que ocurra el problema.
No te pierdas la entrevista completa con Javier Nogueroles, que podrás escuchar cada semana en el programa TIC TAC DATOS de ONDA NARANJA COPE.