Paz Martin, abogada y socia directora de Legal Things
Las brechas de seguridad como las de Endesa se están convirtiendo, lamentablemente, en un hecho habitual. Millones de datos, con información sensible susceptible de ser utilizada fraudulentamente por terceros y millones de usuarios vulnerables frente a un mundo en el que el margen de seguridad cada vez parece más reducido. Nada puede hacer el ciudadano más que tener más cuidado si cabe, estar atento a llamadas, emails o movimientos extraños. La indefensión es casi absoluta…
No se trata de hacer “sangre” porque mi consejo siempre en estos casos es, parafraseando al refrán de “cuando las barbas del vecino veas cortar…”, yo digo: pon a tus equipos de seguridad a trabajar… Que no nos libramos ninguno.
El Reglamento UE 2016/679 General de Protección de Datos, la Directiva NIS2 (por cierto, para cuando piensan aprobar la ley de trasposición), el Reglamento de Inteligencia Artificial… Tenemos marco jurídico suficiente para obligar a cumplir pero seguimos siendo vulnerables y se siguen produciendo brechas. ¿Qué está fallando?
Los ciudadanos estamos indefensos. Podemos, sí acudir, a las autoridades de protección de datos y denunciar, pero nuestros datos se ofrecen, cuan botín, “paquetizados” y listos para montar campañas de ingeniería social. Por estadística, siempre pica alguien, aquí está el negocio.
Pero las empresas sí pueden hacer cosas para aumentar la confianza. Reforzar la seguridad, no dar nada por hecho. A veces, mirar con perspectiva, desde fuera, con espíritu crítico y con mente abierta. A veces se necesitan rediseñar procesos, poner más obstáculos para que los datos sean fácilmente accesibles incluso desde dentro; cifrados, dobles y triples factores de autenticación, barreras tecnológicas que impidan que pasen una y otra vez estas cosas. Porque una contraseña se puede cambiar, pero un número de DNI, una dirección postal o un IBAN no.
Todavía la seguridad en las empresas es bastante mejorable. El precio que paga el ciudadano es demasiado alto. Una vez que sus datos son revelados no hay vuelta atrás, se instala el miedo al fraude, a caer en el phishing cada vez más sofisticado, a la llamada que le pilla a uno despistado. Quienes manejan grandes cantidades de datos tienen mucho que proteger. Pero también las pequeñas entidades. Los consultores insistimos una y otra vez en:
- La seguridad no es un gasto, es una inversión y una prioridad para cualquier entidad, sea cual sea su tamaño, sea cual sea su actividad. No hay exclusas
- Las auditorías y test de vulnerabilidades constantes son no sólo obligatorias sino la única forma de ponerse a prueba. Mejor detectar antes los fallos que los descubran otros.
- Formación y sensibilización constantes. Seguimos con una baja capacitación en seguridad y protección de datos. Los fallos humanos son, a menudo, la punta de un iceberg que destapa otros fallos sistémicos.
- La protección de datos no es cosa de “nuestro asesor”, ni de la “asesoría jurídica” ni del “delegado de protección de datos” ni siquiera del área de sistemas o de ciberseguridad. Es cosa de todos y si desde los negocios a veces se presiona por construir bases de datos ágiles, repletas de datos de clientes con todo lujo de detalles, tiene que existir la conciencia de máximo riesgo de lo que se tiene entre manos.
- Medidas organizativas, tecnológicas, de cumplimiento en general. Hay que ser creativos y aprender a detectar los riesgos desde dentro y con la mayor objetividad posible. El tamaño no importa. Entidades pequeñas también están expuestas, algunas tratan datos muy sensibles. La falta de presupuesto no es una disculpa.
A veces, cada vez más a menudo, ya no hay vuelta atrás. Vivimos en un mundo digital que en lugar de generar confianza genera reticencias e inseguridad. Hay que construir entre todos, desde los pequeños a los grandes. No relajarse.
Nos jugamos mucho y a veces, lo de menos es la multa o el daño reputacional. La violación del derecho fundamental a la protección de datos es irreparable.
