Cada 28 de enero celebramos el Día de la Protección de Datos, fecha instaurada por el Consejo de Europa para recordarnos la importancia de garantizar el derecho fundamental a la privacidad. Para las empresas y profesionales, esta jornada no es sólo una efeméride en el calendario, sino una oportunidad crítica para evaluar la robustez de nuestros sistemas y la cultura de seguridad de la organización.
En un entorno digital cada vez más complejo, el riesgo no es si sufriremos un incidente, sino cuándo ocurrirá. Las noticias recientes nos lo recuerdan constantemente: incluso los gigantes corporativos son vulnerables.
Recientemente hemos sido testigos de uno de los incidentes más mediáticos del sector energético. El hackeo en Endesa ha puesto de manifiesto cómo una vulnerabilidad puede exponer datos sensibles de miles de usuarios (nombres, DNI, domicilios y datos de facturación). Este caso es un espejo en el que muchas pymes deberían mirarse: si una gran corporación con presupuestos de ciberseguridad millonarios puede sufrir una brecha, ningún negocio está exento de riesgo.
El incidente de Endesa nos enseña que la protección de datos no termina en el cumplimiento formal del RGPD; requiere una vigilancia constante y, sobre todo, un plan de acción inmediato cuando la seguridad falla.
Davant l’amenaça de robatori d’informació, la prevenció i la reacció ràpida són els teus millors aliats. Podem identificar tres pilars fonamentals per protegir la teva organització i els teus clients. El primer de tots, cal recolzar-se en les auditories i disposar de protocols actius, no n’hi ha prou amb tenir els documents en un calaix. Cal realitzar auditories tècniques i formació contínua als empleats (el «factor humà» sol ser la porta d’entrada més comuna per al phishing). Además, la previsión del cifrado y la pseudonimización. Si los datos están correctamente cifrados, incluso en caso de robo, la información será ilegible e inútil para los ciberdelincuentes. Y en esa misma línea, favorecer una cultura de la contraseña y Doble Factor (2FA), es la barrera más sencilla y eficaz contra los accesos no autorizados.
¿Qué hacer si ya has sido víctima?
Si la situación ya es inevitable, es necesario tener prevista también la reacción, es decir, el plan de contingencia. Aquí el RGPD es estricto y frente a una brecha que suponga un riesgo, la empresa tiene un máximo de 72 horas para notificarlo a la Autoridad de control (AEPD). Tener un protocolo claro ahorra sanciones y daños reputacionales.
Por último, si te encuentras en una situación como la de los afectados por el caso Endesa, la transparencia es clave. Tienes que comunicarte de forma clara con los afectados, recomendar el cambio de claves de acceso y monitorear cualquier movimiento sospechoso en las cuentas bancarias.
Aprovechamos este 28 de enero para recordarnos que la protección de datos no es una carga burocrática, sino una inversión en confianza de tus clientes. Una empresa que cuida los datos es una empresa que perdura.
Jordi Ventura
