Fuga accidental de datos en el trabajo: qué hacer durante las primeras 72 horas

Si provocas una filtración accidental de datos en el trabajo, notifícalo internamente de inmediato, normalmente a tu superior, al equipo de TI o al responsable de protección de datos. No intentes solucionarlo en secreto y no esperes hasta saber cuál es la gravedad del problema. En el Reino Unido y la UE, una organización dispone de 72 horas desde el momento en que tiene conocimiento de una filtración para notificarlo a la autoridad de protección de datos cuando las personas se encuentren en riesgo. En EE. UU., los plazos dependen del estado y del sector, pero el plazo también comienza a contar cuando la organización tiene conocimiento de la situación. Cada hora que un empleado tarda en actuar se resta de ese tiempo.

La mayoría de las filtraciones de datos no son obra de piratas informáticos. Comienzan con un error común: un correo electrónico enviado a la persona equivocada, una hoja de cálculo adjunta por accidente, un ordenador portátil olvidado en un tren. Este artículo explica qué se considera una filtración de datos, muestra ejemplos habituales, describe paso a paso las primeras 72 horas, expone las normas de notificación vigentes en el Reino Unido, la UE y EE. UU., y explica cómo garantizar que las personas comuniquen los errores en lugar de ocultarlos.

¿Qué se considera una filtración de datos?

Una violación de datos personales es cualquier incidente de seguridad que provoque la pérdida, destrucción, alteración, divulgación o acceso no autorizado a datos personales. No importa si ha sido intencionado o accidental, ni es necesario que se trate de un ciberataque. Si una persona no autorizada pudiera ver, modificar o perder datos sobre alguien, se trata de una violación de datos.

Además, una violación de seguridad no se limita únicamente a las fugas de información. Eliminar el expediente de un cliente sin una copia de seguridad o perder el acceso a los datos a causa de un ransomware también se considera una violación, ya que los datos dejan de estar disponibles para quienes los necesitan. Muchos de los incidentes más graves, como los que figuran en nuestro resumen de los mayores ciberataques en los Países Bajos, comenzaron precisamente con ese tipo de violación de la disponibilidad.

Ejemplos habituales de fugas accidentales de datos en el trabajo

• Correo electrónico enviado al destinatario equivocado. La función de autocompletar selecciona a la «Sarah» equivocada y un resumen de nóminas acaba en manos de alguien ajeno a la organización. Las autoridades de protección de datos a ambos lados del Atlántico incluyen los correos electrónicos enviados por error entre las causas más comunes de las infracciones denunciadas.
• CC en lugar de CCO. Se envía un boletín informativo o una actualización para clientes en la que la dirección de correo electrónico de cada destinatario es visible para todos los demás.
• Un archivo adjunto equivocado. Alguien quiere enviar una plantilla y, en cambio, envía la versión rellenada con nombres, direcciones o datos médicos.
• Un enlace para compartir demasiado abierto. Se comparte un documento con «cualquiera que tenga el enlace», y el enlace acaba en un correo electrónico reenviado o en un canal público.
• Dispositivos perdidos o robados. Un ordenador portátil, un teléfono o una memoria USB sin cifrar desaparecen de camino a casa.
• Papel y pantallas. Impresiones abandonadas en la impresora, archivos en una bolsa de basura, una pantalla con datos de clientes a la vista de los visitantes.
• Caer en la trampa de un correo electrónico de phishing. Un empleado introduce sus datos de acceso en una página falsa y un atacante consigue acceder a un buzón repleto de datos personales.

Qué hacer durante las primeras 72 horas tras una filtración de datos

1. Denúncialo internamente, de inmediato. El empleado que haya detectado el error debe comunicárselo a su responsable, al departamento de TI o al delegado de protección de datos. Los plazos legales comienzan a contar desde el momento en que la organización tiene conocimiento del hecho, por lo que cada día de silencio dentro del equipo es un día perdido.
2. Minimiza los daños. Si es posible, retira el correo electrónico, pide al destinatario que lo borre y que te lo confirme por escrito, revoca el enlace para compartir, borra de forma remota los datos del dispositivo perdido o restablece la contraseña comprometida.
3. Aclara qué ha ocurrido. ¿ Qué datos se han visto afectados, a cuántas personas les afecta, qué grado de confidencialidad tienen y quién podría haberlos visto? Los datos sanitarios, financieros y relativos a menores tienen mayor importancia.
4. Evalúa el riesgo para las personas implicadas. ¿Podría esto dar lugar a un fraude de identidad, a discriminación, a pérdidas económicas o a angustia? Esa evaluación determina si debes notificarlo a la autoridad reguladora y a las personas afectadas, de acuerdo con las normas que se explican a continuación.
5. Notifícalo cuando sea necesario. Presenta la notificación a tiempo, aunque aún no se conozcan todos los detalles; normalmente se puede añadir información más adelante. Informa a las personas afectadas de lo que ha ocurrido y de lo que pueden hacer para protegerse.
6. Regístralo, aunque no lo notifiques. Mantén un registro interno de cada violación de datos, con los hechos, las consecuencias y las medidas que hayas tomado al respecto. Según el RGPD, esto es obligatorio, incluso en el caso de las violaciones de datos que hayas decidido no notificar.
7. Saca conclusiones de ello. Averigua la causa y corrige el proceso: una configuración de autocompletado, una política de intercambio de información, simulacros de phishing para el equipo que cayó en la trampa de la página de inicio de sesión falsa.

Normativa sobre la notificación de violaciones de datos en el Reino Unido, la UE y EE. UU.

Los pasos anteriores se aplican en cualquier lugar, pero los plazos legales y a quién debes informar dependen del lugar en el que operes y del sector al que pertenezcas.

• Reino Unido. Según el RGPD del Reino Unido, toda violación de datos que pueda suponer un riesgo para las personas debe notificarse a la Oficina del Comisionado de Información (ICO) en un plazo de 72 horas desde que se tenga conocimiento de la misma. Si el riesgo para las personas es elevado, también es necesario informarles sin demora injustificada.
• Unión Europea. El RGPD establece el mismo plazo de 72 horas, debiendo dirigirse la notificación a la autoridad nacional de protección de datos. Las organizaciones sujetas a la Directiva NIS2 también pueden estar obligadas a notificar los incidentes significativos a su CSIRT nacional o a la autoridad competente: una alerta temprana en un plazo de 24 horas, una notificación en un plazo de 72 horas y un informe final en el plazo de un mes.
• Estados Unidos. No existe una ley federal única en materia de violaciones de datos. Cada estado tiene su propia ley de notificación, con plazos que van desde «sin demora injustificada» hasta un número fijo de días. A ello se suman las normas sectoriales, como la HIPAA para el sector sanitario, que exige la notificación en un plazo de 60 días, y la norma de la SEC que obliga a las empresas que cotizan en bolsa a dar a conocer los incidentes significativos en un plazo de cuatro días hábiles.
• En todas las regiones. Los contratos también son importantes. Los clientes y socios suelen exigir que se les notifique en un plazo determinado de horas, a veces inferior al plazo legal.

¿Trabajas a nivel transfronterizo? En la UE, las organizaciones con sede principal suelen tratar con una única autoridad competente. En EE. UU., el estado en el que residen las personas afectadas es el que determina la normativa, por lo que una sola violación de datos puede dar lugar a varias notificaciones.

Por qué los empleados ocultan sus errores y cómo cambiar esa situación

El mayor riesgo en la gestión de las filtraciones de datos no es el error en sí, sino el silencio posterior. Un empleado que ha enviado un archivo a una dirección equivocada suele esperar que nadie se dé cuenta, sobre todo si teme recibir una amonestación. Para cuando la filtración sale a la luz, ya ha vencido el plazo y el daño se ha extendido.

Las organizaciones que gestionan bien las infracciones facilitan que se notifiquen de forma sencilla y segura. Las personas saben exactamente a quién acudir; la primera reacción es «gracias por avisarnos», y los errores se abordan como problemas de proceso en lugar de como fallos personales. La formación ayuda de dos maneras: muestra a los empleados cómo es una infracción, para que puedan reconocerla, y convierte la notificación en un hábito habitual en lugar de en una confesión incómoda.

El consejo: evita las infracciones con una breve sesión de formación semanal

Guardey ayuda a los empleados a evitar los errores cotidianos que están detrás de la mayoría de las violaciones de seguridad. Cada semana reciben un reto de unos tres minutos, en su ordenador portátil o en la aplicación móvil para iOS y Android, sobre temas como el envío seguro de datos, el intercambio de archivos, cómo reconocer el phishing y cómo notificar incidentes. La gamificación, con tablas de clasificación y rachas de logros, mantiene a los usuarios comprometidos; las simulaciones de phishing ponen a prueba lo que han aprendido; y los informes listos para auditorías muestran tu progreso en relación con el RGPD, la NIS2 y la norma ISO 27001. Más de 500 organizaciones, entre ellas el Parlamento Europeo, ya utilizan Guardey. Obtén más información sobre nuestra formación en concienciación sobre seguridad o descubre cómo abordamos la concienciación sobre la privacidad.

¿Colaboras con un socio de TI? Cómo ayudan los MSP antes y después de una filtración de datos

Muchas pequeñas y medianas empresas no gestionan sus propios sistemas informáticos, sino que recurren a un proveedor de servicios gestionados (MSP): una empresa de TI que se encarga de sus sistemas, su seguridad y su asistencia técnica a cambio de una cuota mensual. Cuando se produce una filtración, esa suele ser la primera llamada: ¿se puede recuperar el correo electrónico?, ¿se puede borrar el contenido del portátil?, ¿a qué buzones de correo se ha accedido? Si trabajas con un MSP, pregunta si la prevención de filtraciones y la formación en concienciación sobre seguridad forman parte de tu paquete. Para los MSP, incorporar esa prevención es un paso lógico para los clientes que acaban de descubrir lo costoso que puede resultar un solo correo electrónico enviado por error.

Guardey está disponible a través de varios canales, entre ellos e92plus, un distribuidor de valor añadido especializado en ciberseguridad para proveedores de servicios gestionados (MSP) y revendedores en el Reino Unido, Irlanda, el Benelux y los países nórdicos. Los MSP disfrutan de una facturación mensual basada en el consumo y de un único portal para socios desde el que gestionar las licencias de todos sus clientes, con el respaldo de gestores de socios dedicados a los MSP y apoyo de marketing para lanzar un nuevo servicio al mercado. Esto permite a un MSP combinar herramientas de protección de datos y formación en una única oferta gestionada.

Preguntas frecuentes sobre las filtraciones accidentales de datos

¿Te pueden despedir por una filtración accidental de datos en el trabajo?

Un error involuntario que se comunica de inmediato rara vez constituye motivo de despido, aunque esto depende de las circunstancias, la legislación laboral local y las políticas de tu empresa. Ocultar una infracción, ignorar procedimientos claros o repetir el mismo error se considera mucho más grave. Comunicarlo rápidamente es casi siempre lo mejor que puedes hacer, tanto para la organización como para ti mismo.

¿Es obligatorio notificar todas las filtraciones de datos?

No. Según el RGPD y el RGPD del Reino Unido, solo es necesario notificar una violación de datos a la autoridad competente si es probable que suponga un riesgo para las personas. En EE. UU., las leyes estatales suelen definir qué tipos de datos dan lugar a la obligación de notificación. No obstante, todas las violaciones de datos deben registrarse internamente, incluyendo los motivos por los que no se han notificado.

¿Cuáles son algunos ejemplos de incumplimientos del RGPD?

Algunos ejemplos típicos son enviar datos personales al destinatario equivocado, utilizar «CC» en lugar de «CCO», compartir un archivo mediante un enlace abierto, perder un ordenador portátil sin cifrar, dejar documentos impresos sin vigilancia y permitir que un atacante acceda a un buzón de correo mediante phishing. La mayoría de estos casos se deben a un error humano más que a un fallo técnico.

¿Cómo se evitan las fugas accidentales de datos?

Combina algunas medidas de seguridad técnicas, como el envío diferido, el cifrado y los enlaces de uso restringido, con una formación periódica. Los empleados que se entrenan para reconocer situaciones de riesgo cometen menos errores y notifican los que se producen con mucha mayor rapidez.

Ninguna organización conseguirá jamás reducir a cero los errores. La diferencia radica en lo que ocurre en los minutos posteriores a un error: si el empleado descuelga el teléfono o cierra el portátil y se limita a cruzar los dedos. Ese reflejo es algo que se puede entrenar.