El art. 32 del RGPD exige al responsable y a los encargados medidas técnicas y organizativas adecuadas al riesgo: entre otras, el cifrado, la confidencialidad y disponibilidad de los sistemas, la capacidad de restablecimiento y las verificaciones periódicas. Sin embargo, la mayoría de los problemas nace de errores comunes, no de ataques sofisticados. Estos son los hábitos que más cuentan.
Accesos y contraseñas
- Use contraseñas largas y distintas para cada servicio. Una frase larga es mejor que una palabra corta y complicada. No reutilice en el trabajo las contraseñas personales.
- Si la empresa lo ofrece, use un gestor de contraseñas y active la verificación en dos pasos.
- No comparta nunca sus credenciales, ni con compañeros ni con el soporte técnico. Cada persona debe tener su propio acceso, porque solo así se sabe quién hizo qué.
- Bloquee la pantalla cuando se levante.
- Abra solo los datos que necesita para su trabajo. Buscar por curiosidad a un cliente, a un compañero o a un conocido no es trabajo y puede tener consecuencias disciplinarias y, en los casos más graves, penales (por ejemplo el acceso ilícito a un sistema informático, art. 615-ter del código penal italiano).
Correo electrónico
- Compruebe los destinatarios antes de enviar: el autocompletado elige con facilidad a la persona equivocada con el mismo nombre.
- Cuando escriba a muchas personas que no se conocen entre sí, use la copia oculta (Cco); de lo contrario revela a todos las direcciones de los demás.
- Los datos de salud, los documentos de identidad y otra información delicada se envían con las herramientas seguras que haya elegido la empresa, por ejemplo archivos protegidos con una contraseña comunicada por otro canal.
- No escriba datos personales en el asunto.
Papel, dispositivos y teletrabajo
- Mantenga la mesa ordenada y guarde las hojas con datos personales en un cajón o armario cerrado. Use la destructora de documentos o los contenedores específicos, no la papelera común.
- No guarde datos en teléfonos personales, memorias USB ni servicios de nube privados si la empresa no lo permite.
- No pegue datos de clientes o compañeros en herramientas de inteligencia artificial ni en traductores en línea, si la empresa no los ha aprobado para ese fin: lo que escribe puede salir de la empresa.
- Desde casa o de viaje use una conexión protegida, no deje pantallas visibles para otros, no deje el ordenador en el coche y no hable en voz alta de clientes en el tren o en el bar.
El phishing
El phishing es un mensaje falso (correo, SMS, llamada, chat) que quiere que usted pulse un enlace, entregue datos o pague. Las señales típicas:
- prisa o amenazas («su cuenta se cerrará hoy»);
- un remitente que se parece a uno conocido pero tiene una dirección ligeramente distinta;
- un enlace cuya dirección no coincide con el remitente;
- un archivo adjunto inesperado;
- un falso «jefe» que pide una transferencia o tarjetas regalo, o un falso compañero que pide sus credenciales.
Qué hacer:
- No pulse, no abra y no responda.
- Verifique por otro canal: llame al remitente a un número que ya conozca.
- Avise del mensaje al soporte informático. Si ya ha pulsado o ha introducido datos, dígalo enseguida: un aviso rápido limita el daño.
La Agenzia per la cybersicurezza nazionale (ACN), la agencia italiana de ciberseguridad, publica en su sitio consejos sobre las amenazas informáticas.
Actualizaciones y programas desconocidos
Instale las actualizaciones de seguridad cuando el departamento informático se lo pida. No instale programas, aplicaciones o extensiones por su cuenta y no conecte memorias USB desconocidas.
Cuente el error sin vergüenza
Cualquiera puede ser engañado. Lo peor es callar: la empresa solo puede reaccionar si lo sabe a tiempo.