La mayoría de las violaciones de seguridad empieza con un gesto corriente: un clic en un enlace falso, una contraseña débil, un correo enviado a la persona equivocada, un portátil olvidado en el coche. La seguridad depende de medidas técnicas y de los hábitos de quienes trabajan.
Qué dice la ley
El artículo 32 del RGPD ordena al responsable y al encargado del tratamiento aplicar medidas técnicas y organizativas adecuadas al riesgo, como el cifrado, el control de accesos y las copias de seguridad. El artículo 29 dice que quien trabaja bajo la autoridad del responsable solo trata datos siguiendo instrucciones. La falta de seguridad puede ser una infracción administrativa grave (artículo 38 de la Lei n.º 58/2019).
Contraseñas y cuentas
- Use contraseñas largas y únicas para cada servicio. Una frase de varias palabras vale más que una sigla con símbolos.
- No comparta nunca sus credenciales, ni con compañeros ni con superiores. Cuando se usa una cuenta compartida, ya no se sabe quién hizo qué.
- Active la verificación en dos pasos siempre que el sistema la ofrezca.
- No escriba contraseñas en papeles pegados al monitor.
Phishing e ingeniería social
El phishing es un mensaje falso que intenta que la persona haga clic, abra un archivo adjunto o facilite datos. Señales de alerta:
- urgencia o amenaza ("la cuenta se bloqueará hoy");
- remitente extraño, o una dirección parecida a la verdadera pero con una letra distinta;
- petición de contraseñas, códigos o datos bancarios;
- enlaces que llevan a una dirección distinta de la que se muestra;
- archivos adjuntos inesperados.
Si sospecha: no haga clic, no abra ni responda. Avise al departamento informático o a la persona indicada en las instrucciones. Si ya hizo clic, avise enseguida, aunque le dé vergüenza. Cada hora cuenta.
Lo mismo vale por teléfono o en persona: quien pide datos o accesos con una excusa verosímil (un falso técnico, un falso proveedor) puede estar engañando. Confirme la identidad por un canal que conozca.
Hábitos en el puesto de trabajo
- Bloquee la pantalla siempre que se levante del puesto. En muchos sistemas basta una combinación de teclas.
- Mantenga la mesa despejada: no deje a la vista fichas de clientes ni de compañeros.
- Destruya los documentos en papel que ya no sean necesarios con una trituradora, y no los tire a la basura común.
- Cuide la pantalla en lugares públicos, como trenes y cafeterías, y evite las redes wifi abiertas para trabajar.
- No conecte memorias USB desconocidas al ordenador. No instale programas sin autorización.
Enviar y compartir información
- Confirme el destinatario antes de pulsar "enviar". Enviar datos a la persona equivocada es una violación de la confidencialidad y debe comunicarse.
- Cuando escriba a muchas personas ajenas a la empresa, use copia oculta (Cco), para no exponer las direcciones de todas.
- Use solo las herramientas aprobadas por la empresa. Enviar datos de trabajo por una cuenta personal, por una aplicación de mensajería privada o a una herramienta de inteligencia artificial no autorizada puede dejar los datos fuera del control del empleador.
- Los proveedores que tratan datos para la empresa son encargados del tratamiento, y la relación tiene que constar en un contrato (artículo 28 del RGPD). Antes de introducir datos en un servicio nuevo, pregunte.
Equipos
Los portátiles y móviles con datos de trabajo deben tener código o biometría, cifrado y protección contra pérdida. En caso de pérdida o robo, avise de inmediato al empleador, porque puede tratarse de una violación de seguridad (lección 7).
Resumen: contraseñas fuertes y privadas, atención a lo que se pulsa y al destinatario, equipos protegidos y aviso rápido cuando algo sale mal.