Las brechas rara vez empiezan con una alerta clara. Empiezan con alguien que avisa de que ha entrado un correo raro, con un portátil que no aparece o con un sistema que amaneció cifrado. Se llama a quien lleva la plataforma, se intenta contener y se espera a entender el alcance. Y mientras tanto corre un reloj que después nadie puede parar.

El Reglamento General de Protección de Datos da 72 horas desde que la organización tiene constancia de la brecha para notificarla a la Agencia Española de Protección de Datos, salvo que sea improbable que suponga un riesgo para las personas. Si el riesgo es alto, además hay que comunicárselo a los afectados sin demora. Y tanto si se notifica como si no, la decisión y su motivo quedan documentados. Las sanciones que llegan a la prensa rara vez castigan el ataque en sí. Castigan no haberse preparado y haber informado tarde o mal.

Cuatro reglas sostienen el control.

  1. Una brecha no necesita un atacante. Un envío al destinatario equivocado, un dispositivo perdido o un cifrado sin exfiltración también son brechas. Cuenta que datos personales se hayan perdido, alterado o visto por quien no debía.
  2. El reloj empieza cuando se sabe. No cuando lo confirma el informe forense semanas después. Desde ese momento hay 72 horas para notificar, y se puede notificar de forma escalonada con lo que se sepa. Llegar tarde obliga a explicar por qué.
  3. A los afectados, sin demora y en lenguaje claro. Qué ha pasado, qué puede pasarles, qué pueden hacer y a quién preguntar.
  4. Todo se registra, aunque no se notifique. El registro interno de brechas es obligatorio y es lo primero que se pide en una inspección.

La sanción rara vez castiga el ataque. Castiga la decisión que nadie documentó.

Qué prueba el auditor

El control no se audita leyendo el procedimiento. Se audita sobre las brechas que ya han ocurrido, incluidas las que se cerraron sin notificar.

  • La hora de constancia. Qué consta como momento en que la organización lo supo y qué evidencia lo sostiene. Es el dato del que depende todo lo demás y casi nunca está registrado con esa precisión.
  • La cadena hasta la decisión. Quién valoró el riesgo, con qué criterio y quién aprobó notificar o no. Una decisión sin autor es una decisión que no se puede defender.
  • El registro interno completo. Contrasta el registro con las incidencias del periodo en el sistema de tickets. Las brechas que nunca llegaron al registro son el hallazgo.
  • La prueba del ensayo. Cuándo se simuló por última vez, quién participó y qué cambió después. Un plan que nunca se ha ensayado es un documento, no un control.
  • Los encargados del tratamiento. El plazo en el que tus proveedores te avisan a ti, y la evidencia de la última vez que lo cumplieron.

Casi todo el trabajo consiste en reunir evidencia dispersa y ponerla en orden de tiempo, que es la misma dificultad que aparece en cualquier revisión de incidentes. Cuando esa reconstrucción se hace a mano, el coste se lo lleva el ciclo entero, y sobre eso va la brecha de capacidades que mide el sector.

Una organización preparada no es la que promete avisar en plazo. Es la que puede enseñar, de una brecha concreta, a qué hora lo supo, quién decidió qué y con qué prueba.