La llave que le diste a otro también es tuya

Esta semana ha salido a la luz un caso en Dinamarca que me ha hecho pensar en cuántas de las auditorías que hago empiezan con la misma frase: "esto lo lleva una empresa externa, así que de eso no te preocupes". Una empresa danesa pequeña, con acceso legítimo y autorizado al registro nacional de identidad del país, sufrió una intrusión que permitió consultar, durante unos diez días, los datos de prácticamente toda la población: nombres, direcciones, números de identidad, de vivos y de fallecidos. Nadie entró por la puerta de la Administración. Entraron por la puerta de un proveedor que tenía llave.

Diez días. Ese es el detalle que no se me va de la cabeza. No hablamos de un fallo detectado en minutos por un sistema bien vigilado. Hablamos de más de una semana en la que alguien pudo moverse por los datos de ocho millones de personas sin que saltara ninguna alarma, en una empresa que tenía acceso de forma completamente legal a ese registro.

Lo traslado a mis clientes, que no gestionan registros nacionales pero sí tienen gestorías, asesorías, empresas de mantenimiento informático, aplicaciones de nómina, proveedores de reservas. Cuando pregunto quién tiene acceso a sus datos, casi siempre me responden pensando en sus propios empleados. Casi nunca piensan primero en el proveedor que entra cada mes a revisar el servidor, o en la empresa que gestiona su facturación desde fuera. Y sin embargo esa suele ser la puerta que menos se vigila.

No digo esto para que nadie deje de externalizar nada, sería absurdo e inviable para una pyme. Lo digo porque firmar un contrato de encargado de tratamiento no es lo mismo que comprobar qué hace ese encargado con el acceso que le has dado. El papel dice que el proveedor se compromete a proteger tus datos. El papel no te avisa si lleva diez días sin revisar sus propias alarmas.

Tengo clientes que me preguntan, al darse de alta, por qué insisto tanto en revisar también a sus proveedores y no solo su propia casa. La respuesta es esta noticia, en realidad. El negocio puede tener su política de privacidad perfecta, su registro de actividades al día, su empleado formado. Y aun así, si la empresa a la que le ha dado acceso no vigila lo que pasa con esa llave, el fallo va a aparecer igual, solo que un poco más lejos de donde se mira primero.

Si gestionas un negocio y trabajas con proveedores que tienen acceso a los datos de tus clientes o empleados, te propongo hacer la pregunta que casi nadie hace: no "¿tengo firmado el contrato con ellos?", sino "¿sé quién revisa, y con qué frecuencia, lo que hace esa empresa con el acceso que le he dado?". Si la respuesta es que no lo sabes, no has terminado tu trabajo. Solo has firmado un papel que dice que alguien más lo haría.

Rubén Cerviño Pérez, fundador de Guardián de Datos