Que se declaren más brechas no es la mala noticia

La Agencia Española de Protección de Datos ha hecho pública esta semana una cifra que, a primera vista, suena alarmante: las notificaciones de brechas de datos han subido un 138% en el primer semestre de este año respecto al mismo periodo del anterior. Más de tres mil avisos, frente a poco más de mil doscientos. Solo con los datos hasta agosto, el número ya roza los cuatro mil quinientos. Si lees el titular rápido, parece que España se ha vuelto un sitio mucho más inseguro de golpe.

Yo no lo leo así, y llevo suficientes años mirando estos informes como para explicar por qué. Buena parte de ese incremento viene de un sector muy concreto: los hoteles y, sobre todo, los proveedores de software que les gestionan las reservas. Un fallo en uno de esos proveedores puede filtrar los datos de decenas de establecimientos a la vez, y eso infla la cifra de golpe. No significa necesariamente que haya el triple de ataques que el año pasado. Significa, en parte, que cuando algo falla en un punto, ahora se nota en muchos sitios a la vez porque todos dependen de la misma pieza.

Pero hay otra parte del aumento que sí me parece una buena noticia, aunque suene raro decirlo así. Notificar una brecha no es gratis para la empresa que la sufre. Implica reconocer, por escrito y ante la Agencia, que algo ha fallado. Durante años, mi experiencia con clientes ha sido la contraria: la tentación de quitarle importancia a un incidente, de pensar que si nadie se entera no hace falta decir nada, de confundir “no quiero montar un lío” con “no es obligatorio”. Que las notificaciones suban tanto me dice que, al menos una parte del tejido empresarial, ha empezado a entender que avisar no es una opción, es una obligación legal con sanción aparte si se incumple.

Lo que me preocupa de verdad no es la cifra que sube. Es la que no veo, la de las empresas que siguen sin notificar porque nunca se plantearon que tuvieran que hacerlo. He tenido clientes con una brecha real, sufrida y resuelta internamente, que nunca pensaron en avisar a la Agencia porque pensaban que eso era cosa de “empresas grandes” o de “hackeos de verdad”, no de un empleado que mandó un correo con datos a quien no debía o de un disco duro perdido. La ley no distingue el tamaño de la empresa para esto. Distingue el riesgo para las personas afectadas.

Si tienes un negocio, especialmente si trabajas con reservas, con clientes que dejan sus datos de pago, o con proveedores que gestionan algo de eso por ti, te diría dos cosas. La primera es que un fallo de tu proveedor también es tu responsabilidad, así que conviene saber qué hace y a quién avisa si le pasa algo. La segunda, y esta es la que de verdad importa, es que si alguna vez tienes una brecha, por pequeña que parezca, lo peor que puedes hacer es quedarte callado esperando que nadie se entere. Las cifras de esta semana me dicen que cada vez hay más empresas que lo han entendido. Ojalá el año que viene la cifra siga subiendo, no porque haya más fallos, sino porque cada vez hay menos empresas calladas.

Rubén Cerviño Pérez, fundador de Guardián de Datos