Qué información proteger primero y cómo cifrarla

Dos preguntas para ordenar tu información

Proteger con el mismo celo la carta del comedor y el listado de clientes es un error doble: malgastas esfuerzo en lo que no lo necesita y dejas desprotegido lo que sí. Clasificar es un ejercicio de gerencia, no de informática, y empieza con dos preguntas por cada tipo de información: ¿cuánto me duele perderla? y ¿a quién no debería llegar?

Tres grupos (que a veces se solapan)

• Información crítica para operar: pedidos en curso, facturación, almacén, registros que tienes que presentar. Lo que más importa es que no se pierda ni se corrompa. Necesita, sobre todo, copias de seguridad comprobadas.
• Información confidencial de negocio: listado de clientes, precios y márgenes, condiciones negociadas, recetas o procesos propios. Lo que más importa es que no se filtre. Necesita control de accesos y, a menudo, cifrado.
• Datos personales: de trabajadores, clientes o proveedores autónomos. Además de protegerlos, la ley te obliga a cuidarlos. Necesitan las dos cosas anteriores y cumplir la normativa de protección de datos.

Lo que no necesitas es un riesgo

Ficheros de clientes antiguos, currículos de procesos cerrados, copias de DNI pedidas «por si acaso»: no aportan nada y pueden filtrarse. Si son datos personales, la ley pide no conservarlos más de lo necesario. Clasificar es también una buena ocasión para borrar con criterio.

Quién ve qué: menos es más

En muchas pymes, por comodidad, todo el mundo accede a casi todo. El principio que lo ordena es el de mínimo privilegio: cada persona accede solo a lo que su trabajo necesita. No es desconfianza, es buena organización. En la práctica: cada persona con su propia cuenta y sus permisos justos, revisar los accesos de vez en cuando y retirarlos el mismo día que alguien deja la empresa.

El cifrado, explicado en llano

Cifrar es convertir la información en un código ilegible que solo se puede leer con una clave. Es como una caja fuerte: da igual que se lleven la caja si no tienen la combinación. El control de accesos protege la información en su sitio; el cifrado la protege cuando sale de él. No hace falta cifrarlo todo, solo lo que se mueve y lo que es sensible:

• Portátiles y móviles que salen de la empresa. Windows en su versión profesional incluye el cifrado de disco BitLocker, y los Mac, FileVault; muchas veces basta con activarlo.
• Memorias USB y discos externos, que se pierden con facilidad.
• Documentos confidenciales enviados por correo: el archivo protegido con contraseña y la contraseña comunicada por otro canal (una llamada, un mensaje aparte).

Un premio legal por cifrar

Si pierdes un portátil o un USB con datos personales pero estaban cifrados y la clave no se ha comprometido, el riesgo para las personas es mucho menor, y la normativa reconoce que en ese caso puede no ser necesario comunicar la brecha a los afectados. Cifrar evita la fuga y, además, puede ahorrarte ese trago.

Para saber más

• Guía de cifrado para autónomos y pymes (PDF) (enlace externo) AEPD

  Primeros pasos para cifrar la información sin conocimientos técnicos.

  https://www.aepd.es/guias/guia-cifrado-autonomos-pymes.pdf