Nadie quiere pensar en ello, pero una brecha de seguridad puede ocurrirle a cualquier sitio web, sea cual sea su tamaño. Saber qué hacer en las primeras horas marca una diferencia enorme en las consecuencias.
Primero, contén el incidente
En cuanto detectes indicios de una brecha (accesos sospechosos, un correo de un investigador de seguridad, una alerta de tu proveedor de hosting), la prioridad inmediata es limitar el alcance: cambia contraseñas, revoca accesos comprometidos, aísla los sistemas afectados si es posible.
Después, evalúa el alcance
Determina qué datos se han visto afectados y a cuántas personas alcanza. No es lo mismo una filtración de direcciones de correo que una de contraseñas o datos de pago; el nivel de riesgo cambia radicalmente según el tipo de dato expuesto.
El plazo de 72 horas
Si concluyes que existe un riesgo probable para los derechos y libertades de las personas afectadas, debes notificar el incidente a la Agencia Española de Protección de Datos en un plazo máximo de 72 horas desde que tuviste conocimiento de él. Este plazo corre incluso si aún no tienes toda la información.
¿Cuándo avisar también a los afectados?
Cuando el riesgo para las personas sea alto (por ejemplo, si se filtraron contraseñas en claro o datos financieros), debes comunicárselo directamente, explicando qué ha ocurrido, qué datos se han visto afectados y qué medidas pueden tomar para protegerse, como cambiar contraseñas reutilizadas en otros servicios.
Documenta todo, aunque no notifiques a la AEPD
Incluso si concluyes que el riesgo es bajo y decides no notificar a la autoridad, debes documentar el incidente internamente: qué ocurrió, cómo lo detectaste, qué medidas tomaste y por qué decidiste no notificar. La AEPD puede pedirte esta documentación posteriormente.
Prevención, la mejor estrategia
Contraseñas fuertes y únicas, actualizaciones de software al día, copias de seguridad periódicas y un plan de respuesta preparado de antemano reducen mucho tanto la probabilidad de sufrir una brecha como el tiempo que tardas en reaccionar si ocurre.
El papel de tu proveedor de hosting
Si el incidente ocurre en la infraestructura de un proveedor externo (hosting, base de datos gestionada, herramienta de email), ese proveedor, en su papel de encargado del tratamiento, tiene la obligación de notificarte a ti sin dilación indebida en cuanto detecte el problema. Comprueba que tu contrato de encargo del tratamiento recoge expresamente esta obligación.
Simulacros, una práctica poco habitual pero útil
Igual que se hacen simulacros de incendio, algunas organizaciones (especialmente a partir de cierto tamaño) realizan simulacros de brecha de seguridad: se plantea un escenario ficticio y se comprueba si el equipo sabe a quién avisar, qué plazo tiene y dónde encontrar la documentación necesaria. Para un sitio web pequeño, basta con tener por escrito estos tres datos en un lugar accesible.
Comunicación con clientes durante el incidente
Si la brecha afecta a clientes con los que tienes una relación comercial activa, mantener una comunicación honesta y sin tecnicismos innecesarios, incluso antes de tener todos los detalles confirmados, suele generar más confianza a largo plazo que el silencio o una respuesta tardía y ambigua.
Después del incidente: revisa y refuerza
Una vez resuelta la brecha, dedica tiempo a analizar cómo ocurrió y qué medida concreta la habría evitado. Este análisis posterior, documentado por escrito, no solo mejora tu seguridad futura, sino que también demuestra ante una eventual inspección que tomaste el incidente en serio y aprendiste de él.
Sigue explorando
Términos relacionados: Brecha de seguridad, Agencia Española de Protección de Datos, Delegado de Protección de Datos.
Más artículos: El delegado de protección de datos: cuándo es obligatorio tenerlo, RGPD para sitios web: guía completa con ejemplos prácticos.
Más ejemplos: ejemplos por tipo de sitio web.
Fuente oficial: Agencia Española de Protección de Datos (AEPD).