"Ens han hackejat" és la frase que es fa servir per a gairebé tot, des d'un ransomware que paralitza l'empresa fins a un empleat que envia un correu a la persona equivocada. El problema és que, a efectes del RGPD, no tot és el mateix, i confondre els termes pot fer que notifiquis alguna cosa que no tocava o, pitjor, que no notifiquis alguna cosa que sí que era obligatòria. Anem a aclarir els conceptes amb exemples concrets.
Què és un ciberatac
Un ciberatac és una acció intencionada contra els teus sistemes: algú de fora (o de vegades de dins) intenta accedir, danyar o inutilitzar la teva infraestructura. Ransomware, phishing dirigit, atacs de força bruta contra contrasenyes o l'explotació d'una vulnerabilitat a la teva web són ciberatacs. Tenen un atacant darrere amb una intenció concreta.
Un ciberatac pot derivar o no en una bretxa de dades personals. Si algú xifra els teus arxius amb ransomware però aquests arxius no contenen dades personals de clients o empleats, has patit un ciberatac greu per al teu negoci, però no necessàriament una bretxa que hagis de notificar a l'AEPD. Si a més accedeix o extreu dades de persones, aleshores sí que hi ha una bretxa.
Què és una bretxa de seguretat (de dades personals)
Una bretxa de seguretat, en el sentit que li dona el RGPD, és qualsevol incident que compromet la confidencialitat, integritat o disponibilitat de dades personals, sigui quina sigui la seva causa. Això és molt més ampli que un ciberatac: inclou també errors humans i fallades tècniques sense que hi hagi cap atacant pel mig.
Enviar un correu amb dades de clients a un destinatari equivocat és una bretxa de seguretat, encara que ningú no hagi "atacat" res. Perdre un portàtil sense xifrar amb una base de dades d'empleats és una bretxa. Una errada de configuració que deixa una carpeta de documents accessible públicament a internet és una bretxa. Cap d'aquests casos requereix un atacant actiu, i tot i així activen les mateixes obligacions legals que un ciberatac amb filtració de dades.
Per què aquesta diferència importa a l'hora de notificar
L'AEPD no pregunta si has patit un "ciberatac": pregunta si hi ha hagut una bretxa de seguretat de dades personals. Per això el criteri per decidir si notifiques no és "m'han atacat?", sinó "s'ha compromès la confidencialitat, integritat o disponibilitat de dades de persones?". Si la resposta és sí, el termini legal per notificar-ho és de 72 hores des que en tens constància, vingui d'on vingui.
Això té una conseqüència pràctica important: no pots descartar notificar només perquè "no ha estat un hackeig de veritat". Un error humà ximple, com adjuntar l'arxiu equivocat en un correu massiu, et pot obligar a notificar exactament igual que un atac sofisticat. Pots aprofundir en quan s'activa exactament aquesta obligació a la nostra guia sobre l'obligació de notificar una bretxa de dades segons el RGPD.
Exemples per no perdre't
- Ciberatac sense bretxa de dades: un intent de phishing que un empleat detecta i no obre. No hi ha hagut accés a dades, no hi ha bretxa a notificar.
- Ciberatac amb bretxa de dades: un atacant accedeix al teu CRM i descarrega la base de clients. És totes dues coses alhora, i sí que cal notificar.
- Bretxa sense ciberatac: una treballadora de la teva empresa envia per error un full de càlcul amb nòmines a tota la plantilla en lloc d'a un sol destinatari. No hi ha atacant, però sí que hi ha bretxa.
- Ni una cosa ni l'altra: la teva web cau unes hores per un problema d'hosting, sense que es vegin compromeses dades de ningú. No és ciberatac amb rellevància de dades ni bretxa de seguretat personal.
Si tens dubtes sobre si el que t'ha passat entra en alguna d'aquestes categories, el més segur és tractar-ho com si pogués ser una bretxa i avaluar-ho amb aquest criteri, no amb el de "si sembla un hackeig o no".
Com et pot ajudar Alerta Brecha
Distingir els termes està bé, però el que de veritat importa és assabentar-te a temps que alguna cosa ha passat. A Alerta Brecha vigilem de manera contínua si les dades de la teva empresa (correus, dominis, telèfons) apareixen en filtracions conegudes, independentment de si l'origen va ser un ciberatac o un simple error de tercers. Tenim un Pla Bàsic (9€/mes, monitorització setmanal) i un Pla Professional (14,50€/mes el primer any, 29€/mes després, amb monitorització diària, alerta immediata i un PDF precarregat per a l'AEPD). En estar en fase d'accés anticipat, pots apuntar-te a la llista d'espera.
---
Recorda que aquest article té un caràcter merament divulgatiu i no substitueix l'assessorament d'un professional legal qualificat. Per resoldre dubtes concrets sobre la teva situació, consulta amb un professional.