"Hackeáronnos" é a frase que se usa para case todo, desde un ransomware que paraliza a empresa ata un empregado que envía un correo á persoa equivocada. O problema é que, a efectos do RGPD, non todo é o mesmo, e confundir os termos pode facer que notifiques algo que non tocaba ou, peor, que non notifiques algo que si era obrigatorio. Imos aclarar os conceptos con exemplos concretos.
Que é un ciberataque
Un ciberataque é unha acción intencionada contra os teus sistemas: alguén de fóra (ou ás veces de dentro) intenta acceder, danar ou inutilizar a túa infraestrutura. Ransomware, phishing dirixido, ataques de forza bruta contra contrasinais ou a explotación dunha vulnerabilidade na túa web son ciberataques. Teñen un atacante detrás cunha intención concreta.
Un ciberataque pode ou non derivar nunha brecha de datos persoais. Se alguén cifra os teus arquivos con ransomware pero eses arquivos non conteñen datos persoais de clientes ou empregados, sufriches un ciberataque grave para o teu negocio, pero non necesariamente unha brecha que debas notificar á AEPD. Se ademais accede ou extrae datos de persoas, aí si hai unha brecha.
Que é unha brecha de seguridade (de datos persoais)
Unha brecha de seguridade, no sentido que lle dá o RGPD, é calquera incidente que compromete a confidencialidade, integridade ou dispoñibilidade de datos persoais, sexa cal sexa a súa causa. Isto é moito máis amplo que un ciberataque: inclúe tamén erros humanos e fallos técnicos sen que haxa ningún atacante polo medio.
Enviar un correo con datos de clientes a un destinatario equivocado é unha brecha de seguridade, aínda que ninguén atacase nada. Perder un portátil sen cifrar cunha base de datos de empregados é unha brecha. Un fallo de configuración que deixa un cartafol de documentos accesible publicamente en internet é unha brecha. Ningún destes casos require un atacante activo, e aínda así activan as mesmas obrigas legais que un ciberataque con filtración de datos.
Por que esta diferenza importa á hora de notificar
A AEPD non pregunta se sufriches un "ciberataque": pregunta se houbo unha brecha de seguridade de datos persoais. Por iso o criterio para decidir se notificas non é "atacáronme?", senón "comprometeuse a confidencialidade, integridade ou dispoñibilidade de datos de persoas?". Se a resposta é si, o prazo legal para notificalo é de 72 horas desde que tes constancia, veña de onde veña.
Isto ten unha consecuencia práctica importante: non podes descartar notificar só porque "non foi un hackeo de verdade". Un erro humano parvo, como adxuntar o arquivo equivocado nun correo masivo, pode obrigarte a notificar exactamente igual que un ataque sofisticado. Podes afondar en cando se activa exactamente esa obriga na nosa guía sobre a obriga de notificar unha brecha de datos segundo o RGPD.
Exemplos para non perderte
- Ciberataque sen brecha de datos: un intento de phishing que un empregado detecta e non abre. Non houbo acceso a datos, non hai brecha que notificar.
- Ciberataque con brecha de datos: un atacante accede ao teu CRM e descarga a base de clientes. É as dúas cousas á vez, e si hai que notificar.
- Brecha sen ciberataque: unha traballadora da túa empresa envía por erro unha folla de cálculo con nóminas a todo o persoal en vez de a un só destinatario. Non hai atacante, pero si hai brecha.
- Nin unha cousa nin a outra: a túa web cae unhas horas por un problema de hosting, sen que se vexan comprometidos datos de ninguén. Non é ciberataque con relevancia de datos nin brecha de seguridade persoal.
Se tes dúbidas sobre se o que che pasou entra nalgunha destas categorías, o máis seguro é tratalo coma se puidese ser unha brecha e avalialo con ese criterio, non co de "se parece un hackeo ou non".
Como pode axudarche Alerta Brecha
Distinguir os termos está ben, pero o que de verdade importa é decatarte a tempo de que algo pasou. En Alerta Brecha vixiamos de forma continua se os datos da túa empresa (correos, dominios, teléfonos) aparecen en filtracións coñecidas, independentemente de se a orixe foi un ciberataque ou un simple erro de terceiros. Temos un Plan Básico (9€/mes, monitorización semanal) e un Plan Profesional (14,50€/mes o primeiro ano, 29€/mes despois, con monitorización diaria, alerta inmediata e un PDF precargado para a AEPD). Ao estar en fase de acceso anticipado, podes apuntarte á lista de espera.
---
Lembra que este artigo ten un carácter meramente divulgativo e non substitúe o asesoramento dun profesional legal cualificado. Para resolver dúbidas concretas sobre a túa situación, consulta cun profesional.