Que é unha brecha de seguridade e que facer paso a paso

Unha brecha de seguridade —ou brecha de datos— non sempre é un ciberataque sofisticado. Moitas veces é un portátil esquecido nun tren, un correo enviado á persoa equivocada ou un cartafol compartido por erro. O que marca a diferenza non é evitar ao 100% que ocorra, senón ter claro que facer cando ocorre. Esta guía explica que é unha brecha de datos segundo o RGPD, que tipos existen e o protocolo ordenado que debe seguir calquera organización: detectar, conter, avaliar, documentar e, cando proceda, notificar.

Que é unha brecha de seguridade?

O RGPD chámaa violación da seguridade dos datos persoais e defínea no seu art. 4.12 como «toda violación da seguridade que ocasione a destrución, perda ou alteración accidental ou ilícita de datos persoais transmitidos, conservados ou tratados doutra forma, ou a comunicación ou o acceso non autorizados a devanditos datos».

Convén ler esa definición amodo, porque desmonta o equívoco máis común. Unha brecha non é só un ataque informático. A norma fala de causas accidentais tanto como ilícitas, e de incidentes tan cotiáns como perder un dispositivo ou dar acceso a quen non debía. Estes son exemplos habituais que encaixan no art. 4.12:

• Perda ou roubo dun portátil, un móbil, un pendrive ou un cartafol con documentación en papel.
• Envío erróneo dun correo ou dun documento a un destinatario equivocado, ou coa lista de destinatarios visible en copia aberta.
• Acceso non autorizado a un sistema, xa sexa externo (intrusión) ou interno (unha persoa que consulta datos aos que non debía chegar).
• Cifrado malicioso da información por un ransomware, que a deixa inaccesible.
• Borrado ou alteración accidental dunha base de datos sen copia de seguridade dispoñible.

A clave é entender que a brecha se refire sempre a datos persoais: información sobre persoas físicas identificadas ou identificables. Un incidente que só afecta a datos técnicos anónimos non constitúe unha brecha no sentido do RGPD, aínda que si poida ser un problema de seguridade informática que conveña resolver.

Tipos de brecha: confidencialidade, integridade e dispoñibilidade

Aínda que o art. 4.12 non as etiqueta con nome propio, da súa redacción despréndense tres tipos de brecha segundo que dimensión da seguridade se vexa afectada. Clasificar o incidente nun deles é o primeiro paso para avaliar ben o ocorrido.

Brecha de confidencialidade

Hai acceso ou divulgación non autorizados aos datos. É o caso do correo enviado a quen non debía, do acceso indebido a un sistema ou da publicación accidental dun listado. Os datos seguen existindo e íntegros, pero foron vistos por quen non correspondía.

Brecha de integridade

Os datos altéranse de forma non autorizada e deixan de ser fiables. Por exemplo, unha modificación indebida de rexistros ou unha manipulación que fai que a información xa non reflicta a realidade. O risco aquí é tomar decisións sobre datos que deixaron de ser correctos.

Brecha de dispoñibilidade

Prodúcese unha perda de acceso aos datos ou a súa destrución. O caso típico é o ransomware que cifra a información, un borrado accidental sen copia ou a avaría irrecuperable dun soporte. Os datos poden seguir existindo, pero a organización non pode usalos cando os necesita.

Un mesmo incidente pode combinar varios tipos á vez. Un ataque que rouba unha base de datos e ademais a cifra afecta simultaneamente á confidencialidade e á dispoñibilidade. Por iso a análise debe facerse incidente por incidente, sen dar nada por suposto.

Que facer paso a paso ante unha brecha

Cando se detecta un incidente, a resposta profesional é ordenada, non precipitada. Actuar con método permite decidir con criterio que obrigas se activan e cales non. Este é o percorrido lóxico.

1. Detectar e confirmar

O primeiro paso é confirmar que ocorreu algo e de que se trata. Moitas alertas resultan ser falsos positivos; outras, incidentes reais. Anota cando se tivo constancia do feito, porque ese momento é o que marca o inicio dos prazos posteriores. Ter constancia significa unha certeza razoable de que houbo un compromiso de datos, non unha simple sospeita inicial.

2. Conter

Antes de analizar nada en profundidade, hai que frear o dano. Segundo o caso: illar o equipo afectado, revogar accesos ou credenciais comprometidas, retirar do sistema o documento publicado por erro ou solicitar a retirada do correo enviado a quen non debía. Conter non resolve a brecha, pero evita que medre mentres se avalía.

3. Avaliar o risco

Este é o paso que determina todo o demais. Hai que valorar o risco para os dereitos e liberdades das persoas afectadas, tendo en conta o tipo de datos implicados, o seu volume, cantas persoas se ven afectadas, a facilidade de identificalas e as posibles consecuencias para elas (por exemplo, suplantación de identidade, perdas económicas ou afectación á súa intimidade). O resultado desta avaliación decide se a brecha queda no rexistro interno, se ademais se notifica á autoridade ou se tamén hai que comunicala aos afectados.

4. Documentar SEMPRE (art. 33.5 RGPD)

Aquí non hai marxe de interpretación: todas as brechas se documentan, se se notifiquen ou non. O art. 33.5 RGPD obriga ao responsable a documentar calquera violación de seguridade, incluídos os feitos relacionados con ela, os seus efectos e as medidas correctivas adoptadas. Ese rexistro interno de brechas é o que permite demostrar que a organización valorou cada incidente con criterio, incluso os que se decidiu non notificar por non entrañar risco. Documentar ben é, na práctica, a mellor proba de que se actuou con dilixencia.

5. Notificar á autoridade de control cando haxa risco (art. 33 RGPD)

Se a avaliación conclúe que a brecha pode entrañar un risco para os dereitos e liberdades das persoas, o art. 33 RGPD obriga a notificala á autoridade de control (en España, a AEPD). Debe facerse sen dilación indebida e, de ser posible, dentro das 72 horas seguintes a ter constancia da brecha. Se non se chega a ese prazo, a notificación debe acompañarse dunha explicación dos motivos da demora. A notificación describe a natureza da brecha, as categorías e o número aproximado de afectados, as consecuencias probables e as medidas adoptadas ou propostas.

6. Comunicar aos afectados se o risco é alto (art. 34 RGPD)

Cando a brecha poida entrañar un alto risco para os dereitos e liberdades das persoas, o art. 34 RGPD esixe ademais comunicarllo directamente ás persoas afectadas, sen dilación indebida e nunha linguaxe clara e sinxela. O obxectivo é que poidan protexerse: cambiar un contrasinal, vixiar movementos bancarios ou estar alerta ante posibles intentos de suplantación. O propio art. 34 contempla excepcións a esta comunicación, por exemplo cando se aplicaran medidas —como o cifrado— que fan os datos ininteligibles para terceiros, ou cando avisar individualmente suporía un esforzo desproporcionado e se opta por unha comunicación pública equivalente.

Táboa de prazos e accións

Esta é a relación entre cada obriga, o seu fundamento no RGPD e cando se activa. Axuda a distinguir o que sempre hai que facer do que depende do risco avaliado.

Nótese a lóxica escalonada: a documentación é universal, a notificación depende de que haxa risco e a comunicación aos afectados só se activa con risco alto. Non toda brecha chega ao último chanzo, pero toda brecha pasa polo primeiro.

O protocolo de brechas: prepararse antes

A mellor forma de responder ben a unha brecha é ter decidido de antemán como se vai responder. Un protocolo de brechas de seguridade é o documento interno que fixa, antes de que pase nada, quen fai que e en que orde. Non é burocracia: é o que permite cumprir un prazo de 72 horas sen improvisar.

Un protocolo útil, aterrado ao día a día, adoita contemplar:

• Unha canle clara de aviso interno. Que calquera persoa do equipo saiba a quen avisar en canto detecta algo raro, sen medo a facelo. Moitas brechas tardan en xestionarse porque quen as detecta non sabe a quen acudir.
• Un responsable de coordinar a resposta. Unha figura que centralice as decisións e evite que cada un actúe pola súa conta.
• Un modelo de rexistro interno preparado para documentar o incidente conforme ao art. 33.5: que pasou, cando se soubo, que datos e persoas afecta, que se fixo e con que resultado.
• Un criterio de avaliación do risco definido con antelación, para non ter que improvisar a valoración baixo presión.
• Os datos de contacto do persoal técnico, do asesor en protección de datos e da vía de notificación á autoridade, á man e actualizados.

O protocolo de brechas encaixa dentro dun marco máis amplo de política de seguridade da información, que define as medidas técnicas e organizativas do art. 32 RGPD. As dúas cousas se sosteñen: boas medidas de seguridade reducen a probabilidade de brechas, e un bo protocolo asegura unha resposta ordenada cando algunha se produce igualmente.

Checklist de resposta

Unha lista rápida para ter á man o día que ocorra. Non substitúe ao protocolo completo, pero ordena os primeiros movementos.

• ☐ Confirmar o incidente e anotar a data e hora en que se tivo constancia.
• ☐ Conter: illar sistemas, revogar accesos, retirar o publicado ou enviado por erro.
• ☐ Identificar que datos e a cantas persoas afecta o incidente.
• ☐ Clasificar a brecha: confidencialidade, integridade, dispoñibilidade ou unha combinación?
• ☐ Avaliar o risco para os dereitos e liberdades das persoas afectadas.
• ☐ Documentar todo no rexistro interno de brechas (sempre, art. 33.5).
• ☐ Decidir se procede notificar á autoridade (art. 33) e, no seu caso, facelo dentro do prazo.
• ☐ Decidir se procede comunicar aos afectados por alto risco (art. 34).
• ☐ Rexistrar as medidas correctivas adoptadas para que non se repita.

Preguntas frecuentes

Que é unha brecha de seguridade segundo o RGPD?

O art. 4.12 RGPD define a violación da seguridade dos datos persoais como toda violación da seguridade que ocasione a destrución, perda ou alteración accidental ou ilícita de datos persoais, ou a comunicación ou o acceso non autorizados a devanditos datos. Non é só un ciberataque: tamén o é perder un portátil, enviar un correo con datos ao destinatario equivocado ou extraviar documentación en papel.

Todas as brechas de seguridade se notifican á AEPD?

Non. Só se notifican á autoridade de control as brechas que poidan entrañar un risco para os dereitos e liberdades das persoas afectadas (art. 33 RGPD). Agora ben, todas as brechas, se se notifiquen ou non, deben quedar documentadas nun rexistro interno (art. 33.5 RGPD). A decisión de notificar depende dunha avaliación previa do risco, non da gravidade aparente.

En canto tempo hai que notificar unha brecha á autoridade de control?

O art. 33 RGPD establece que, cando a brecha deba notificarse, se faga sen dilación indebida e, de ser posible, nun prazo máximo de 72 horas desde que o responsable ten constancia dela. Se se notifica máis tarde, debe acompañarse dos motivos da demora. O prazo empeza a contar desde que a organización ten constancia razoable de que ocorreu, non desde o primeiro indicio.

Cando hai que avisar ás persoas afectadas por unha brecha?

Cando a brecha poida entrañar un alto risco para os dereitos e liberdades das persoas afectadas (art. 34 RGPD). Nese caso hai que comunicarllo sen dilación indebida, nunha linguaxe clara, explicando que pasou, as posibles consecuencias e as medidas adoptadas. Se o risco é alto pero se aplicaron medidas que o neutralizan, o propio art. 34 prevé excepcións a esta comunicación.

En resumo

Unha brecha de seguridade é calquera destrución, perda, alteración, comunicación ou acceso non autorizados a datos persoais (art. 4.12 RGPD), e pode ir desde un ciberataque ata un correo mal enviado. A resposta correcta é sempre metódica: detectar, conter, avaliar o risco, documentar no rexistro interno —isto último, sempre, por esixencia do art. 33.5— e, segundo o risco, notificar á autoridade de control no prazo do art. 33 e comunicar aos afectados conforme ao art. 34. Ter un protocolo preparado converte un momento delicado nun procedemento ordenado.

Como te acompaña Certix

En Certix axudamos ás organizacións a preparar o seu protocolo de brechas antes de necesitalo e a xestionalo con criterio cando chega o momento. Definimos a canle interna de aviso, o modelo de rexistro conforme ao art. 33.5, o criterio de avaliación do risco e a coordinación da notificación cando procede. O obxectivo non é o medo, senón a orde: que saibas exactamente que facer e en que prazo.

Podes empezar por entender o marco completo na nosa guía do RGPD ou revisar como se integra o protocolo dentro da túa política de seguridade da información.

---

Este contido é meramente orientativo e divulgativo; non constitúe en ningún caso asesoramento xurídico especializado. A aplicación da normativa a cada caso concreto require análise individualizada.