Auditoría de seguridad detecta fallos graves: ¿cómo actuar legalmente?

¿Tienes razón?

Que una auditoría detecte fallos graves no te convierte automáticamente en responsable penal o administrativo. Lo que determina si tienes razón o si te exigirán responsabilidades son, principalmente: 1) qué tipo de datos están afectados (datos personales sensibles, datos de consumidores, secretos empresariales); 2) si la vulnerabilidad ha sido explotada o comunicada a terceros; 3) las obligaciones contractuales o normativas que ya incumplías (medidas de seguridad mínimas acordadas en contratos o exigidas por ley); y 4) lo que hiciste tras conocer el informe: si adoptaste medidas razonables y conservaste pruebas, tu posición será mejor.

Si contratas a un tercero para auditar, revisa el alcance del encargo: una auditoría interna cuyo objetivo era «mejoras» no equivale a un certificado de cumplimiento legal. Si el informe mostraba avisos previos no corregidos, eso pesa en tu contra. En cambio, si la auditoría ha permitido detectar fallos no conocidos y ejecutas mitigaciones razonables y documentadas, puedes reducir riesgos administrativos y civiles.

Cómo se soluciona

1) Conserva y organiza la prueba. Guarda el informe original, correos con el auditor, facturas y cualquier archivo con marcas temporales. Exporta conversaciones y chat; haz copias hash si es posible. Si la auditoría se ha realizado por un tercero, conserva el contrato de prestación de servicios y el alcance firmado.

2) Evalúa el alcance técnico con el equipo de seguridad. Traduce los hallazgos a una lista priorizada: vulnerabilidades explotables en producción, vulnerabilidades en entornos de pruebas, problemas de configuración, filtraciones de datos. A cada ítem asigna responsable, acción y justificante documental.

3) Determina obligaciones de notificación. Revisa los contratos con clientes y proveedores y la ley de protección de datos para saber si debes informar a afectados o a la autoridad. No intentes adivinar: consulta con el área legal o con un abogado especializado antes de enviar comunicaciones formales.

4) Comunica internamente y, si procede, externamente. Si hay riesgo para derechos y libertades de las personas, el Reglamento de protección de datos y la normativa española exigen medidas y, en ciertos supuestos, notificación a la autoridad de control y a los afectados. Prepara un texto claro y veraz: explica qué ocurrió, medidas adoptadas y recomendaciones prácticas para los afectados.

5) Actualiza contratos y pólizas. Si la auditoría pone de manifiesto carencias en proveedores, revisa cláusulas de seguridad en los contratos y la cobertura del seguro de ciberriesgo. Exige a proveedores pruebas de mitigación y, si procede, auditorías de seguimiento.

6) Si hay indicios de delito: conserva logs y limita accesos. No manipules evidencias. Contacta con un abogado que coordine con peritos informáticos y, si corresponde, con las fuerzas y cuerpos de seguridad.

Qué puedes hacer tú hoy: copia el informe, recopila correspondencia con el auditor, anota las fechas en que te informaron y quién tuvo acceso. Qué debe hacer un profesional: valorar obligaciones legales, preparar notificaciones y coordinar peritaje forense si hay indicios de explotación.

Qué puede pasar

1) Se arregla con una carta o informe de remediación. En muchos casos la situación se soluciona internamente: parcheas, cierras vectores de acceso y envías un informe de seguimiento a clientes o a la autoridad, que no necesita abrir expediente si las medidas son adecuadas. Esto evita costes y daño reputacional.

2) Acuerdo o conciliación contractual. Si clientes o proveedores reclaman, lo habitual es negociar compensaciones o medidas técnicas de reparación. Un acuerdo puede incluir auditorías de seguimiento y limitaciones de responsabilidad. Aceptar un acuerdo menor puede merecer la pena si te evita un procedimiento largo y costoso.

3) Procedimiento administrativo o judicial. Si la autoridad de protección de datos abre expediente, podría imponer sanciones administrativas si encuentra infracciones. En vía civil, clientes o afectados pueden reclamar daños. Si pierdes, podrías tener que pagar indemnizaciones y costas. Y si la empresa es insolvente, una sentencia no garantiza cobro efectivo: la ejecución depende del patrimonio del responsable.

Y si ganas, ¿cobras? Ganar una sentencia sólo vale si hay bienes o seguros que permitan ejecutar. Antes de pleitear valora la solvencia de la contraparte y la existencia de pólizas de ciberriesgo.

Errores que arruinan el caso

• Borrar o alterar logs y archivos de auditoría. Destruir evidencias dificulta la defensa y puede agravar la situación.
• No documentar las medidas adoptadas. Si parcheas sin dejar constancia, nadie podrá verificar que actuaste en tiempo y forma.
• Enviar comunicaciones improvisadas a clientes o publicar detalles técnicos que faciliten la explotación. Un comunicado mal redactado puede provocar pánicos y reclamaciones masivas.
• Ignorar al auditor o no seguir recomendaciones básicas. Si el auditor avisó y no actuaste, eso se interpreta mal en procedimientos.