Auditoría de seguridad detecta fallos graves: ¿cómo actuar legalmente?

¿Tienes razón?

Que una auditoría encuentre vulnerabilidades no implica automáticamente que tengas derecho a reclamar o sancionar: lo que determina tu posición es al menos esto. Primero, quién encargó la auditoría y con qué alcance: si la auditoría era interna y contratada por la empresa, su informe es prueba técnica fuerte; si fue externa, la relación contractual con el proveedor define confidencialidad, propiedad del informe y obligaciones de notificación. Segundo, el tipo de hallazgo: una vulnerabilidad teórica sin explotación es distinto de una brecha con exfiltración de datos. Tercero, los contratos: las cláusulas de seguridad, niveles de servicio y responsabilidad (incluidas exclusiones y límites) marcan qué puedes reclamar al proveedor que falló. Cuarto, la obligación de notificar: si los datos personales estuvieron en riesgo, hay deberes contractuales y regulatorios de notificación. Si cumples todos estos puntos —tienes informe, hay riesgo real y el proveedor incumplió sus obligaciones— tu posición para exigir reparación está bien fundada.

Cómo se soluciona

1. Conserva y exporta inmediatamente todo: guarda el informe original, los logs, las capturas y los correos. Exporta las conversaciones de mensajería, descarga reportes del SIEM y haz copias forenses si es posible. Hazlo de forma que quede constancia de integridad (exportaciones, hash de archivos, correo con acuse).

1. Contención técnica: pide al equipo de TI o al proveedor medidas para mitigar las vulnerabilidades identificadas: parches, desactivación de servicios inseguros, bloqueo de IP, rotación de credenciales. Documenta cada acción con fecha, hora y responsable.

1. Revisa contratos y políticas: busca las cláusulas sobre incidentes, notificación, obligaciones de seguridad, exclusiones de responsabilidad y niveles de servicio. Identifica si el proveedor tenía obligación expresa de tener controles que fallaron.

1. Comunica internamente con formato fehaciente: envía un reporte a la dirección y al área legal con el informe y las medidas tomadas. Si hay comité de crisis, actívalo. La comunicación interna bien documentada protege frente a acusaciones de negligencia.

1. Evalúa la obligación de notificar a afectados y reguladores: si hay datos personales expuestos, consulta con compliance si procede notificar a titulares y a la autoridad que corresponda. La decisión debe basarse en la naturaleza de los datos y el riesgo concreto.

1. Reclama al proveedor por escrito: describe las fallas, exige medidas correctivas y reparación según contrato. Adjunta pruebas técnicas. Pide respuesta y plan de mitigación por escrito.

1. Si el proveedor se niega o la respuesta es insuficiente, prepara el caso: recopila la documentación contractual, el informe técnico, los daños concretos (pérdidas operacionales, multas, costes de remediación) y consulta con un abogado especializado para evaluar opciones de demanda o renegociación contractual.

Acciones que puedes hacer solo: exportar y guardar pruebas, pedir medidas de contención, revisar contratos básicos y enviar comunicaciones internas. Cuándo necesitas abogado: si el proveedor niega responsabilidad, si hay afectación de datos personales que implique obligaciones regulatorias, si el proveedor ofrece acuerdos económicos, o si la reparación exige cuantificar daños.

Qué puede pasar

1) Se arregla con una carta y corrección técnica: lo más frecuente es que, tras recibir el informe y la reclamación, el proveedor ejecute parches y mejores controles y las partes firmen un acta de cierre. Esto suele evitar litigios y restablece operaciones.

2) Acuerdo o conciliación comercial: si hay costes por remediación, pérdida de negocio o multas potenciales, puede aparecer una oferta de compensación. Un acuerdo reduce la incertidumbre: permite cobrar y cerrar el tema sin perfilar pruebanas más profundas, y evita gastos de juicio. Un abogado ayuda a cuantificar y negociar.

3) Juicio o reclamación formal: si la otra parte niega responsabilidad o las consecuencias son severas, el conflicto puede terminar en demanda. Si pierdes en juicio, puedes quedar con la carga de costas procesales y gastos; si ganas, la sentencia obliga al pago, pero cobrar depende de la solvencia del demandado. Una sentencia contra una empresa insolvente puede ser difícil de ejecutar.

Y si ganas, ¿cobras? La sentencia es un título que facilita el cobro, pero la ejecución depende del patrimonio del condenado. Por eso en la práctica muchos acuerdos comerciales son preferibles.

Errores que arruinan el caso

• No conservar la auditoría original ni los logs: borrar evidencia técnica elimina tu principal medio de prueba.
• Dejar pasar comunicaciones informales como únicas pruebas: no te fíes de conversaciones verbales; convierte todo en mensajes exportados o correos firmados.
• No revisar las cláusulas contractuales de exclusión de responsabilidad: creer que todo es reclamable sin leer el contrato suele llevar a sorpresas.
• Alterar sistemas sin registrar las acciones forenses: tocar servidores sin control puede acusarte de manipular pruebas.
• Aceptar ofertas económicas sin consultar: un acuerdo inicial puede ser insuficiente; si la otra parte ofrece pagar, ese es el momento de pedir asesoría.