Auditoría de seguridad detecta fallos graves: ¿cómo actuar legalmente?

¿Tienes razón?

Una auditoría que descubre fallos graves no convierte automáticamente a nadie en responsable civil o penal. Tres factores deciden si su hallazgo le da derecho a reclamar o a exigir remediación: el alcance y la autorización de la prueba, la naturaleza de los datos afectados y si la vulnerabilidad ya se explotó o divulgó.

1) Ámbito y autorización. Si la auditoría estaba contratada y autorizada por el responsable del tratamiento o por la dirección de la empresa, los hallazgos son prueba válida para exigir medidas. Si la auditoría fue hecha sin autorización, su situación cambia: la prueba puede ser cuestionada y usted puede enfrentarse a reproches disciplinarios o incluso a responsabilidad por acceso indebido.

2) Naturaleza de los datos. Si la vulnerabilidad afecta datos personales sensibles o información crítica de clientes, proveedores o empleados, la obligación de notificar y remediar adquiere importancia mayor. En Ecuador, la protección de datos y deberes de seguridad pueden derivar en sanciones administrativas y obligaciones de reparación frente a afectados.

3) Explotación y divulgación. Si alguien ya usó la vulnerabilidad para acceder, modificar o filtrar información, su derecho a reclamar medidas y compensación es más fuerte. Si la falla permanece sin explotación, su objetivo principal será contener el riesgo y corregirla.

Si su auditoría se limitó a detectar y documentar vulnerabilidades dentro de un contrato y con consentimiento, usted tiene base para exigir plan de corrección, seguimiento y, si procede, mitigación para terceros afectados.

Cómo se soluciona

1. Conserve toda la evidencia. Exporte y guarde los informes originales, los logs, las capturas de pantalla, los e-mails que muestran la autorización y el alcance de la auditoría, y cualquier exportación de conversación con el proveedor o la dirección. Guardar metadatos (fechas, autores, hash de archivos) refuerza la validez de la prueba.

1. Notifique internamente por escrito. Dirija un informe formal a la persona o área responsable (gerencia de TI, delegado de protección de datos si existe) describiendo las vulnerabilidades, el riesgo y las recomendaciones técnicas. Use correo corporativo y solicite acuse de recibo.

1. Exija plan de remediación documentado. Pida un cronograma técnico y responsable asignado por escrito. Si usted es el auditor externo, ofrezca un plan de pruebas de corrección para verificar remediciones.

1. Si la vulnerabilidad afecta datos personales o clientes, prepare la notificación a terceros. Identifique qué información fue afectada y redacte un texto claro para comunicárselo a los interesados y, si aplica, a autoridades competentes.

1. Si la empresa no actúa: documente cada intento de contacto. Si la vulnerabilidad supone riesgo real para terceros y la empresa se niega a corregir, busque asesoría legal para valorar acciones administrativas o civiles. Un abogado puede formalizar requerimientos y, si procede, orientar sobre denuncias administrativas.

1. Mantenga confidencialidad responsable. No publique detalles técnicos que permitan la explotación. La forma prudente es compartir pruebas y planes de mitigación con las partes afectadas y la autoridad competente, si procede.

Qué puede hacer usted solo y qué necesita profesional. Usted puede conservar evidencia, notificar internamente, y solicitar correcciones. Necesitará un abogado cuando haya daño real a terceros, negación de la empresa a remediar, riesgo de responsabilidad penal o necesidad de notificar autoridades o clientes masivamente.

Qué puede pasar

1) Se arregla con una carta y medidas internas. Muchas veces la empresa acepta el informe, corrige las fallas y financia el parche. Resultado: riesgo mitigado, no hay procedimiento formal.

2) Acuerdo o conciliación. Si hay daños o filtraciones, es común negociar un plan de compensación y obligaciones de seguimiento. Un acuerdo puede incluir obligación de auditorías periódicas, compensación por incidentes y cláusulas de confidencialidad. Un acuerdo rápido puede evitar largos procesos y costear la mitigación.

3) Juicio o procedimiento administrativo. Si la empresa no atiende, podría iniciarse un reclamo civil por responsabilidad por daños o un procedimiento ante autoridades competentes. En juicio, la empresa puede ser declarada responsable y condenada a reparar, pero si la empresa no tiene bienes líquidos, una sentencia puede ser difícil de ejecutar. Además, la parte demandada puede intentar alegar que la auditoría no estaba autorizada o que la vulnerabilidad no produjo daño real. Sobre las costas, si usted demanda y pierde, corre el riesgo de cargas procesales; si gana, la ejecución depende de la solvencia de la parte contraria.

Y si gana, ¿cobra? Una sentencia a su favor es una obligación de pago o de reparación, pero la efectividad práctica depende de la capacidad económica del obligado. Por eso, en la fase inicial, valorar acuerdo sobre ejecución futura puede ser más práctico.

Errores que arruinan el caso

• No conservar metadatos: borrar versiones originales o no guardar logs permite que la otra parte cuestione la autenticidad del informe.

• Publicar detalles técnicos en canales abiertos: facilita la explotación y le resta credibilidad profesional.

• No dejar constancia escrita de la autorización: si su auditoría no queda documentada, la empresa puede negar consentimiento y desacreditar la prueba.

• Actuar sin coordinar con responsables legales o de TI: cambios que complican la evidencia (como restauraciones o parches mal documentados) dificultan acreditar que la vulnerabilidad existió y su alcance.

• Aceptar arreglos verbales sin prueba: si la empresa promete arreglar «pronto» y no queda por escrito, pierde palancas para exigir cumplimiento.