Os datos dos teus clientes,
baixo chave.

Con tres pezas que se sosteñen xuntas: control de accesos, cifrado do sensible e copias de seguridade que de verdade restauran. Un despacho manexa expedientes con datos patrimoniais, procesuais e ás veces médicos de terceiros, así que non abonda con ter un antivirus e confiar. O primeiro é saber quen pode abrir cada expediente e por que: non todo o equipo necesita ver todos os casos. O segundo é que os portátiles e discos que saen da oficina —a un xuízo, a unha reunión cun cliente— vaian cifrados, porque un dispositivo perdido sen cifrar é un incidente e o mesmo dispositivo cifrado, en xeral, non o é. O terceiro son as copias, probadas de verdade, non só programadas. A iso súmase algo que case ninguén ten asinado: o contrato co teu provedor informático como encargado do tratamento. Explicámolo con máis detalle en mantemento informático e RGPD para empresas, e no teu despacho facemos a revisión completa antes de tocar nada.

Que deixas de traballar mentres se resolve, se non hai copias fiables detrás. Un despacho vive de expedientes que non se poden refacer a man: un ransomware que cifra o cartafol de casos activos, ou un disco que morre sen aviso previo, paralizan o traballo do día e comprometen o de meses anteriores se non había nada gardado á parte. Montamos copias automáticas, nun soporte distinto do que usas cada día e con polo menos unha fóra da oficina, e comprobámolas restaurando de verdade, non só mirando que o proceso rematou sen erro. Se ademais pasa o peor, as primeiras horas despois de detectar un cifrado ou un acceso raro son as que deciden canto se salva: illar o equipo afectado, non pagar por impulso e saber a quen chamar antes de que ocorra. Desenvolvémolo en que facer nas primeiras horas dun ransomware, lectura que convén ter antes de necesitala, non despois.

Si, coa conexión ben montada, non con calquera acceso remoto solto. Un socio que necesita entrar nun expediente desde un xulgado, desde a casa ou desde a oficina dun cliente non debería depender de compartir contrasinais por correo nin dun escritorio remoto aberto a internet sen máis protección. Configuramos acceso remoto e VPN cifradas, con dobre factor de autenticación para que un contrasinal filtrado non abonde para entrar, e deixamos os expedientes accesibles só desde dispositivos e contas autorizados, nunca desde calquera equipo que alguén teña á man. Tamén importa que pasa cando o portátil dun socio se perde ou llo rouban: se está cifrado e o acceso remoto pode revogarse no momento, un desgusto non se converte nunha brecha. Montámolo xunto co resto da infraestrutura do despacho, en hosting e nube, para que o acceso remoto e as copias vivan do mesmo lado e non sexan dous sistemas soltos que ninguén acaba de coordinar.

Si, e nun despacho merece especial atención porque o correo move diñeiro: transferencias de clientes, pagamentos a conta, cambios de conta bancaria á última hora. Configuramos correo profesional co teu propio dominio, filtros antiphishing e os rexistros técnicos que dificultan que alguén envíe correo facéndose pasar polo teu despacho. Pero o filtro nunca para o cen por cen, e o fraude que máis doe adoita entrar por teléfono ou por un correo que parece dun cliente real pedindo cambiar a conta de destino dun pagamento. Por iso a outra metade é formar o equipo para desconfiar de calquera cambio urxente nas instrucións de pagamento e verificalo sempre por unha canle distinta da que trouxo o aviso, nunca respondendo á mesma mensaxe. O mesmo patrón de manipulación aparece con quen chama dicindo ser soporte técnico para que lle deas acceso ao equipo; explicámolo en como detectar unha chamada falsa de soporte técnico, e convén que todo o despacho o coñeza, non só quen leva a informática.

Cunha copia non abonda, e gardala no mesmo disco que usas cada día tampouco conta como copia. A referencia que seguimos é ter varias copias do que non te podes permitir perder, en soportes distintos, con polo menos unha fóra da oficina física: así un incendio, un roubo ou un ransomware que cifra todo o que atopa conectado non leva tamén por diante as copias. Nun despacho iso significa expedientes activos, correo e a documentación fiscal e laboral propia, non só o que ve o cliente. A parte que de verdade demostra que unha copia funciona é restaurala e comprobar que o ficheiro se abre; unha copia que nunca se probou é unha suposición, non unha garantía. Explicámolo co método completo en a regra 3-2-1 das copias de seguridade, e deixámolo configurado para que se comprobe só, sen depender de que alguén se lembre cada semana.

Si, se ese provedor entra en equipos onde hai datos dos teus clientes, e para dar soporte entra. O RGPD chámalle encargado do tratamento, e esixe que esa relación estea regulada por escrito: que datos toca, con que finalidade, con que confidencialidade se compromete o seu persoal, que medidas de seguridade aplica e que ocorre cos datos cando a relación remata. É habitual atopar despachos con toda a documentación de protección de datos en orde e sen este contrato asinado, precisamente con quen ten máis acceso técnico aos seus sistemas. É do máis doado de resolver e do que máis se pasa por alto, e funciona nos dous sentidos: se a un provedor lle estraña que lle pidas este contrato, iso xa di algo de como traballa. Explicámolo con máis detalle, incluída a lista do que debe incluír, en que debe incluír un contrato de mantemento informático.