Convierta «teníamos medidas de seguridad» en «puedo probarlo»

La mayoría de las empresas medianas españolas tiene medidas de protección razonables. Casi ninguna tiene el expediente que las documenta. Esa distancia, que hoy parece administrativa, el día de la reclamación es la distancia entre una absolución y una condena en serie.

El Expediente de Diligencia Demostrable es el dosier con el que ganará los pleitos que vengan después de un ataque. No es una auditoría de sus sistemas ni un manual de cumplimiento genérico: es la construcción ordenada, fechada y firmada de la prueba que un tribunal español valora.

Para quién es

• Empresas que custodian datos personales de miles de clientes, pacientes o usuarios en sistemas propios.
• Quien ha sufrido un incidente en los últimos meses y todavía no ha cerrado el expediente probatorio de aquel episodio. Es lo más urgente de esta lista.
• Quien ha visto a un competidor de su sector recibir una avalancha de reclamaciones y no sabe qué entregaría si mañana le tocara a él.
• Consejos y direcciones generales que necesitan una respuesta documentada, no una tranquilizadora, a la pregunta «¿estamos cubiertos?».

No es para usted si busca una revisión de infraestructura. Aquí no evaluamos sistemas: evaluamos y construimos su capacidad de probar. Si no sabe por dónde empieza, empiece por el Test de Gestión de Brecha.

Qué incluye exactamente

1. Inventario fechado de medidas. Qué protección tiene implantada, desde cuándo, quién la aprobó y con qué soporte documental se acredita cada punto.
2. Protocolos escritos. Quién decide qué y en qué plazo ante un incidente, con la cadena de mando por escrito y firmada, no supuesta.
3. Registro de accesos y de decisiones. El rastro que permite reconstruir, sin reconstruir nada, quién accedió a qué y qué se decidió en cada momento.
4. Formación documentada. Contenido, fecha, asistentes y acreditación de cada sesión impartida a la plantilla.
5. Registro de correcciones. Cuándo se detectó un dato inexacto, cuándo se rectificó o suprimió y por qué, con constancia de cada paso.
6. Índice maestro del expediente. Un solo documento que dice dónde está cada prueba, para poder entregarla en días y no en meses.

Qué regla resuelve

Regla A — Diligencia demostrable, no infalibilidad. Los tribunales valoran la diligencia en concreto, caso por caso. La Audiencia Provincial de Madrid absolvió al demandado atendiendo a su actuación y a lo que pudo acreditar, y consideró suficiente una medida tan modesta como un fichero protegido por contraseña de acceso restringido.

Regla D — Responsabilidad proactiva. No basta con cumplir: hay que ser capaz de demostrarlo, y la carga de esa demostración recae sobre usted. Es la razón por la que este servicio existe.

Entregables

• Expediente completo en soporte documental ordenado y fechado, listo para entregar a un abogado o a un juzgado.
• Índice maestro con la ubicación de cada prueba y la regla que la justifica.
• Protocolos escritos de decisión y de respuesta, firmados por quien corresponde.
• Modelos de registro para mantener el expediente vivo sin depender de nosotros.
• Informe de huecos: qué prueba no existe hoy, qué consecuencia tiene y en qué orden conviene cerrarla.

Plazo orientativo

Entre cuatro y ocho semanas según el número de sistemas y proveedores implicados. Si ha sufrido un incidente reciente, el bloque probatorio de ese episodio se aborda primero y por separado, en los primeros días.

Antes de contratar nada, conviene entender qué se juega: lo explicamos en qué mira realmente un tribunal después de una brecha, y lo puede medir en su empresa con el Test de Gestión de Brecha.