Un proyecto de concienciación se aprueba dos veces. La primera vez lo evalúa el área de seguridad, que mira arquitectura, integraciones y controles. La segunda lo evalúa quien responde por los datos personales de la organización, y esa persona pregunta otra cosa.
Esa segunda conversación llega siempre con las mismas cuatro preguntas. Qué datos nuestros terminan ahí, dónde se guardan, cuánto tiempo y quién los mira. Se responden con un plazo, un nombre de región o un mecanismo. Cuando lo que llega es una declaración de buenas intenciones, la respuesta todavía no existe.
Lo que sigue es cómo contestamos nosotros esas cuatro preguntas sobre los datos de un programa de concienciación, con los plazos y las regiones publicados. El ejercicio sirve para evaluar cualquier plataforma.
¿Qué datos entran al programa y qué datos genera el programa?
Son dos conjuntos distintos y conviene no mezclarlos, porque tienen origen, dueño y riesgo diferentes.
El primero entra desde la organización y son tres campos, nombre, apellido y dirección de correo. Es el mínimo para que exista una audiencia y para que un resultado se pueda atribuir a alguien. Cualquier otro atributo, como el área o el cargo, entra solo si la organización quiere segmentar con él. Nada de eso lo crea la plataforma, viene del directorio corporativo por importación o por sincronización, y su dueño sigue siendo el cliente.
El segundo lo genera la medición y no existía antes. Lo componen un mensaje entregado, una apertura, un clic, un reporte a través del botón, una formación completada con fecha y tópico, y un puntaje de riesgo por persona, por grupo y por organización. Ese conjunto suele quedar fuera del análisis del comité de privacidad y es el más delicado, porque describe el comportamiento de una persona identificable frente a un estímulo. La construcción de un puntaje de riesgo humano fiable empieza por decidir qué señales entran a ese conjunto y cuáles no.
La distinción tiene una consecuencia práctica. Sobre el primer conjunto discutes volumen y sincronización. Sobre el segundo discutes finalidad, plazo y visibilidad, que son las tres cosas que un delegado de protección de datos va a querer por escrito.
¿Guarda la plataforma la contraseña que alguien escribió en la simulación?
No, y el mecanismo importa más que la afirmación. Es la pregunta que más veces me hicieron en implementaciones, y la peor manera de responderla es pedir confianza.
Las trampas de una simulación de phishing se configuran para permitir o para impedir el ingreso de credenciales. Cuando no lo permiten, el colaborador que llega al sitio simulado encuentra el campo de contraseña deshabilitado, y el de usuario admite un solo carácter. No hay nada que escribir y por lo tanto no hay nada que viaje.
Cuando lo permiten, el formulario puede tener una cantidad indeterminada de campos, pero solo dos entran en la decisión, user y password, identificados por el atributo name. Al enviarse, se verifica que ambos traigan datos. Si los dos tienen contenido, la campaña lo registra como datos ingresados sin importar qué se escribió. Si uno está vacío, la página se recarga. Los datos viajan por HTTPS y no se almacenan, ni se analizan, ni se manipulan en ningún momento.
El resultado es una métrica binaria. La plataforma sabe que una persona entregó una credencial, nunca cuál. Eso alcanza para medir el comportamiento, que es lo único que la simulación fue a buscar, y elimina de raíz la pregunta incómoda sobre qué pasaría si esa base se filtrara. Es la misma lógica de lo que hay que tener configurado antes de creerle a la tasa de clic, una métrica sirve cuando sabes exactamente qué la produce.
¿Dónde viven esos datos y qué parte del camino sale de Europa?
La plataforma está localizada en Dublín, Irlanda. La región es EU (Ireland) eu-west-1. Las bases de datos usan PostgreSQL con alta disponibilidad y cada cliente tiene su propio esquema, separado e independiente de los demás. Existe un esquema compartido que contiene los contenidos predefinidos, y la información confidencial de cada organización vive en el suyo, que es el mismo principio de aislamiento que sostiene la operación multitenant.
En reposo, las bases están cifradas con AES-256 y las claves las administra Amazon a través de su servicio de gestión de claves. En tránsito, todas las comunicaciones van por TLS 1.2 y 1.3. Los ambientes de desarrollo y testing son independientes del de producción, y la base de producción nunca se usa en otro entorno.
Hasta acá la respuesta suena a “todo está en Irlanda”, y conviene precisar hasta dónde llega. El almacenamiento, el entorno de ejecución y la herramienta de gestión de logs están ahí. El envío de correo se reparte entre dos proveedores, uno en esa misma región europea y otro en Estados Unidos. La importación y la autenticación de usuarios y las notificaciones a los colaboradores se apoyan en servicios que operan en Estados Unidos. La autenticación mediante Auth0 se mantiene en Europa.
Nada de eso es un hallazgo, está publicado en la política de subprocesadores de datos, que además detalla qué dato concreto toca cada proveedor y da al cliente treinta días para objetar un subprocesador nuevo. Las transferencias fuera del Espacio Económico Europeo se cubren con cláusulas contractuales tipo o con reglas corporativas vinculantes, según el acuerdo de procesamiento.
La pregunta útil no se contesta con un sí o un no. Hay que precisar qué dato sale, hacia dónde, para qué función y con qué instrumento legal. Un proveedor que contesta la primera versión con un sí rotundo probablemente no leyó su propia arquitectura, y eso también es información para quien está armando su cuestionario de seguridad a proveedores.
¿Qué plazo de retención de datos tiene cada cosa?
No hay un plazo único, hay varios relojes que corren en paralelo, y ninguno dice “para siempre”.
- Backups. Diarios, cifrados y separados por cada cliente, almacenados de forma redundante en instancias de Amazon S3 y de Google Cloud Storage EU
eu-west-1. Se retienen 90 días y se prueban con restauraciones controladas periódicas. - Logs del sistema. Se guardan en un registro centralizado durante un año, para análisis posteriores si hacen falta.
- Datos del servicio al terminar la suscripción. El cliente tiene 30 días para exportar la información o pedir su eliminación. Pasado ese plazo se eliminan todos los datos del servicio.
- Registros de auditoría. No tienen un plazo propio publicado. Forman parte de los datos del servicio, así que su salida está gobernada por el mismo plazo de treinta días del punto anterior.
Hay un cálculo que casi nadie hace. Los plazos del proveedor son el techo de lo que tu organización puede prometerle a su propio comité. Si tu política interna dice que el resultado de una campaña se conserva doce meses, y el backup del proveedor lo retiene noventa días más a partir de la última copia, el plazo real de conservación es la suma de los dos. Ese es el número que corresponde llevar a la política interna.
¿Quién mira el resultado de un colaborador y qué queda registrado de esa mirada?
Primero el reparto de roles, porque define quién decide. SMARTFENSE es responsable del tratamiento de los datos personales de sus propios clientes, partners y empleados. Respecto de los datos que son responsabilidad del cliente, asume el rol de encargado, y trata siempre por cuenta y orden de ese cliente. En la práctica, la decisión de quién ve el resultado de una persona dentro de una organización queda en manos de esa organización.
Lo que sí aporta la plataforma es la bitácora. Todas las actividades de usuarios finales, de usuarios administrativos y del sistema quedan registradas. Ahí aparece qué usuario completó qué contenido, en qué fecha y sobre qué tópico, la creación o la eliminación de una campaña, que no es posible borrar ni ocultar, y también cuándo se envió un correo, cuándo corrió una importación automática de usuarios y cuándo se exportó información. Los registros son detallados e inalterables, protegidos por un sistema anti-tampering, y no se pueden modificar de ninguna manera.
Ese diseño suele defenderse como requisito de auditoría. Su efecto más importante apunta en la otra dirección. La bitácora protege a la gente medida, porque la exportación del resultado de una persona también deja rastro, y el administrador que se lleva un informe queda registrado con la misma precisión que el colaborador que hizo clic. Un programa que puede demostrar quién miró qué está en mejores condiciones de sostener la evidencia que le van a pedir que uno que solo puede demostrar resultados.
¿Qué pasa cuando alguien pide que borren sus datos?
El derecho de supresión del RGPD no es absoluto. El artículo 17 reconoce el derecho y en su apartado 3 enumera los casos en que no se aplica, entre ellos el cumplimiento de una obligación legal que exija tratar esos datos.
Para quien elige plataforma eso se traduce en una capacidad concreta. Hay que poder atender el pedido de una persona sin romper la evidencia que una auditoría va a pedir después, y eso necesita algo más fino que un botón que borra todo. Qué se conserva, y con qué base legal, lo decide la organización, que es la responsable del tratamiento. Lo que la plataforma tiene que aportar es la ejecución.
¿Qué te llevas el día que decides irte?
La prueba final de cualquier acuerdo de datos es la salida, y se mide en plazos.
Al finalizar el servicio hay 30 días para exportar la información o solicitar su eliminación, y el formato de salida está resuelto por la API de la plataforma, que expone las mismas áreas de datos que usa el programa mientras está vivo. Ante una violación de datos confirmada, la notificación llega dentro de las 48 horas. Todo eso está en el acuerdo de procesamiento de datos, que es un documento público y se puede leer antes de firmar.
Conviene mirar qué es lo que se lleva. Un programa de tres años produce un histórico de campañas, formaciones completadas y puntajes que es, al mismo tiempo, la evidencia de cumplimiento de esos tres años. Salir sin ese histórico significa empezar la próxima auditoría desde cero, con la carga de la prueba en contra. Esa conversación conviene tenerla al firmar, mientras sigue siendo una cláusula negociable.
Preguntas frecuentes
¿Qué datos personales necesita una plataforma de concienciación?
Tres campos, nombre, apellido y dirección de correo. Es el mínimo para que exista una audiencia y para que un resultado se pueda atribuir a alguien. Cualquier otro atributo, como el área o el cargo, entra solo si la organización quiere segmentar con él. Esos datos vienen del directorio corporativo del cliente, la plataforma no los crea. Lo que sí crea son los datos de comportamiento, que no existían antes de la medición.
¿Se guardan las contraseñas que los colaboradores escriben en una simulación de phishing?
No. En las trampas configuradas sin ingreso de credenciales, el campo de contraseña está deshabilitado y el de usuario admite un solo carácter. En las que permiten el ingreso, solo se verifica que los campos user y password traigan datos, y se registra el resultado como datos ingresados sin importar qué se escribió. Esos datos no se almacenan, ni se analizan, ni se manipulan.
¿Dónde se alojan los datos de un programa de concienciación de SMARTFENSE?
El almacenamiento, el entorno de ejecución y la gestión de logs están en la región EU (Ireland) eu-west-1, con un esquema de base de datos independiente por cliente, cifrado AES-256 en reposo y TLS 1.2 o 1.3 en tránsito. Otras piezas del servicio operan fuera del Espacio Económico Europeo, y cada una está declarada con su proveedor y su país en la política de subprocesadores.
¿Cuánto tiempo se conservan los datos de las campañas de concienciación?
Hay plazos distintos por tipo de dato. Los backups son diarios y se retienen 90 días. Los logs del sistema se guardan en un registro centralizado durante un año. Al terminar la suscripción, el cliente tiene 30 días para exportar la información o pedir su eliminación, y pasado ese plazo se eliminan todos los datos del servicio.
¿Se puede borrar todo lo de una persona cuando lo pide?
El artículo 17 del RGPD reconoce el derecho de supresión y en su apartado 3 enumera las excepciones, entre ellas el cumplimiento de una obligación legal que exija tratar esos datos. Quién decide qué entra en cada caso es la organización, en su rol de responsable del tratamiento.
Si estás evaluando plataformas de concienciación, pide las cuatro respuestas por escrito antes de la demo técnica. Región de alojamiento, plazos de retención por tipo de dato, reparto de roles y condiciones de salida. Las nuestras están publicadas y se pueden comparar contra las de cualquier otro.
Deja una respuesta