El programa de gestión guarda lo que hace funcionar tu empresa: clientes, pedidos, facturas, stock, trabajadores. Si un día esos datos desaparecen, se cifran por un ataque o quedan a la vista de quien no debe, el problema ya no es informático: es de negocio. Este artículo repasa las medidas básicas para proteger esos datos y, sobre todo, cómo comprobar que las copias de seguridad sirven de verdad.
Qué puede salir mal
Conviene saber de qué te estás protegiendo, porque cada riesgo pide una medida distinta:
| Riesgo | Ejemplo | Medida principal |
|---|---|---|
| Avería | Falla el disco del servidor de la oficina | Copias en otro dispositivo y otro lugar |
| Error humano | Alguien borra un ejercicio o sobrescribe una tarifa | Copias con varias versiones anteriores |
| Ataque de secuestro de datos | Un programa malicioso cifra los ficheros y pide un rescate | Copias desconectadas o que no se puedan modificar |
| Robo o pérdida | Se pierde un portátil o un móvil con acceso al programa | Contraseñas, cifrado y bloqueo de accesos |
| Acceso indebido | Un antiguo empleado sigue entrando con su usuario | Gestión de usuarios y permisos |
| Desastre en la oficina | Incendio, inundación | Copia fuera de las instalaciones |
Copias de seguridad que se pueden recuperar
Una copia que no se ha probado a recuperar es una esperanza, no una copia. Estas son las preguntas que tienes que poder contestar:
- ¿Qué se copia? La base de datos del programa, pero también los documentos adjuntos, las plantillas, la configuración y lo necesario para reinstalar.
- ¿Cada cuánto? Piensa cuánto trabajo puedes permitirte perder. Si la respuesta es «nada de un día», la copia tiene que ser al menos diaria.
- ¿Dónde? Una práctica muy extendida es tener varias copias, en soportes distintos y al menos una fuera de la oficina. Así, una avería, un robo o un incendio no se lleva todo a la vez.
- ¿Cuántas versiones? Si solo guardas la copia de anoche y el error se produjo hace una semana, la copia también lo tiene.
- ¿Está protegida? Un disco conectado permanentemente al servidor puede cifrarse en el mismo ataque. Al menos una copia debe estar desconectada o protegida contra cambios.
- ¿Quién la revisa? Alguien tiene que comprobar que se ha hecho y que no ha dado error.
- ¿Se ha probado a recuperar? Cada cierto tiempo, restaura una copia en un equipo de pruebas y comprueba que el programa arranca y los datos están.
Si el programa está en la nube, no des por hecho que las copias están incluidas. Pregunta al proveedor cuáles hace, cuánto tiempo las guarda, si puedes pedir una copia de tus datos y en cuánto tiempo pueden restaurarlos.
Quién entra y qué puede hacer
Muchos problemas no vienen de fuera, sino de accesos mal gestionados:
- Un usuario por persona. Nada de usuarios compartidos como «almacen» u «oficina». Si no sabes quién hizo un cambio, no puedes corregir el origen.
- Permisos según el puesto. Quien hace pedidos no necesita ver nóminas; quien factura no necesita borrar clientes.
- Contraseñas robustas y, si el programa lo permite, doble verificación, sobre todo para accesos desde fuera de la oficina.
- Altas y bajas al día. Cuando alguien deja la empresa, su acceso se cierra ese mismo día, también en el móvil.
- Revisión periódica. Repasa la lista de usuarios de vez en cuando. Suelen aparecer sorpresas.
Actualizaciones y equipos
Los ataques aprovechan con frecuencia fallos conocidos que ya tienen solución. Mantén actualizados el sistema operativo de servidores y ordenadores, el propio programa de gestión, los navegadores y los móviles que acceden a él. Un equipo que ya no recibe actualizaciones de seguridad no debería tener acceso a los datos de la empresa. El Instituto Nacional de Ciberseguridad (INCIBE) publica en su web guías y recursos gratuitos de seguridad para empresas que sirven como punto de partida.
Lo que dice la normativa de protección de datos
Si el programa guarda datos personales de clientes, proveedores o trabajadores, que es lo normal, se aplica el Reglamento General de Protección de Datos (Reglamento (UE) 2016/679), completado en España por la Ley Orgánica 3/2018. Dos artículos tienen que ver directamente con este artículo:
- Artículo 32, seguridad del tratamiento. Obliga a aplicar medidas técnicas y organizativas adecuadas al riesgo, y menciona expresamente la capacidad de restaurar la disponibilidad y el acceso a los datos de forma rápida en caso de incidente, así como la verificación periódica de la eficacia de las medidas. Es decir, copias que funcionen y que se comprueben.
- Artículo 33, notificación de violaciones de seguridad. Si hay una brecha que afecta a datos personales y supone un riesgo para las personas, debe notificarse a la autoridad de control (en España, la Agencia Española de Protección de Datos) sin dilación indebida y, cuando sea posible, en un plazo de 72 horas desde que se tenga constancia.
La Agencia Española de Protección de Datos tiene en su web guías y herramientas para pymes. Si tu caso es complejo, consulta con un especialista.
Si algo falla: un plan sencillo
No hace falta un documento de cien páginas. Basta con una hoja que responda:
- A quién se llama primero: el proveedor del programa, el de sistemas, la dirección.
- Dónde están las copias y quién sabe restaurarlas.
- Cómo se sigue trabajando mientras tanto: aunque sea con papel durante unas horas.
- Quién decide si hay que notificar una brecha de datos personales.
- Cómo se avisa a clientes o trabajadores si les afecta.
Guarda esa hoja también fuera del ordenador, porque si el problema es el ordenador no podrás abrirla.
Cómo lo hacemos en Infonet
En Infonet Consultores diseñamos, desarrollamos y mantenemos aplicaciones de gestión, y después de la instalación seguimos dando asistencia directa con el mismo equipo que las ha desarrollado. Nuestras aplicaciones funcionan en la nube, y también nos encargamos de la adaptación e implantación del RGPD y del mantenimiento informático con respuesta inmediata. Si estás pensando en un programa nuevo, revisa cómo trabajamos en desarrollo de software a medida o conoce al equipo en empresa de software en Huelva.
