Teletrabajo seguro
para una pyme

Depende de dónde estén las cosas que usa tu equipo. Si el trabajo vive en la oficina, en un servidor, un NAS con las carpetas compartidas o un programa de gestión instalado en un equipo de allí, sí: la forma razonable de llegar desde casa es una VPN que obligue a identificarse con doble factor, y no abrir ese servidor o el escritorio remoto directamente a internet. Si todo lo que se usa ya está en servicios en la nube, correo, documentos y programa de gestión, la VPN puede no hacer falta, porque cada servicio ya es accesible de forma cifrada; lo que pasa a ser crítico entonces es la identidad: cuentas individuales, doble factor obligatorio y la posibilidad de retirar el acceso de una persona en un minuto. Lo que no tiene sentido es lo que vemos a menudo: una VPN montada para entrar a la oficina y, al lado, el escritorio remoto abierto a internet porque era más cómodo.

No. La Ley 10/2021 de trabajo a distancia establece que la empresa debe dotar a la persona trabajadora de los medios, equipos y herramientas necesarios, y que no puede exigir la instalación de programas o aplicaciones en dispositivos propiedad de la persona trabajadora ni la utilización de esos dispositivos para trabajar a distancia. Esa ley se aplica al teletrabajo regular, que define como al menos el treinta por ciento de la jornada en un periodo de tres meses; para situaciones puntuales, o si el empleado prefiere usar su equipo voluntariamente, se puede acordar, pero por escrito y con condiciones. Desde el punto de vista de la seguridad, el equipo de empresa es casi siempre la mejor opción: está actualizado, cifrado y configurado por vosotros, y se recupera cuando la persona se va. Las preguntas laborales concretas son para vuestro asesor; nosotros os decimos qué condiciones técnicas tiene que cumplir cada opción.

Las mínimas que recoge la nota de la AEPD sobre movilidad y teletrabajo: sistema operativo y programas originales y actualizados, y valorar que esos equipos solo lleguen a una parte limitada de la red, la de los recursos menos críticos. A eso añadimos lo que la práctica enseña: un usuario separado en el equipo para el trabajo, que la propia AEPD recomienda para no mezclar actividad personal y profesional; nada de datos de la empresa guardados en el disco local, sino en el almacenamiento compartido o en la nube de la empresa; nada de pasar documentos por correos personales, mensajería o nubes privadas; doble factor en todas las cuentas de trabajo, y el equipo bloqueado con contraseña cuando nadie lo usa. Que quede por escrito, que la persona lo firme y que sepa que ayuda a proteger también sus propios datos. Si el puesto maneja información sensible, la respuesta honesta es que ese puesto necesita un equipo de empresa.

No las reduce, y en la práctica añade trabajo. La empresa sigue siendo responsable del tratamiento de los datos que se manejan desde casa igual que si se manejaran en la oficina, y tiene que aplicar medidas técnicas y organizativas apropiadas para ese nuevo escenario. La nota de recomendaciones de la AEPD para situaciones de movilidad y teletrabajo pide, entre otras cosas, una política escrita para el teletrabajo, informar al personal de sus obligaciones y de los riesgos, limitar los accesos según el puesto y el dispositivo, y mantener los equipos actualizados y configurados. Si un portátil con datos de clientes se pierde en un tren o un equipo de casa se infecta, la brecha es de la empresa, con la obligación de documentarla siempre y de notificarla a la AEPD dentro de las 72 horas cuando entrañe riesgo para las personas. Teletrabajar no traslada esa responsabilidad al empleado.

Menos de lo que se suele pensar si el resto está bien hecho, y más de lo que debería si no. Con el acceso a la empresa cifrado, sea por VPN o por servicios en la nube que ya lo están, quien comparte el wifi de casa no lee lo que pasa por él. Aun así, conviene un mínimo: cambiar la contraseña que traía el router de fábrica, usar el cifrado más moderno que admita, mantener el router actualizado y no tener en la misma red aparatos de los que nadie sabe nada. Si el router del operador no permite ni actualizarse ni configurarse mínimamente, el artículo sobre router del operador o propio explica cuándo merece la pena cambiarlo. Lo que la AEPD sí desaconseja expresamente es conectarse a la red de la empresa desde lugares públicos y a redes wifi abiertas, como la de una cafetería o un hotel: para eso, mejor compartir datos desde el móvil.

Lo más sencillo es que no haya nada que copiar en el portátil: que los documentos de trabajo se guarden directamente en el almacenamiento de la empresa, sea el servidor de la oficina a través del acceso remoto o la nube corporativa, y que las copias se hagan allí como siempre. Es también lo que recomienda la AEPD, que pide evitar almacenar en local la información generada en movilidad y usar los recursos compartidos que proporciona la organización, y no bloquear ni deshabilitar la política de copia de seguridad. El problema aparece cuando cada persona guarda en el escritorio de su portátil, porque esos ficheros no están en ninguna copia y se pierden con el equipo. Revisad dónde guarda de verdad cada uno, no dónde debería guardar. Y recordad que tener la información en una nube no es lo mismo que tener copia: un borrado o un ransomware se sincronizan igual que un cambio bueno.

Lo mismo que con alguien de la oficina, pero con más prisa, porque no hay que esperar a que devuelva la llave para que deje de poder entrar. El mismo día: desactivar su cuenta en todos los servicios, revocar su acceso a la VPN, cerrar las sesiones abiertas y cambiar cualquier contraseña compartida que conociera. Si usaba un equipo de empresa, recuperarlo; si usaba uno personal con un usuario de trabajo, borrar ese usuario y los datos de la empresa que pudiera haber, idealmente con la persona presente o con una gestión remota acordada de antemano. Por eso es tan importante que cada persona tenga sus propias cuentas y que alguien mantenga la lista de a qué tiene acceso cada uno: sin esa lista, la baja depende de que alguien se acuerde de todos los sitios. Es uno de los puntos que repasamos en el artículo sobre mantenimiento informático y RGPD.

Sí, y no tiene por qué ser larga. La nota de la AEPD sobre teletrabajo empieza precisamente por ahí: definir una política para las situaciones de movilidad, informar al personal y que este firme un acuerdo que recoja sus obligaciones. En una pyme puede caber en dos páginas: qué equipo se usa y en qué condiciones, cómo se accede a la empresa, dónde se guardan los documentos, qué canales están permitidos para compartir información y cuáles no, qué hacer si se pierde un dispositivo o se sospecha de un correo, y a quién se avisa. Si el teletrabajo es regular, la Ley 10/2021 exige además un acuerdo individual de trabajo a distancia con su propio contenido mínimo, que es asunto de vuestro asesor laboral. Lo importante es que lo que diga el papel coincida con lo que está configurado: una política que prohíbe guardar en local, con portátiles donde todo el mundo guarda en local, no protege nada.