Teletreball segur
per a una pime

Depèn d'on siguin les coses que fa servir el teu equip. Si la feina viu a l'oficina, en un servidor, un NAS amb les carpetes compartides o un programa de gestió instal·lat en un equip d'allà, sí: la manera raonable d'arribar-hi des de casa és una VPN que obligui a identificar-se amb doble factor, i no obrir aquell servidor o l'escriptori remot directament a internet. Si tot el que es fa servir ja és en serveis al núvol, correu, documents i programa de gestió, la VPN pot no caldre, perquè cada servei ja és accessible de manera xifrada; el que passa a ser crític aleshores és la identitat: comptes individuals, doble factor obligatori i la possibilitat de retirar l'accés d'una persona en un minut. El que no té sentit és el que veiem sovint: una VPN muntada per entrar a l'oficina i, al costat, l'escriptori remot obert a internet perquè era més còmode.

No. La Llei 10/2021 de treball a distància estableix que l'empresa ha de dotar la persona treballadora dels mitjans, equips i eines necessaris, i que no pot exigir la instal·lació de programes o aplicacions en dispositius propietat de la persona treballadora ni la utilització d'aquests dispositius per treballar a distància. Aquesta llei s'aplica al teletreball regular, que defineix com com a mínim el trenta per cent de la jornada en un període de tres mesos; per a situacions puntuals, o si el treballador prefereix fer servir el seu equip voluntàriament, es pot acordar, però per escrit i amb condicions. Des del punt de vista de la seguretat, l'equip d'empresa és gairebé sempre la millor opció: està actualitzat, xifrat i configurat per vosaltres, i es recupera quan la persona marxa. Les preguntes laborals concretes són per al vostre assessor; nosaltres us diem quines condicions tècniques ha de complir cada opció.

Les mínimes que recull la nota de l'AEPD sobre mobilitat i teletreball: sistema operatiu i programes originals i actualitzats, i valorar que aquests equips només arribin a una part limitada de la xarxa, la dels recursos menys crítics. A això hi afegim el que ensenya la pràctica: un usuari separat a l'equip per a la feina, que la mateixa AEPD recomana per no barrejar activitat personal i professional; cap dada de l'empresa desada al disc local, sinó a l'emmagatzematge compartit o al núvol de l'empresa; res de passar documents per correus personals, missatgeria o núvols privats; doble factor a tots els comptes de feina, i l'equip bloquejat amb contrasenya quan ningú no el fa servir. Que quedi per escrit, que la persona ho signi i que sàpiga que també ajuda a protegir les seves pròpies dades. Si el lloc de treball maneja informació sensible, la resposta honesta és que aquell lloc necessita un equip d'empresa.

No les redueix, i a la pràctica hi afegeix feina. L'empresa continua sent responsable del tractament de les dades que es manegen des de casa igual que si es manegessin a l'oficina, i ha d'aplicar mesures tècniques i organitzatives apropiades per a aquest nou escenari. La nota de recomanacions de l'AEPD per a situacions de mobilitat i teletreball demana, entre altres coses, una política escrita per al teletreball, informar el personal de les seves obligacions i dels riscos, limitar els accessos segons el lloc de treball i el dispositiu, i mantenir els equips actualitzats i configurats. Si un portàtil amb dades de clients es perd en un tren o un equip de casa s'infecta, la bretxa és de l'empresa, amb l'obligació de documentar-la sempre i de notificar-la a l'AEPD dins de les 72 hores quan comporti risc per a les persones. Teletreballar no trasllada aquesta responsabilitat al treballador.

Menys del que se sol pensar si la resta està ben feta, i més del que caldria si no. Amb l'accés a l'empresa xifrat, sigui per VPN o per serveis al núvol que ja ho estan, qui comparteix el wifi de casa no llegeix el que hi passa. Tot i així, convé un mínim: canviar la contrasenya que portava el router de fàbrica, fer servir el xifratge més modern que admeti, mantenir el router actualitzat i no tenir a la mateixa xarxa aparells dels quals ningú no sap res. Si el router de l'operador no permet ni actualitzar-se ni configurar-se mínimament, l'article sobre router de l'operador o propi explica quan val la pena canviar-lo. El que l'AEPD sí que desaconsella expressament és connectar-se a la xarxa de l'empresa des de llocs públics i des de xarxes wifi obertes, com la d'una cafeteria o un hotel: per a això, millor compartir dades des del mòbil.

El més senzill és que no hi hagi res a copiar al portàtil: que els documents de feina es desin directament a l'emmagatzematge de l'empresa, sigui el servidor de l'oficina a través de l'accés remot o el núvol corporatiu, i que les còpies es facin allà com sempre. És també el que recomana l'AEPD, que demana evitar desar en local la informació generada en mobilitat i fer servir els recursos compartits que proporciona l'organització, i no bloquejar ni deshabilitar la política de còpia de seguretat. El problema apareix quan cada persona desa a l'escriptori del seu portàtil, perquè aquests fitxers no són a cap còpia i es perden amb l'equip. Reviseu on desa de debò cadascú, no on hauria de desar. I recordeu que tenir la informació en un núvol no és el mateix que tenir-ne còpia: un esborrat o un ransomware se sincronitzen igual que un canvi bo.

El mateix que amb algú de l'oficina, però amb més pressa, perquè no cal esperar que torni la clau perquè deixi de poder entrar. El mateix dia: desactivar el seu compte a tots els serveis, revocar-li l'accés a la VPN, tancar les sessions obertes i canviar qualsevol contrasenya compartida que conegués. Si feia servir un equip d'empresa, recuperar-lo; si en feia servir un de personal amb un usuari de feina, esborrar aquest usuari i les dades de l'empresa que hi pogués haver, idealment amb la persona present o amb una gestió remota acordada per endavant. Per això és tan important que cada persona tingui els seus propis comptes i que algú mantingui la llista de a què té accés cadascú: sense aquesta llista, la baixa depèn que algú se'n recordi de tots els llocs. És un dels punts que repassem a l'article sobre manteniment informàtic i RGPD.

Sí, i no ha de ser llarga. La nota de l'AEPD sobre teletreball comença precisament per aquí: definir una política per a les situacions de mobilitat, informar el personal i que aquest signi un acord que reculli les seves obligacions. En una pime pot cabre en dues pàgines: quin equip es fa servir i en quines condicions, com s'accedeix a l'empresa, on es desen els documents, quins canals estan permesos per compartir informació i quins no, què fer si es perd un dispositiu o se sospita d'un correu, i a qui s'avisa. Si el teletreball és regular, la Llei 10/2021 exigeix a més un acord individual de treball a distància amb el seu propi contingut mínim, que és cosa del vostre assessor laboral. El que importa és que el que digui el paper coincideixi amb el que està configurat: una política que prohibeix desar en local, amb portàtils on tothom desa en local, no protegeix res.