Teletraballo seguro
para unha peme

Depende de onde estean as cousas que usa o teu equipo. Se o traballo vive na oficina, nun servidor, un NAS cos cartafoles compartidos ou un programa de xestión instalado nun equipo de alí, si: a forma razoable de chegar desde casa é unha VPN que obrigue a identificarse con dobre factor, e non abrir ese servidor ou o escritorio remoto directamente a internet. Se todo o que se usa xa está en servizos na nube, correo, documentos e programa de xestión, a VPN pode non facer falta, porque cada servizo xa é accesible de forma cifrada; o que pasa a ser crítico entón é a identidade: contas individuais, dobre factor obrigatorio e a posibilidade de retirarlle o acceso a unha persoa nun minuto. O que non ten sentido é o que vemos a miúdo: unha VPN montada para entrar na oficina e, ao lado, o escritorio remoto aberto a internet porque era máis cómodo.

Non. A Lei 10/2021 de traballo a distancia establece que a empresa debe dotar a persoa traballadora dos medios, equipos e ferramentas necesarios, e que non pode esixir a instalación de programas ou aplicacións en dispositivos propiedade da persoa traballadora nin o uso deses dispositivos para traballar a distancia. Esa lei aplícase ao teletraballo regular, que define como polo menos o trinta por cento da xornada nun período de tres meses; para situacións puntuais, ou se o empregado prefire usar o seu equipo voluntariamente, pódese acordar, pero por escrito e con condicións. Desde o punto de vista da seguridade, o equipo de empresa é case sempre a mellor opción: está actualizado, cifrado e configurado por vós, e recupérase cando a persoa marcha. As preguntas laborais concretas son para o voso asesor; nós dicímosvos que condicións técnicas ten que cumprir cada opción.

As mínimas que recolle a nota da AEPD sobre mobilidade e teletraballo: sistema operativo e programas orixinais e actualizados, e valorar que eses equipos só cheguen a unha parte limitada da rede, a dos recursos menos críticos. A iso engadimos o que ensina a práctica: un usuario separado no equipo para o traballo, que a propia AEPD recomenda para non mesturar actividade persoal e profesional; nada de datos da empresa gardados no disco local, senón no almacenamento compartido ou na nube da empresa; nada de pasar documentos por correos persoais, mensaxería ou nubes privadas; dobre factor en todas as contas de traballo, e o equipo bloqueado con contrasinal cando ninguén o usa. Que quede por escrito, que a persoa o asine e que saiba que axuda a protexer tamén os seus propios datos. Se o posto manexa información sensible, a resposta honesta é que ese posto necesita un equipo de empresa.

Non as reduce, e na práctica engade traballo. A empresa segue sendo responsable do tratamento dos datos que se manexan desde casa igual que se se manexasen na oficina, e ten que aplicar medidas técnicas e organizativas apropiadas para ese novo escenario. A nota de recomendacións da AEPD para situacións de mobilidade e teletraballo pide, entre outras cousas, unha política escrita para o teletraballo, informar o persoal das súas obrigas e dos riscos, limitar os accesos segundo o posto e o dispositivo, e manter os equipos actualizados e configurados. Se un portátil con datos de clientes se perde nun tren ou un equipo da casa se infecta, a fenda é da empresa, coa obriga de documentala sempre e de notificala á AEPD dentro das 72 horas cando supoña risco para as persoas. Teletraballar non traslada esa responsabilidade ao empregado.

Menos do que se adoita pensar se o resto está ben feito, e máis do que debería se non. Co acceso á empresa cifrado, sexa por VPN ou por servizos na nube que xa o están, quen comparte a wifi da casa non le o que pasa por ela. Aínda así, convén un mínimo: cambiar o contrasinal que traía o router de fábrica, usar o cifrado máis moderno que admita, manter o router actualizado e non ter na mesma rede aparellos dos que ninguén sabe nada. Se o router do operador non permite nin actualizarse nin configurarse minimamente, o artigo sobre router do operador ou propio explica cando paga a pena cambialo. O que a AEPD si desaconsella expresamente é conectarse á rede da empresa desde lugares públicos e a redes wifi abertas, como a dunha cafetería ou un hotel: para iso, mellor compartir datos desde o móbil.

O máis sinxelo é que non haxa nada que copiar no portátil: que os documentos de traballo se garden directamente no almacenamento da empresa, sexa o servidor da oficina a través do acceso remoto ou a nube corporativa, e que as copias se fagan alí como sempre. É tamén o que recomenda a AEPD, que pide evitar almacenar en local a información xerada en mobilidade e usar os recursos compartidos que proporciona a organización, e non bloquear nin deshabilitar a política de copia de seguridade. O problema aparece cando cada persoa garda no escritorio do seu portátil, porque eses ficheiros non están en ningunha copia e pérdense co equipo. Revisade onde garda de verdade cada un, non onde debería gardar. E lembrade que ter a información nunha nube non é o mesmo que ter copia: un borrado ou un ransomware sincronízanse igual ca un cambio bo.

O mesmo que con alguén da oficina, pero con máis présa, porque non hai que agardar a que devolva a chave para que deixe de poder entrar. O mesmo día: desactivar a súa conta en todos os servizos, revogar o seu acceso á VPN, pechar as sesións abertas e cambiar calquera contrasinal compartido que coñecese. Se usaba un equipo de empresa, recuperalo; se usaba un persoal cun usuario de traballo, borrar ese usuario e os datos da empresa que puidese haber, idealmente coa persoa presente ou cunha xestión remota acordada de antemán. Por iso é tan importante que cada persoa teña as súas propias contas e que alguén manteña a lista de a que ten acceso cada un: sen esa lista, a baixa depende de que alguén se lembre de todos os sitios. É un dos puntos que repasamos no artigo sobre mantemento informático e RGPD.

Si, e non ten por que ser longa. A nota da AEPD sobre teletraballo comeza precisamente por aí: definir unha política para as situacións de mobilidade, informar o persoal e que este asine un acordo que recolla as súas obrigas. Nunha peme pode caber en dúas páxinas: que equipo se usa e en que condicións, como se accede á empresa, onde se gardan os documentos, que canles están permitidas para compartir información e cales non, que facer se se perde un dispositivo ou se sospeita dun correo, e a quen se avisa. Se o teletraballo é regular, a Lei 10/2021 esixe ademais un acordo individual de traballo a distancia co seu propio contido mínimo, que é asunto do voso asesor laboral. O importante é que o que diga o papel coincida co que está configurado: unha política que prohibe gardar en local, con portátiles onde todo o mundo garda en local, non protexe nada.