Toda herramienta que guarda información de clientes pasa a formar parte de cómo el bufete la protege. Los proveedores describen la seguridad de muchas maneras, y las descripciones son difíciles de comparar.
Este artículo enumera preguntas que hacer y cómo leer las respuestas. No nombra a ningún proveedor y no sustituye el criterio de su abogado sobre los deberes de confidencialidad.
El problema
Las descripciones de seguridad suelen ser generales: cifrado, seguro, protegido. Sin detalles, el bufete no puede saber qué está realmente cubierto.
Un bufete que no pregunta tampoco puede demostrar después que examinó la cuestión antes de elegir la herramienta.
Qué se sabe
No citamos ninguna cifra sobre vulneraciones ni sobre la seguridad de los proveedores, porque no hemos verificado ninguna en una fuente primaria.
Lo que es seguro es que un proveedor puede responder por escrito a preguntas concretas. Si un proveedor cuenta con una certificación independiente o un informe de auditoría es un dato que se pide y se lee, no que se supone. Este artículo no afirma nada sobre ninguna certificación.
Qué hacer
- Pregunte dónde se almacena la información de los clientes, en qué país y quién del proveedor puede leerla
- Pregunte cómo se controla el acceso: cuentas individuales, verificación adicional al iniciar sesión y un registro de quién abrió qué
- Pregunte cómo se protege la información cuando está almacenada y cuando viaja
- Pregunte qué se conserva cuando el bufete se va, cómo se puede exportar y cómo se elimina
- Pregunte qué otras empresas manejan la información por cuenta del proveedor
- Pregunte qué ocurre si algo sale mal: cómo se avisa al bufete, con qué rapidez y qué hace el proveedor
- Pida las respuestas por escrito, y cualquier informe de auditoría o certificación que el proveedor diga tener
- Entregue las respuestas a su abogado, que decide si encajan con los deberes de confidencialidad del bufete
Cómo leer las respuestas
- Una respuesta concreta, con un documento detrás, pesa más que una tranquilización general
- Una respuesta que cambia cuando la pregunta se hace de otra manera necesita una pregunta de seguimiento
- Una afirmación de certificación debe indicar la norma, el alcance y la fecha, y el bufete debe pedir verla
- Que se niegue a poner una respuesta por escrito es motivo para detenerse
- Un proveedor que promete que nunca nada puede fallar no está describiendo sistemas reales
Qué mirar al implementarlo
- Si cada persona que usa la herramienta tiene su propia cuenta, y si se da de baja al personal que se fue
- Si el material privilegiado se comparte con más personas que antes
- Si la herramienta puede limitar lo que ve cada persona, asunto por asunto
- Si el bufete conserva su propia copia de seguridad de la información, como describe nuestro artículo sobre copias
- Si el personal está capacitado en el uso seguro, por ejemplo para reconocer mensajes sospechosos
- Vuelva a revisar las respuestas cuando el proveedor cambie sus condiciones o sus subcontratistas