Con la entrada en vigencia de la normativa, todas las organizaciones que manejen información personal deberán elevar sus estándares de administración y protección. Incluso, las pequeñas empresas.  Partir por lo esencial puede marcar la diferencia entre cumplir y exponerse a multas.

La inminente implementación de la ley de protección de datos personales llevará a que las organizaciones que administren información personal, independiente de su tamaño y facturación, incluso emprendimientos pequeños, deban ordenar sus procesos básicos: entender qué datos maneja, cómo los usan y quién tiene acceso.

“Hoy, el principal problema no es la falta de tecnología, sino la falta de control sobre procesos básicos. Muchas organizaciones no tienen claridad sobre qué datos manejan ni cómo se están utilizando”, explica David Pereira, gerente general de Inside Security.

Ante esto, la firma especializada en evaluación, detección y control de riesgos digitales- recomienda avanzar desde un mínimo viable, con foco en control y trazabilidad.

Estos son los puntos críticos que Inside Security recomienda considerar:

1. Tener claridad sobre qué datos se manejan y definir para qué se usan: El primer punto es básico, pero muchas veces pasa desapercibido: saber qué datos se recopilan, dónde se almacenan y quiénes acceden a ellos. Sin esa visibilidad, no es posible ejercer control o detectar riesgos a tiempo. Pero no basta sólo con tener información, sino que tener claridad de para qué se utiliza. Cada dato debe responder a un propósito claro y legítimo, evitando recolectar información “por si acaso”.

“El uso de datos para ejecutar un contrato no es lo mismo que su uso para otros fines, por ejemplo. Cualquier tratamiento adicional debe contar con autorización expresa”, advierte David Pereira, añadiendo que “el consentimiento debe ser claro, específico y separado”.

2. Limitar accesos: Otro aspecto crítico es definir quién puede acceder a esta información. Establecer perfiles y permisos adecuados permite reducir significativamente el riesgo. “El exceso de acceso y la falta de control son una de las principales fuentes de exposición. La propia Agencia Nacional de Ciberseguridad (ANCI) confirmó un caso de filtración de datos en el sector público que no se produjo por un hackeo sofisticado, sino por el robo de credenciales a un funcionario”, explica Pereira.

3. Proteger la información con medidas básicas: En línea con lo anterior, existen controles mínimos que hacen una diferencia real en la protección de datos, como la autenticación multifactor, el uso de contraseñas robustas y la actualización periódica de sistemas. No se trata de soluciones complejas, sino de buenas prácticas aplicadas con consistencia, que permiten mantener el control sobre quién accede a la información.

4. Prepararse para incidentes: Asumir que puede ocurrir un incidente es parte de una gestión responsable. Por eso, es importante contar con protocolos claros que definan cómo actuar ante una filtración o acceso indebido: qué pasos seguir, a quién informar y cómo contener el impacto.

5. Capacitar al personal: La mayoría de los incidentes tiene un componente humano. Errores cotidianos, desconocimiento o malas prácticas pueden abrir la puerta a brechas de seguridad. “La ciberseguridad no es solo tecnología. Si las personas no entienden y manejan los riesgos, las brechas y vulnerabilidades seguirán existiendo”, enfatiza Pereira.

Finalmente, desde Inside Security son claros en recalcar que no todas las empresas cuentan con equipos dedicados a la ciberseguridad, especialmente en etapas de crecimiento. En esos casos, externalizar servicios puede ser una alternativa eficiente para acompañar el cumplimiento de la norma.