Protegiendo los datos

A estas alturas supongo que a ninguno de los lectores del blog les sorprenderé con la "noticia" de que el pasado lunes se celebró el día europeo de la protección de datos. Celebración que, como el resto de los días con "nombre propio", no va mucho más allá de justificar una breve reseña en los correspondientes noticiarios y algún que otro acto instituiconal para dar algo de contenido "propio" a dicha celebración. No es que esté en contra de este tipo de celebraciones, pero me da la sensación de que se podría hacer mucho más a nada que hubiera un poco más de interés. Con sólo meter la protección de datos como argumento del correspondiente capítulo de la serie de moda, o usarlo como tema en alguno de los típicos monográficos a los que las cadenas de televisión nos tienen acostumbrados, la labor de difusión probablemente calaría mucho más que si se coloca la noticia entre las campañas electorales, las guerras y los deportes.



Para aquellos en los que sí que cala el mensaje, existen multitud de noticas y reportajes, como esta, que ayudan a dar unas breves pinceladas sobre cómo conseguir mantener la confidencialidad de los datos. No descubre nada nuevo (políticas y normativas, controles internos, roles y responsabilidades, auditorías, ...), pero son un buen mecanismo para recordarnos periódicamente que eso de la protección de datos es cosa de todos, y no sólo por motivos legales, sino también por el bien del propio negocio.



De todas formas, ante un empleado (o empleada, como en este caso) descontento con suficientes privilegios la protección es complicada. Siempre habrá alguien con permisos suficientes como para editar la información, y si esa persona decide borrarla (y borrar también el backup, para lo que también tiene permiso) el problema puede ser grave. Se podría haber optado por usar permisos limitados, de forma que quien tiene privilegios para operar sobre la información no los tenga para hacer lo mismo sobre el backup. Aunque probablemente el mejor control hubiera sido una mayor transparencia en la gestión de los recursos humanos, que al fin y al cabo siempre es el eslabón más débil (también por impredecible). Si es persona no hubiera pensado que la iban a despedir (y no sabemos qué motivos tenía para pensarlo, aparte de los que cuenta la noticia) no creo que hubiera decidido borrar toda la información de la empresa.



Y por último, un breve comentario respecto al borrado de datos. Como se puede comprobar al final de la noticia, la "eliminación" que proporciona el sistema operativo no es definitiva en absoluto. Es de agradecer que el empleado descontento no haya utilizado herramientas de borrado seguro, pero también sería interesante que esa misma empresa contara con ese tipo de herramientas para aquellos casos en los que realmente se desea borrar definitivamente la información. Sobre todo, si esa información está valorada en más de 2 millones de dólares...