Who Saw What?

La pregunta que nadie espera

Una investigación interna por una fuga de datos. La preservación está debidamente documentada, los valores hash coinciden, la revisión ha concluido. Entonces, en el procedimiento, surge una pregunta para la que nadie se ha preparado: ¿Quién tuvo acceso a la plataforma de revisión durante la investigación?

Resulta que un superior jerárquico de la persona afectada podía leer los documentos como «contacto del cliente» – el mismo superior cuyo propio papel en el asunto pasa a ser objeto de discusión más adelante. Dos revisores externos seguían teniendo cuentas activas tras el cierre del proyecto. Y tres personas compartían una misma cuenta de administrador.

Nada ha cambiado en los datos. Pero la credibilidad de la investigación ha quedado dañada. Una cadena de custodia que prueba el recorrido de los datos, pero no quién pudo verlos, solo está cerrada a medias.

La segunda mitad de la cadena de custodia

La cadena de custodia responde de dónde procede una prueba y que no ha sido modificada. En cuanto los datos se encuentran en una plataforma de revisión, surge una segunda pregunta: ¿quién pudo verlos, comentarlos, etiquetarlos, exportarlos o eliminarlos – y estaba esa persona autorizada para ello?

Para el tratamiento de la prueba digital, ISO/IEC 27037 exige que toda acción pueda ser seguida por un tercero cualificado [1]. Esto no se aplica solo a la preservación. Se aplica igualmente a la fase en la que decenas de personas trabajan con los datos.

El acceso importa por cuatro razones:

• Integridad: quien podía escribir, etiquetar o eliminar podría haber influido en el resultado.
• Confidencialidad: los datos de una investigación contienen a menudo correspondencia jurídica, datos de clientes bancarios o secretos comerciales. El secreto profesional y el secreto bancario [2][3] muestran lo reducido que debe ser el círculo de personas autorizadas.
• Protección de datos: los datos se refieren a empleados, clientes y terceros – a menudo incluidos datos personales sensibles.
• Independencia: las personas que podrían ser ellas mismas objeto de la investigación no deben tener acceso de lectura. En los despachos de abogados se añaden las barreras de información (ethical walls) entre asuntos.

El marco jurídico y normativo

Suiza — trazabilidad

En Suiza, resultan especialmente relevantes la Ley Federal de Protección de Datos (Datenschutzgesetz, DSG) y la Ordenanza de Protección de Datos (Datenschutzverordnung, DSV). Tratan de una seguridad de los datos adecuada al riesgo y de la trazabilidad del tratamiento, incluido el registro de actividad (logging) [4][5].

El Comisionado Federal de Protección de Datos y Transparencia (FDPIC/EDÖB) ha publicado recomendaciones técnicas sobre el registro de actividad [6]. En la práctica resultan instructivas: incluso la mera lectura debería ser trazable, los registros deberían almacenarse por separado y protegerse contra la manipulación, y un concepto de registro incluye objetivos, roles y una revisión periódica. Conviene señalar un punto que a menudo se pasa por alto en el día a día de las investigaciones: los registros sirven a la trazabilidad, no a la supervisión del comportamiento de las personas que trabajan con los datos [6].

Qué obligaciones se aplican en su caso concreto es algo que debe valorar su despacho de abogados.

Ámbito internacional — el acceso como objetivo de control

ISO/IEC 27001:2022 trata el acceso como un tema de control propio: reglas de control de acceso (A.5.15), la concesión, revisión y retirada de derechos de acceso (A.5.18) y el registro de actividades (A.8.15) [7]. Alinear un entorno de revisión con estos controles significa hablar el lenguaje que entienden los auditores, los reguladores y las contrapartes internacionales.

En investigaciones con conexión con la UE – por ejemplo, con empleados o sociedades del grupo en Alemania – también pueden ser relevantes el RGPD y sus requisitos sobre la seguridad del tratamiento [8].

Un registro que nadie lee no protege nada. Solo la revisión periódica convierte los datos de acceso en prueba.

Dónde falla en la práctica

Del registro a la prueba

Toda plataforma de revisión seria lleva el control de usuarios, roles y actividades. El problema rara vez es que falten los datos. El problema es que están dispersos: por espacio de trabajo, por lista de usuarios, por modelo de roles. Un tribunal, un regulador o un consejo de administración, sin embargo, quiere una respuesta sencilla: ¿quién tuvo qué acceso a qué datos, cuándo – y quién lo aprobó?

Por tanto, una prueba de acceso útil tiene tres propiedades:

1. Completa: abarca todos los espacios de trabajo, todos los usuarios y todos los roles – no solo el proyecto actual.
2. Fechada: muestra el estado en un momento determinado y puede repetirse, de modo que los cambios se hagan visibles.
3. Legible: un abogado sin formación técnica la entiende sin necesidad de explicaciones.

En Prism Discovery leemos automáticamente los espacios de trabajo, los usuarios y los permisos de nuestra plataforma de revisión Farsight a través de su interfaz de programación y los condensamos en un informe de auditoría. Este muestra, por espacio de trabajo, quién tiene acceso y con qué rol y, por persona, a qué espacios de trabajo puede acceder. Complementado con datos de uso y de almacenamiento, alimenta un panel que mantiene visible el estado actual. El informe se elabora al cierre del proyecto y periódicamente, y se archiva con el proyecto – como parte de la documentación, no como una reconstrucción a posteriori.

Conclusión — cinco preguntas para cada entorno de revisión

1. ¿Tiene cada persona su propia cuenta y puede atribuirse cada acción a una persona?
2. ¿Siguen los roles el principio de necesidad de conocer – especialmente en los derechos de exportación y eliminación?
3. ¿Está garantizado que nadie que pudiera ser objeto de la investigación tenga acceso?
4. ¿Se revisan periódicamente los permisos y se retiran al finalizar el proyecto?
5. ¿Puede probarse el estado de los accesos en cualquier momento – por separado del sistema que contiene los datos?

Allí donde una de estas preguntas quede abierta, lo que puede impugnarse no es el contenido, sino el entorno en el que se examinó. La cadena de custodia no termina con la carga de los datos. Llega hasta la última cuenta que todavía tiene acceso.

Este artículo tiene carácter meramente informativo y no constituye asesoramiento jurídico. Para una valoración jurídica de su caso, consulte a un despacho de abogados.

Fuentes

[1] ISO/IEC 27037:2012 – Guidelines for identification, collection, acquisition and preservation of digital evidence – https://www.iso.org/standard/44381.html

[2] Código Penal suizo (Strafgesetzbuch, StGB), SR 311.0 – https://www.fedlex.admin.ch/eli/cc/54/757_781_799/en

[3] Ley Federal sobre Bancos y Cajas de Ahorro (Bankengesetz, BankG), SR 952.0 – https://www.fedlex.admin.ch/eli/cc/51/117_121_129/en

[4] Ley Federal de Protección de Datos (Datenschutzgesetz, DSG), SR 235.1 – https://www.fedlex.admin.ch/eli/cc/2022/491/en

[5] Ordenanza de Protección de Datos (Datenschutzverordnung, DSV), SR 235.11 – https://www.fedlex.admin.ch/eli/cc/2022/568/en

[6] Comisionado Federal de Protección de Datos y Transparencia (FDPIC/EDÖB): Technische Empfehlungen für die Protokollierung gemäss Art. 4 DSV, versión 1.0, 15 de septiembre de 2023 – https://www.edoeb.admin.ch

[7] ISO/IEC 27001:2022 – Information security, cybersecurity and privacy protection – Information security management systems – Requirements, anexo A – https://www.iso.org/standard/27001

[8] Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, RGPD) – https://eur-lex.europa.eu/eli/reg/2016/679/oj