El verano es una de las etapas de mayor vulnerabilidad para las organizaciones. La reducción de plantillas por vacaciones, el incremento del teletrabajo y la relajación de determinados controles internos generan un contexto propicio para la intensificación de ciberataques.
Desde una perspectiva jurídica, esta situación no exonera a la organización de sus responsabilidades. La previsibilidad del riesgo –dado que las vacaciones son cíclicas y planificables– refuerza el deber de diligencia. El artículo 32 del RGPD impone la obligación de adoptar medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, también durante periodos de menor disponibilidad de recursos humanos.
Recomendaciones
Para reducir el riesgo de ciberataques en esta época del año, las organizaciones deberían:
- Revisar y actualizar el análisis de riesgos, incorporando de forma expresa escenarios de vacaciones generalizadas, reducción de personal crítico y posibles retrasos en la respuesta ante incidentes.
- Documentar las medidas de contención adoptadas (por ejemplo, contratos de soporte 24/7, turnos de guardia, etc.).
- Verificar la correcta configuración de accesos remotos, aplicando principios de mínimo privilegio, autenticación multifactor y revisiones periódicas de credenciales activas.
- Intensificar las acciones de formación y concienciación del personal activo, con especial foco en phishing, ingeniería social, uso seguro de dispositivos y gestión de incidentes.
- Garantizar la capacidad efectiva de detección, gestión y notificación de brechas de seguridad dentro de los plazos legales, incluso con equipos reducidos, mediante la definición de canales claros y responsables designados.
- Coordinar con proveedores y encargados del tratamiento la disponibilidad de soporte durante el periodo estival.
Conclusión
El verano es tiempo de descanso, pero no de bajar la guardia. La diligencia debida y los ciberatacantes no se toman vacaciones.
