InfoSecMan Blog

Por la naturaleza de mi trabajo suele ser bastante habitual el tener que firmar acuerdos de confidencialidad con nuestros clientes. La información que manejamos o los lugares en los que estamos suelen tener un valor importantísimo para las organizaciones, que de ser difundido podría tener graves pérdidas para las mismas.

La mayoría de las compañías (no todas) están bastante concienciadas y es una de las primeras cosas que se hacen al comenzar un proyecto, a veces incluso en la fase de oferta.

Esto está muy bien y enlaza ligeramente con lo que comentaba ayer de “quién vigila al vigilante”… ya que no lo vigila nadie, por lo menos que sea “mudo” (habitualmente no solemos ser “sordos” ). Parece claro que una persona o compañía externa que va a introducirse en el núcleo de nuestra compañía debería firmar, al menos, un acuerdo de confidencialidad.

Pero, yo me pregunto: ¿cuántas compañías de las que conocéis tienen firmado un acuerdo de confidencialidad con su empresa de limpieza? ¿cuántas tienen un protocolo de actuación definido ante fugas de información por ese medio? ¿la vuestra lo tiene? (no hace falta que contestéis, no es necesario…).

Como podéis suponer, los empleados de las empresas de limpieza son los usuarios con mayores privilegios de toda la organización. Pueden acceder (y lo hacen a diario) a todos y cada uno de los rincones de nuestras organizaciones: CPD, despachos de altos directivos, almacenes, etc. Tienen acceso físico a todos nuestros dispositivos pudiendo introducir mecanismos maliciosos de obtención de información (como Keyloggers físicos, etc.) y ¿quién los controla? … o aún mejor, ¿tienen alguna responsabilidad por escrito en sus contratos? ¿saben o están obligados a no decir lo que leen en los documentos encima de las mesas?

Siempre pensamos que esas personas “no son un problema”, que esas cosas sólo pasan en las películas y que la formación que tienen no les permite entender lo que ponemos en nuestras pizarras (permitidme que me ría). ¿Por qué? ¿No sería muy interesante para un competidor conocer los próximos movimientos de una compañía? ¿Y qué le impide el introducir un topo en esa empresa de limpieza para hacerlo? ¿Vosotros no lo haríais si la ganancia fuese importante?… ¿y si no hubiéseis firmado un acuerdo de confidencialidad sería ilegal que obtuviéseis esa información por el mero método de la observación?

Estoy muy preguntón hoy, así que lo dejaremos para la semana que viene. Yo hoy me llevaré el portátil a casa, que nuestra señora de la limpieza tiene la costumbre de ¿ordenar? la mesa… porque lo que hace es ¿ordenarla? …. mmm…

Ya que es viernes, y llega el fin de semana, podríamos pensar también en firmar un acuerdo de confidencialidad con la cafetería, bar o restaurante más cercano a nuestra oficina…. ¿o me váis a decir que allí nadie habla de cuestiones confidenciales? ja!