Seguimos una nómina de marzo desde que se emite hasta que dos años después alguien pregunta quién la ha visto. La misma nómina en las diez fases, no diez ejemplos distintos. Cambia «nómina» por una factura, un expediente o la ficha de un cliente: el recorrido es el mismo.
El porcentaje no es una sensación: es aritmética. Diez puntos por fase cubierta, cinco por fase a medias. En el ejemplo —una empresa que no ha hecho nada malo, donde cada fase se resolvió el día que tocó— la nómina llega al final protegida al 15 %. El tuyo sale de tu diagnóstico, no de este texto. Y todo esto vale igual si trabajas con Microsoft 365 o con Google Workspace.
Fase 01 de 10
Se genera
10%
La nómina, aquí. El programa de gestión la emite un martes por la mañana. Nace ya con el nombre, el sueldo y el NIF de una persona dentro: es dato personal desde el primer segundo.
Lo que pasa hoy
La emite cualquiera que tenga el programa abierto. El doble factor está puesto «para el equipo», pero las cuentas de dirección, las genéricas y la del gestor externo se quedaron fuera porque daban problemas.
El atacante va por la que falta, no por las que sobran.
Lo que la protege
Quién puede emitirla y desde qué cuenta, con doble factor resistente a suplantación en todos los accesos — el SMS ya no cuenta como segundo factor serio.
Sin excepciones para dirección ni para el gestor externo. Y las cuentas que ya no usa nadie, dadas de baja.
Lo que hace falta de tu lado. El inventario de usuarios y buzones, y que la gente enrole el segundo factor. Sin eso no hay fase.
Fase 02 de 10
Se guarda
20%
La nómina, aquí. Cae en la carpeta de ese cliente. Y de paso en el escritorio de quien la generó, porque la abrió para revisarla y ahí se quedó.
Lo que pasa hoy
Se guarda, sí: en la carpeta que tocó ese día. Sin una estructura decidida de antemano, el mismo tipo de documento acaba en tres sitios distintos según quién lo guarde.
Y el portátil donde vive la copia local no está cifrado ni lo gestiona nadie: si se pierde, se pierde con todo dentro.
Lo que la protege
Un sitio por cliente, decidido antes y no improvisado. Y el equipo donde vive la copia, cifrado, al día y borrable en remoto el día que haga falta.
Los servidores, con la configuración base revisada.
Lo que hace falta de tu lado. Una decisión de negocio: cómo quieres organizar tu documentación. Esa no la podemos tomar nosotros.
Fase 03 de 10
Se etiqueta
30%
La nómina, aquí. Es dato personal, es de un tercero y tiene un plazo legal de conservación. Nada de eso está escrito en ninguna parte que un sistema pueda leer.
Lo que pasa hoy
Es un fichero más, como el presupuesto de la impresora. Nadie sabe, mirando el sistema, que ahí dentro hay nóminas.
Y eso condiciona todo lo que viene después: no se puede impedir que salga lo que no sabes que es confidencial, ni retirar a plazo lo que no sabes que tiene plazo.
Lo que la protege
La nómina se marca como confidencial al guardarla, y la etiqueta viaja con ella aunque salga de la empresa.
Cuatro o cinco etiquetas, no doce: las que se usan de verdad.
Lo que hace falta de tu lado. Decidir qué es confidencial para ti. Requiere sentar al negocio, no solo a sistemas.
Fase 04 de 10
Se abre
40%
La nómina, aquí. La abre quien lleva ese cliente. Y el becario. Y quien buscaba otra cosa en la misma carpeta y pasó por encima.
Lo que pasa hoy
La abre quien sepa dónde está: desde el equipo que sea, desde donde sea, y sin que quede constancia de que la abrió.
Con la contraseña correcta y el segundo factor, un equipo ajeno y sin gestionar entra igual que el portátil de casa.
Lo que la protege
Permisos por cliente, y equipo conocido y sitio conocido o no se entra.
Y queda registrado quién la abrió, que es lo que hace posible la última fase.
Lo que hace falta de tu lado. Aceptar que desde un equipo no gestionado no se entra. Es la decisión más incómoda del recorrido.
Fase 05 de 10
Se multiplica
50%
La nómina, aquí. Alguien la descarga al escritorio para revisarla, se la reenvía al gestor y pega los importes en un Excel de control. Ya no hay una nómina: hay cuatro.
Lo que pasa hoy
Se protege la del sitio bueno. Las otras tres viven en un escritorio, en una bandeja de correo y en una carpeta compartida que nadie mira.
Nadie sabe cuántas copias hay de nada. Es la fase que menos aparece en los diagnósticos, porque no hay ninguna herramienta que la enseñe sola.
Lo que la protege
Que el original sea el que se usa: enlaces en vez de adjuntos, y el escritorio sincronizado y gobernado.
Y la etiqueta viajando con cada copia que se haga, para que lo que se lleve alguien siga sabiendo lo que es.
Lo que hace falta de tu lado. Dejar de trabajar con adjuntos. Es un cambio de hábito, no de configuración.
Fase 06 de 10
Sale
60%
La nómina, aquí. Se manda al cliente por correo. Él la reenvía a su gestoría, que la reenvía a su asesor. En tres saltos está en tres organizaciones que no controlas.
Lo que pasa hoy
Adjunta y ya. A veces con un enlace de «cualquiera con el enlace», que sigue vivo dos años después en una bandeja ajena.
Nadie sabe cuántos de esos enlaces hay abiertos ahora mismo, y nadie los ha cerrado nunca.
Lo que la protege
Enlaces con caducidad y con destinatario, el dominio con DMARC en rechazo para que nadie escriba en tu nombre, y un aviso cuando un documento etiquetado sale de la empresa.
Lo que hace falta de tu lado. Tiempo tuyo, y bastante: hay que entender cómo trabajáis para no bloquear lo que necesitáis hacer cada día.
Fase 07 de 10
La IA la lee
70%
La nómina, aquí. «¿Cuánto cobró Fulano?», le pregunta alguien al asistente un martes por la mañana. Y le contesta.
Lo que pasa hoy
La lee porque puede: nadie revisó los permisos heredados de carpetas de hace ocho años. La IA no falló — hizo lo que se le pidió con los permisos que tenía.
El problema estaba ahí antes. Solo hacía falta que alguien preguntara.
Lo que la protege
La IA no añade riesgo: contesta con lo que quien pregunta ya podía abrir. Por eso el suelo se pone antes de encender nada.
Y antes de verdad: retirar un permiso no borra al instante lo que ya se había indexado.
Lo que hace falta de tu lado. Un interlocutor que decida rápido, porque aquí alguien va a perder accesos que hoy tiene y no debería tener.
Fase 08 de 10
Se respalda
80%
La nómina, aquí. Entra en la copia de esta noche, con los otros ochenta mil ficheros de la empresa.
Lo que pasa hoy
Hay copia. Nadie la ha restaurado nunca, así que nadie sabe cuánto tarda ni si sirve.
Y en muchos casos vive donde puede llegar el mismo atacante que cifró el original: se puede borrar o cifrar con todo lo demás.
Lo que la protege
Copia que no se puede modificar ni borrar durante un plazo fijado, y objetivos de recuperación acordados con el negocio: cuánto se puede perder y cuánto se puede estar parado, en horas.
Y una restauración hecha de verdad y cronometrada. Ese número es el que vale.
Lo que hace falta de tu lado. Que el negocio, no sistemas, diga cuánto puede estar parado. Es una decisión de dinero.
Fase 09 de 10
Se retira
90%
La nómina, aquí. Vence el plazo de conservación. La ley dice cuánto; el disco no dice nada y nadie va a mirarlo.
Lo que pasa hoy
No se retira nunca. Sigue ahí desde 2019, y también en la copia de 2019.
Cada año que pasa es un año más de riesgo guardado sin que nadie lo haya decidido: dato que ya no aporta y que se sigue pudiendo filtrar.
Lo que la protege
Poder borrarla cuando toca —o justificar por qué sigue ahí— y que el borrado alcance también a las copias, que es donde se queda casi siempre.
Con constancia de lo retirado y de lo conservado.
Lo que hace falta de tu lado. Los plazos legales que te aplican, y autorización expresa. Nadie borra nada sin firma.
Fase 10 de 10
Se demuestra
100%
La nómina, aquí. El cliente, o un inspector, pregunta quién ha visto sus nóminas en los últimos dos años. Y hay que contestar con papeles, no de memoria.
Lo que pasa hoy
Se contesta de memoria y con buena voluntad. Y de memoria no vale: a efectos legales, lo que no está registrado no pasó.
Da igual lo bien que se esté trabajando si no se puede enseñar.
Lo que la protege
El rastro de las nueve fases anteriores, ordenado y con fecha. Eso es el expediente.
Y es la última y no la primera porque solo se puede demostrar lo que las otras nueve han ido registrando. Esta fase ya es BeCompliance.
Lo que hace falta de tu lado. Saber ante quién tienes que responder: tus clientes, tu sector, un regulador concreto.
Por debajo de las diez
Tres cosas que no son una fase.
No le pasan al dato en un momento concreto: tienen que estar funcionando durante las diez. Se ponen una vez y se operan siempre.
Detección y respuestaQue si algo se cuela, alguien lo vea y actúe dentro de la ventana de servicio acordada, en vez de enterarse semanas después. El antivirus que avisa a una consola que no abre nadie no es vigilancia.
Desde dónde se entraEquipo conocido y sitio conocido, o no se entra. Con la contraseña buena y el segundo factor, un equipo ajeno entra igual que el tuyo.
El puesto, gestionadoEquipos inventariados, al día, cifrados y que se pueden borrar en remoto. Actualiza quien se acuerda no es una política.
Por dónde se empieza
No por la fase 01. Por donde estés más expuesto.
El recorrido del dato va del 01 al 10, pero el trabajo no sigue ese orden. Se empieza cerrando la puerta —doble factor y correo—, se sigue por los equipos, y la copia probada se pone pronto y no al final: es lo único que te devuelve al punto de partida si algo sale mal mientras se toca todo lo demás. Después ya se puede ordenar el dato, decidir quién ve qué y controlar por dónde sale.
El orden real lo decide el diagnóstico. Es gratuito, se hace revisando tu entorno en solo lectura y sin instalar nada, y de él sale tu porcentaje de partida y las fases ordenadas por riesgo.
El camino del dato
Empieza abajo. Acaba pudiendo demostrarlo.
Nadie entra por el escalón cinco. Antes de proponerte nada revisamos cómo está tu entorno hoy, en solo lectura y sin instalar nada, y te decimos en qué peldaño estás. Si no falta nada, también te lo decimos.
