Estás por aprobar una simulación de phishing y aparece la pregunta que frena muchos proyectos: si el ejercicio captura lo que escriben tus colaboradores, ¿dónde queda esa información? ¿Quién puede verla? ¿Y qué dice la LOPDP al respecto?
Es la pregunta correcta y merece una respuesta precisa antes de firmar nada. Esta guía la responde.
Qué datos se generan realmente
Un ejercicio de simulación de phishing produce tres tipos de información, y cada uno tiene un tratamiento distinto:
| Dato | Qué es | Sensibilidad |
|---|---|---|
| Lista de destinatarios | Nombres y correos corporativos de los participantes | Dato personal |
| Registro de interacción | Quién abrió, quién hizo clic, fecha y hora | Dato personal asociado a conducta |
| Credenciales ingresadas | Lo que la persona escribió en el formulario simulado | El punto crítico |
El tercero es el que genera la preocupación, y con razón. La buena práctica es clara: las contraseñas reales no se almacenan en ningún momento. Lo que se registra es el hecho de que la persona completó el formulario, no el contenido de lo que escribió.
Por qué no se guardan las contraseñas
Hay tres razones y las tres son suficientes por sí solas:
- No aporta valor a la medición. El indicador es “entregó credenciales”, un sí o un no. El texto exacto es irrelevante para el objetivo del ejercicio.
- Crea un riesgo que no existía. Almacenar contraseñas reales convierte el ejercicio en un nuevo punto de exposición.
- Complica el cumplimiento. Bajo la LOPDP, tratar credenciales de acceso eleva de forma innecesaria las obligaciones sobre ese tratamiento.
Si un proveedor te ofrece entregarte las contraseñas que capturó, esa oferta debería preocuparte, no tranquilizarte.
Lo que exige la LOPDP en este contexto
Lo que sigue es orientación general sobre qué revisar, no asesoría legal. Conviene validar el caso concreto con criterio jurídico.
Durante el ejercicio tu empresa actúa como responsable del tratamiento de datos personales de sus colaboradores, y el proveedor como encargado. Eso implica varias definiciones que deberían estar por escrito:
| Punto | Qué debe quedar definido |
|---|---|
| Finalidad | Concienciación en seguridad, no evaluación del desempeño |
| Base de licitud | Interés legítimo del empleador en la seguridad de la información |
| Minimización | Solo los datos necesarios: sin contraseñas reales |
| Plazo de conservación | Cuánto tiempo se guarda el registro y qué pasa después |
| Ubicación de los datos | Dónde se aloja la información y bajo qué medidas |
| Acceso | Quiénes pueden consultar los resultados, con nombre y rol |
| Contrato de encargo | Obligaciones del proveedor sobre confidencialidad y seguridad |
| Devolución o supresión | Qué ocurre con los datos al terminar la relación |
Ese último punto es el que más se omite y el que más conviene tener resuelto desde el inicio.
Las preguntas que debes hacerle al proveedor
- ¿Se almacenan contraseñas reales? La única respuesta aceptable es que no.
- ¿Dónde se aloja la plataforma? Servidor propio, servicio de terceros, en qué país.
- ¿Los datos están cifrados en reposo y en tránsito?
- ¿Está aislada mi información de la de otros clientes?
- ¿Quién del lado del proveedor puede acceder?
- ¿Por cuánto tiempo se conservan los resultados y quién decide?
- ¿Cómo se entregan o eliminan los datos al final?
- ¿Firman un acuerdo de confidencialidad y de encargo de tratamiento?
Un proveedor serio responde estas ocho sin titubear y las deja por escrito en el contrato.
El uso interno de los resultados
Hay una decisión que es tuya, no del proveedor, y que define el éxito del programa a largo plazo: qué haces con los nombres.
| Enfoque | Efecto |
|---|---|
| Resultados agregados por área | Permite decidir dónde capacitar sin exponer a nadie |
| Nominal, uso formativo | Acompañamiento individual discreto. Funciona si hay confianza |
| Nominal, uso disciplinario | Destruye el ejercicio: la próxima vez nadie interactúa con nada |
La tercera opción parece rigurosa y es contraproducente. El objetivo es que la gente aprenda a detectar el engaño, no que aprenda a tenerle miedo al ejercicio.
Qué comunicar al personal, y cuándo
Una prueba ciega no se anuncia antes, pero eso no significa opacidad. Después del ejercicio conviene comunicar:
- Que se realizó un ejercicio de concienciación, con qué finalidad.
- Que no se almacenaron contraseñas reales.
- Que los resultados se usan de forma formativa y no punitiva.
- Los resultados agregados y qué se va a hacer con ellos.
Esa comunicación posterior convierte un ejercicio que podría sentirse como una trampa en una actividad de mejora colectiva.
Preguntas frecuentes
¿Necesito el consentimiento de cada colaborador?
En una relación laboral, la seguridad de la información suele sustentarse en el interés legítimo del empleador más que en el consentimiento individual, que además sería problemático por la asimetría de la relación. Lo que sí conviene tener es la política de seguridad comunicada al personal y la autorización formal de la dirección para el ejercicio. Es un punto que vale revisar con asesoría legal.
¿Puedo pedir que borren todo al terminar?
Sí, y debería estar previsto en el contrato. Lo habitual es conservar el informe consolidado, que es la evidencia auditable, y suprimir los registros individuales de interacción pasado un plazo definido. Tú decides ese plazo según tus necesidades de auditoría.
¿Es seguro que el proveedor aloje los datos en su infraestructura?
Puede serlo, siempre que existan garantías verificables: cifrado, aislamiento entre clientes, control de accesos y un contrato de encargo de tratamiento. Lo importante no es dónde están los datos sino qué medidas los protegen y qué compromisos contractuales los respaldan.
¿Qué pasa si alguien usó su contraseña personal real?
Precisamente por eso no se almacenan. Además, es un hallazgo valioso: si varias personas usan la misma contraseña en sistemas corporativos y personales, ese es un riesgo concreto que el ejercicio ayuda a detectar y que debería derivar en una acción de capacitación sobre gestión de contraseñas.
Artículos relacionados
- Por qué una simulación de phishing necesita autorización firmada
- Simulación de phishing para cumplir ISO 27001
- Qué necesita tu equipo de TI para ejecutar una simulación de phishing
Ciberseguridad para empresas
¿Necesitas medir la exposición real de tu equipo?
Ejecutamos simulaciones controladas con autorización formal, escenarios por área e informes ejecutivo y técnico. Sin almacenar contraseñas reales y con evidencia lista para auditoría.
Solicitar propuesta
Ver servicios
proyectos@bluenova.com.ec · +593 96 949 8704 · Quito, Ecuador
Sigue leyendo
Comentarios y opiniones
0 comentarios · Moderación previa
Cuéntanos tu experiencia, dudas o casos similares. Revisamos cada comentario antes de publicarlo para mantener conversaciones de calidad. También puedes suscribirte para recibir nuevos artículos.