Ya sea por un sistema de ciberseguridad defectuoso o por el uso indiscriminado de la inteligencia artificial, el manejo de información sensible de clientes, colaboradores y proveedores está en riesgo constante. Por ello, proteger los datos es indispensable para el funcionamiento de las compañías.
Pero existe un grave problema: muchas continúan almacenando documentos críticos en plataformas colaborativas o compartiendo archivos mediante enlaces. En diversos casos, no existen controles que permitan conocer quién accede a ellos, cuánto tiempo permanecen disponibles o si han sido descargados. Según IBM, el costo promedio mundial de una filtración de datos asciende a US$ 4.44 millones.
La protección de datos en Perú eleva sus exigencias
Esta realidad cobra mayor relevancia con la entrada en vigencia de las nuevas disposiciones de la Ley de Protección de Datos Personales (LPDP). Desde marzo de 2025, su reglamento establece mayores responsabilidades para las organizaciones en la gestión y el resguardo de la información.
Para Iván Goicochea, CEO de Xpartans, empresa especializada en ciberseguridad, contar con un antivirus ya no es suficiente.
“Ahora hay exigencias relacionadas con monitoreo, clasificación y trazabilidad de los datos personales. No existe una estadística que indique cuántas empresas cumplen con el reglamento, pero estimamos que ni siquiera el 5% de las organizaciones en el Perú cumple actualmente con el nuevo reglamento”, precisa Goicochea a Sectoriales Tech.
Sin embargo, la fiscalización en materia de protección de datos personales aún es limitada. Ante la falta de incentivos para ceñirse al marco legal, Goicochea considera que primero se debe concientizar a las empresas sobre las obligaciones que establece el reglamento e identificar las brechas existentes para, a partir de ello, adoptar políticas concretas.
Ya no basta con evitar filtraciones de datos
Uno de los cambios más relevantes está en la trazabilidad. La empresa no solo necesita determinar quién puede acceder a determinada información, sino también conservar evidencia de las acciones realizadas con ella, como visualizar, editar, descargar o compartir un documento e, incluso, intentar ejecutar acciones no permitidas.
El cambio es relevante porque modifica el enfoque tradicional de la ciberseguridad. Proteger una computadora mediante un antivirus o restringir el acceso a una cuenta no necesariamente significa que la información almacenada en ellas permanezca protegida durante todo su recorrido.
“Lo primero es identificar y clasificar los datos personales que maneja la organización. A partir de ahí, deben aplicarse medidas de seguridad reforzadas. En términos prácticos, hay que proteger el dato como tal. Un antivirus, por sí solo, no sirve para eso. Una vez identificados los datos personales, hay que gestionar quién puede acceder a ellos. Todos los accesos deben estar justificados por una razón de negocio y los permisos tienen que estar claramente delimitados”, sostiene Goicochea.
El ejecutivo utiliza un ejemplo sencillo: un colaborador con acceso legítimo a la planilla de trabajadores podría intentar copiarla en una memoria USB o enviarla a un correo personal. En ese escenario, el riesgo ya no proviene de un ciberdelincuente que consiguió vulnerar la infraestructura desde fuera, sino de alguien autorizado para consultar la información.
La empresa debería ser capaz no solo de impedir la extracción, sino también de registrar quién realizó el intento, qué archivo quiso retirar y por qué vía. De esta manera, la trazabilidad también permite detectar conductas potencialmente riesgosas dentro de la propia organización.
Incidentes de datos: ¿puede una empresa reaccionar en 48 horas?
La capacidad de reconstruir lo ocurrido cobra aún más relevancia frente a otra de las exigencias del nuevo marco. Según la documentación compartida por Xpartans, determinados incidentes relacionados con datos personales deben notificarse en un plazo de 48 horas.
Las organizaciones también deben contar con medidas de seguridad adecuadas y garantizar la portabilidad de los datos cuando corresponda. Las sanciones pueden alcanzar los S/ 275,000, dependiendo de la gravedad de la infracción.
Pero este plazo abre otra interrogante: antes de reportar una filtración, la compañía tiene que haberla detectado.
“Para poder hacerlo, se necesita monitorear, porque si no se detecta un incidente, tampoco se puede reportar. Estos servicios de monitoreo permanente existen en el mercado, pero muy pocas empresas los tienen incorporados. Básicamente, los encontramos en grandes empresas y corporaciones. La mayoría de las pymes no cuenta con ellos, pese a que el reglamento también les aplica”, afirma Goicochea.
Una vez descubierto el incidente, empieza la reconstrucción: qué información fue comprometida, cómo ocurrió, cuál fue el impacto y qué acciones pueden ejecutarse para contener o reparar el daño.
Así, cumplir con el plazo no es únicamente responsabilidad del equipo legal. También depende de que las áreas de tecnología y ciberseguridad tengan suficiente visibilidad sobre sus activos y procesos para identificar rápidamente dónde se originó el incidente.
La protección de datos deja de ser únicamente un asunto legal
Ese cambio también modifica qué áreas deben involucrarse en el cumplimiento. Durante años, la protección de datos estuvo estrechamente asociada con consentimientos, políticas y documentación. Para Goicochea, el nuevo escenario obliga a integrar esa dimensión legal con otra tecnológica.
“La protección de datos personales antes tenía un tratamiento predominantemente legal y documental. Ahora existe una combinación: hay un componente legal y otro tecnológico. Se necesitan procedimientos y, en determinados casos, debe designarse un oficial de datos personales. Eso no lo hace una plataforma”, explica.
Cumplir el reglamento no significa eliminar el ciberriesgo
Existe, finalmente, otra frontera que las empresas deben considerar. Una organización puede implementar todos los controles exigidos y, aun así, continuar expuesta a un incidente.
Goicochea distingue, por ello, entre cumplimiento regulatorio y seguridad absoluta. “Una cosa es hablar de cumplimiento del 100% del reglamento. Eso sí es posible: se puede decir que se está alineado al 100% con aquello que exige la normativa. Pero ese cumplimiento no garantiza que nunca vaya a ocurrir nada. Si hablamos estrictamente de ciberseguridad, esta se maneja mediante niveles de riesgo. No existe ninguna empresa o entidad en el mundo capaz de garantizar que es impenetrable y que nunca le ocurrirá nada”, asegura.
En ese punto, la discusión deja nuevamente de ser exclusivamente tecnológica. El directorio también tendrá que determinar qué nivel de riesgo está dispuesto a aceptar y qué inversión necesita realizar para reducirlo. No existe una cifra universal: el tamaño de la organización, el número de usuarios, la información que administra y el impacto potencial de una filtración determinan las necesidades de protección.
Ningún sector está fuera del riesgo de una filtración
La exposición tampoco se limita a una industria. Goicochea identifica a los sectores financiero, salud, educación y retail entre aquellos en los que observa una especial sensibilidad debido al volumen de datos personales que administran. Pero advierte que ninguna actividad empresarial debería considerarse ajena al riesgo.
En otras palabras, el nuevo reglamento eleva la vara, pero no porque prometa impedir cada filtración. El reto ya no consiste únicamente en desplegar herramientas de seguridad, sino en desarrollar la capacidad de saber dónde están los datos, quién los utiliza, qué ocurre con ellos y cómo responder cuando algo falla.
Para las empresas, esa diferencia puede marcar la distancia entre tener una política de protección de datos archivada y estar realmente en condiciones de demostrar que la cumplen.
