Post actualizado el día octubre 27, 2026 by DeiviSanzPlay
Por qué un despacho pequeño es objetivo real
Los bufetes no suelen ser atacados por ser famosos, sino por ser un eslabón blando en la cadena de un cliente industrial o financiero. Un correo con un PDF de «demanda urgente» que en realidad ejecuta un macro es el vector más repetido según los informes anuales de incidentes del sector legal. La lista que sigue está pensada para despachos de 1 a 15 profesionales, que es donde la ausencia de un departamento de IT se nota de verdad.
Bloque 1: accesos y cuentas
- Doble factor en el correo y en el gestor documental. No solo en el correo: el software de expedientes (Lefebvre, Tirant, Clio, etc.) suele tener un portal externo que es la puerta de entrada real. Actívalo también en el correo del administrador del dominio.
- Una cuenta por persona, ninguna compartida. La carpeta «expedientes» con contraseña única que todos conocen es un problema de trazabilidad, no solo de seguridad.
- Revisión trimestral de accesos de becarios y colaboradores externos. El error más habitual: dar de baja al becario en el correo pero dejar activo el acceso al repositorio de contratos durante meses.
- Gestor de contraseñas corporativo. Las contraseñas reutilizadas entre el correo, el banco y el portal del cliente siguen siendo la causa número uno de compromisos en cadena.
Bloque 2: dispositivos y cifrado
- Cifrado de disco obligatorio en portátiles y móviles. BitLocker en Windows, FileVault en Mac. Un portátil robado en un aeropuerto con expedientes de divorcio sin cifrar es una brecha notificable ante la AEPD.
- Bloqueo automático a los 5 minutos. Parece trivial hasta que alguien deja el despacho abierto con un cliente esperando en la sala.
- Inventario de dispositivos con fecha de compra y responsable. Sin este registro no se puede saber qué equipo quedó fuera de la última actualización.
- Prohibición expresa de usar el USB personal para llevar copias a casa. Sustitúyelo por acceso VPN o por el repositorio en la nube con cifrado en tránsito.
Bloque 3: correo y comunicaciones con clientes
- SPF, DKIM y DMARC configurados en el dominio del despacho. Sin DMARC, cualquier atacante puede enviar correos suplantando la dirección del socio director. Verifica el registro con herramientas públicas de comprobación antes de darlo por hecho.
- Procedimiento de verificación para cambios de cuenta bancaria. El fraude del «nuevo IBAN» del cliente es el más rentable en el sector legal. Llamada telefónica a un número ya conocido, nunca al que aparece en el correo.
- Envío cifrado o con contraseña para documentación sensible. Aquí conviene ser franco: el cifrado de correo con PGP funciona mal en la práctica porque el cliente no lo tiene configurado. Un enlace con caducidad y contraseña enviada por otro canal (SMS o llamada) es más realista y más usado.
- Política de adjuntos. Bloquear la ejecución de macros en documentos de Office que llegan de fuera del despacho. Es una configuración de dos clics en el centro de administración de Microsoft 365 o Google Workspace.
Bloque 4: copias de seguridad y continuidad
- Regla 3-2-1 aplicada a expedientes. Tres copias, dos medios distintos, una fuera de la oficina. Ejemplo concreto: repositorio en la nube + NAS en el despacho + copia cifrada en disco externo que rota semanalmente a un domicilio.
- Prueba de restauración documentada. Una copia que nunca se ha restaurado no es una copia. Haz una restauración real de un expediente cerrado cada trimestre y anota el tiempo que tarda.
- Plazo de conservación alineado con la normativa. La copia de seguridad no puede guardar datos personales indefinidamente sin criterio. Define plazos y bórralos.
Bloque 5: personas y procedimientos
- Simulacro de phishing al menos una vez al año. No para castigar a nadie, sino para medir quién pincha. En despachos pequeños el resultado suele sorprender: el socio senior es a menudo el que hace clic.
- Registro de incidentes. Un cuaderno o una hoja compartida con fecha, qué pasó, qué se hizo y quién lo gestionó. Obligatorio si tienes que notificar a la AEPD en 72 horas.
- Contacto de emergencia del proveedor informático fuera del horario laboral. Un incidente un viernes a las 20:00 con un plazo de presentación el lunes no espera al lunes.
- Cláusula de confidencialidad y seguridad con proveedores que tratan datos. Incluye al gestor de nóminas, al servicio de digitalización y al informático externo.
Lo que esta lista no resuelve
Ningún checklist sustituye a un análisis de riesgos adaptado a tu estructura de clientes. Si trabajas con expedientes de salud, menores o datos financieros, el nivel exigible es distinto al de un despacho que solo hace reclamaciones de cantidad. Tampoco resuelve el problema del software antiguo: si tu gestor de expedientes corre sobre un servidor Windows Server 2012 sin soporte, ninguna contraseña robusta te va a salvar. Y hay una limitación práctica que conviene reconocer: la mayoría de despachos no tiene presupuesto para un SOC ni para auditorías externas anuales, así que la prioridad realista es tapar los agujeros evidentes antes de plantearse herramientas avanzadas.
Empieza por el doble factor y el cifrado de disco. Son las dos medidas con mejor relación coste-impacto y las que aparecen en la mayoría de sanciones y reclamaciones por incidentes en servicios profesionales.
Perfiles verificables: Sitio web
Publicado el 27 de October de 2026. Última revisión: 27 de October de 2026.
