Un despacho pequeño guarda escrituras, informes periciales, nóminas y estrategias procesales en tres portátiles y una cuenta de correo. Esto es lo que hay que tener montado para que un phishing o un ransomware no se lleve por delante el secreto profesional, en qué orden hacerlo y cuánto cuesta de verdad.
Un atacante que cifra los equipos de una fábrica obtiene una empresa parada. Uno que cifra los de un despacho de abogados obtiene algo mejor: expedientes de divorcio, operaciones societarias sin cerrar, informes médicos, herencias en disputa y correspondencia con clientes que no puede filtrarse. La presión para pagar no viene solo de la pérdida de datos, sino de la amenaza de publicarlos.
A eso se suma un problema estructural. El despacho de dos a diez abogados suele tener el peor de los dos mundos: información tan sensible como la de una gran firma y una infraestructura montada por acumulación —un portátil personal, una cuenta de correo del proveedor de siempre, un disco duro externo encima de la mesa y archivos compartidos por WhatsApp—. No hay departamento de sistemas, y el responsable de seguridad acaba siendo el socio que mejor se maneja con el ordenador.
La buena noticia es que la mayoría de los incidentes reales en despachos españoles no son ataques sofisticados. Son correos de suplantación, contraseñas reutilizadas y copias de seguridad que nadie había comprobado. Se previenen con medidas concretas, baratas y que se implantan en un par de tardes.
Conviene entender que aquí no se solapan dos deberes distintos, sino uno solo visto desde dos ángulos. El deber de secreto profesional del abogado, recogido en el Estatuto General de la Abogacía Española, obliga a proteger toda la información conocida por razón de la actuación profesional. Si esa información vive en un ordenador, protegerla significa protegerla técnicamente.
Por otro lado, el RGPD exige medidas técnicas y organizativas apropiadas al riesgo. En un despacho, el riesgo es alto por definición: se tratan categorías especiales de datos —salud, ideología, vida sexual en asuntos de familia— y datos relativos a infracciones penales. No hay lectura razonable de esa norma en la que un despacho pueda considerarse de riesgo bajo.
La consecuencia práctica es doble. Una brecha de seguridad puede derivar en un expediente sancionador de la autoridad de control y, a la vez, en responsabilidad deontológica ante el Colegio. Si quieres el detalle del ángulo de cumplimiento documental, lo desarrollamos en nuestra guía sobre protección de datos en un despacho de abogados.
Es, con diferencia, la vía de entrada más frecuente. El correo imita una notificación judicial, un burofax, una factura de un proveedor conocido o un mensaje del propio socio pidiendo una transferencia urgente. En despachos que gestionan provisiones de fondos y cuentas de terceros, el daño económico es inmediato.
La variante más peligrosa es el fraude del cambio de cuenta: el atacante accede al correo, vigila durante semanas una operación inmobiliaria o una herencia, y en el momento del pago envía desde una dirección casi idéntica un número de cuenta distinto. El cliente paga, y el dinero desaparece.
Cifra los archivos del despacho y pide rescate. El vector de entrada suele ser un adjunto, una contraseña de acceso remoto débil o un equipo sin actualizar. Sin copias de seguridad aisladas, la alternativa al pago es reconstruir años de expedientes a mano.
La contraseña del correo del despacho es la misma que la de un foro que sufrió una filtración hace tres años. El atacante no necesita entrar por la fuerza: entra con la llave. Sin verificación en dos pasos, este escenario no tiene defensa.
El portátil olvidado en un tren y el móvil robado a la salida de los juzgados son incidentes de protección de datos si el disco no está cifrado. Con cifrado activado, el mismo hecho pasa a ser una molestia logística.
Este es el orden recomendado. Está pensado para que los tres primeros controles, que son los que evitan la mayoría de los incidentes, estén operativos en una semana.
Con LexIAGest cada asunto guarda sus documentos, sus accesos y su historial de quién ha visto qué, en lugar de repartirse entre carpetas compartidas, correos y discos externos. Reducir el número de sitios donde vive la información es, en la práctica, la medida de seguridad más eficaz de un despacho pequeño.
Probar LexIAGest gratisCostes orientativos para un despacho de 2 a 10 personas. Varían según proveedor y número de usuarios: úsalos para priorizar, no como presupuesto cerrado.
| Control | Esfuerzo de puesta en marcha | Coste orientativo anual | Riesgo que elimina |
|---|---|---|---|
| Verificación en dos pasos | Bajo (1-2 horas) | 0 € | Acceso con credenciales robadas |
| Gestor de contraseñas | Bajo (media jornada) | 30-60 € por usuario | Reutilización y contraseñas compartidas |
| Copia 3-2-1 con verificación | Medio (1 jornada) | 100-400 € por despacho | Ransomware y borrado accidental |
| Cifrado de disco y móviles | Bajo (1-2 horas) | 0 € (incluido en el sistema) | Pérdida o robo de dispositivos |
| Antivirus gestionado y parches | Bajo | 30-70 € por equipo | Malware y vulnerabilidades conocidas |
| Gestión documental con permisos | Medio (migración) | Según software de gestión | Acceso interno indebido y dispersión documental |
| Formación semestral | Bajo (45 min/persona) | 0-300 € | Phishing y fraude del cambio de cuenta |
| Plan de respuesta escrito | Medio (1 jornada) | 0 € (interno) | Improvisación y pérdida del plazo de 72 horas |
El plazo de notificación de brechas del RGPD es de 72 horas desde que se tiene conocimiento del incidente, y empieza a correr aunque todavía no sepas el alcance. Tener estos pasos escritos y colgados en la pared vale más que cualquier herramienta.
La nube bien contratada es, para un despacho pequeño, más segura que un servidor propio en el armario del pasillo: tiene redundancia, parcheado y control de accesos que ningún despacho de cinco personas puede sostener. El riesgo no está en la nube, está en el contrato y en la configuración.
Tres comprobaciones antes de meter expedientes en cualquier servicio:
Con las herramientas de IA generativa, la regla operativa más sencilla es también la más segura: no pegar documentos identificables de clientes en servicios gratuitos sin contrato. Si quieres ver qué usos sí tienen encaje en un despacho, lo tratamos en la guía de herramientas de IA para abogados.
No existe una norma que exija un documento con ese nombre concreto, pero el RGPD obliga a aplicar medidas técnicas y organizativas apropiadas al riesgo y a poder demostrarlo. En la práctica, la forma de demostrarlo es tener por escrito qué medidas hay implantadas, quién las revisa y con qué periodicidad. Un documento de tres páginas bien mantenido cumple ese papel mejor que un manual extenso que no refleje lo que el despacho hace realmente.
Para avisos y coordinación es razonable; para enviar documentación del expediente es una mala práctica. Los archivos quedan en el dispositivo personal, en las copias del teléfono y fuera de cualquier control de acceso del despacho, y resulta imposible acreditar quién accedió a qué. La alternativa correcta es un enlace de descarga con caducidad desde el gestor documental o un portal de cliente, de forma que el documento siga viviendo dentro del expediente.
Los controles esenciales —verificación en dos pasos, cifrado de disco, actualizaciones y formación interna— tienen coste cero o casi cero, y son los que evitan la mayoría de los incidentes. El gasto real se concentra en gestor de contraseñas, antivirus gestionado y copias de seguridad verificadas: para cinco personas suele moverse en el entorno de unos pocos cientos de euros al año. Lo determinante no es el importe, sino que las copias se restauren de prueba y que la formación se repita.
Depende del cifrado. Si el disco estaba cifrado con una clave robusta que no se ha visto comprometida, se considera que los datos no son accesibles y normalmente no procede notificar, aunque el incidente sí debe quedar documentado en el registro interno de brechas. Si el disco no estaba cifrado y contenía datos de clientes, hay que valorar el riesgo y, salvo que sea improbable, notificar dentro de las 72 horas.
Es mucho mejor que no tener ninguna, pero es la opción más débil: existen ataques de duplicado de tarjeta SIM y de interceptación. Para las cuentas críticas del despacho —correo, gestor documental y banca— conviene usar una aplicación de autenticación o una llave física. La diferencia de comodidad es mínima y la de seguridad es considerable.
No se borran sin más: hay plazos de conservación derivados de la responsabilidad profesional, de la normativa de prevención del blanqueo y de la obligación de custodia documental. Lo correcto es definir un plazo por tipo de asunto, mantener el expediente archivado con acceso restringido durante ese plazo y suprimirlo de forma documentada al vencer. Un archivo histórico accesible por todo el despacho y sin fecha de caducidad es riesgo puro sin contrapartida.
La ciberseguridad de un despacho pequeño no se juega en herramientas caras, se juega en tres decisiones: activar la verificación en dos pasos en todo, tener copias de seguridad que alguien ha restaurado de verdad, y reducir el número de sitios donde viven los documentos de los clientes. Con eso cubierto, la mayoría de los incidentes que acaban en expediente sancionador dejan de ser posibles.
Lo que sale caro es lo contrario: descubrir el día del incidente que la copia llevaba ocho meses fallando en silencio, que la contraseña del correo del despacho era la misma de 2019 y que nadie sabía en qué momento empezaban a contar las 72 horas.
Este artículo tiene carácter informativo y no constituye asesoramiento jurídico ni técnico para un caso concreto. Las obligaciones aplicables a cada despacho dependen de su volumen y tipo de tratamientos, y la normativa y los criterios de la autoridad de control pueden modificarse: verifica siempre la regulación vigente y, cuando el caso lo requiera, recaba asesoramiento especializado.