Una selección de proyectos (ficticios) en los que unimos cumplimiento normativo y ciberseguridad técnica. Datos inventados con fines académicos.
Caso destacadoComercio electrónico B2CPagos digitales
Click&Buy: plan básico de cumplimiento normativo para una tienda online
Click&Buy, S.L. vende electrónica, hogar y moda a consumidores de España y del resto de la UE a través de su web y de su aplicación. Tiene unos 65 empleados, factura unos 12 M€ y cuenta con alrededor de 150.000 clientes registrados. Nos pidió revisar su situación y proponer un plan básico de cumplimiento normativo.
La tienda funciona sobre una plataforma de comercio electrónico en la nube con alojamiento en la UE, usa un CRM y una herramienta de correo comercial de un proveedor estadounidense y cobra con tarjeta, Bizum y monederos a través de una pasarela certificada PCI DSS que tokeniza los datos, así que Click&Buy nunca ve el número completo de la tarjeta. Para el análisis usamos entrevistas, revisión de documentación y una evaluación de riesgos basada en MAGERIT.
El equipo del proyecto
Como en todos nuestros proyectos, trabajamos en pareja con dos roles complementarios:
[Compañero/a] Consultor/a de cumplimiento normativo
Analiza las leyes, la gobernanza, la estructura organizativa y las funciones del responsable de cumplimiento.
Diego Pastrana Consultor de ciberseguridad
Aplica la normativa a la protección de datos y a los pagos, analiza los riesgos y diseña las políticas técnicas y la gestión de terceros.
1. Contexto y riesgos principales
Click&Buy está expuesta a internet las 24 horas, tiene picos de venta muy fuertes (Black Friday, Navidad, rebajas) y depende mucho de terceros. Trata datos identificativos, direcciones, historial de compras, preferencias para perfilado y datos de pago (solo token, últimos 4 dígitos y resultado de 3-D Secure; nunca el número completo ni el CVV). En principio no trata categorías especiales, pero hay que evitar deducirlas de las compras al hacer perfiles.
Mapa de riesgos de ciberseguridad y cumplimiento (nivel indicado con icono y texto)
Amenaza
Escenario en Click&Buy
Consecuencia
Nivel
Phishing e ingeniería social
Robo de credenciales del panel de la tienda o del correo; campañas que suplantan a Click&Buy para estafar a sus clientes.
Acceso a datos, fraude a clientes
Alto
Skimming web (Magecart)
Código JavaScript malicioso inyectado en la página de pago o en un script de terceros (chat, analítica).
Robo de tarjetas e incumplimiento de PCI DSS
Alto
Relleno de credenciales
Uso de contraseñas filtradas en otros servicios para tomar el control de cuentas de clientes.
Pedidos fraudulentos, brecha de datos
Alto
Ransomware
Cifrado del ERP y del sistema de gestión del almacén.
Parada de ventas y envíos
Alto
Fuga de datos
Almacenamiento en la nube mal configurado o exportación masiva del CRM por un empleado.
Brecha en la agencia de marketing, en el transportista o en una extensión (plugin) de la tienda.
Brecha indirecta de la que responde Click&Buy
Alto
Incumplimiento normativo
Cookies sin consentimiento válido, correos comerciales sin base legal, web no accesible.
Sanciones de la AEPD y de consumo
Medio
2. Normativa aplicable
El DPD es obligatorio porque Click&Buy elabora perfiles de preferencias de unos 150.000 clientes (art. 34.1.d LOPDGDD y art. 37.1.b RGPD). Recomendamos que sea externo, porque así es más fácil garantizar su independencia (art. 38 RGPD).
Mapa normativo de Click&Buy
Norma
Carácter
Qué supone para Click&Buy
RGPD Reglamento (UE) 2016/679
Obligatoria
Es la base del plan: registro de actividades, EIPD del perfilado, contratos con encargados y notificación de brechas en 72 h. Multas de hasta 20 M€ o el 4 % de la facturación mundial (art. 83).
LOPDGDD LO 3/2018
Obligatoria
DPD obligatorio por elaborar perfiles a gran escala (art. 34.1.d), comunicado a la AEPD en 10 días (art. 34.3). Lista Robinson y uso de dispositivos del personal (art. 87).
LSSI-CE Ley 34/2002
Obligatoria
Aviso legal completo; banner con «Rechazar» al mismo nivel que «Aceptar»; correo comercial solo con consentimiento o a clientes sobre productos similares (art. 21.2) y baja sencilla.
TRLGDCU RDL 1/2007
Obligatoria
Condiciones de venta claras, desistimiento de 14 días naturales, reembolsos en plazo y coherencia entre la web y Atención al cliente.
Accesibilidad Ley 11/2023
Obligatoria (no es microempresa)
Auditar la web y la app (WCAG 2.1 AA / EN 301 549), publicar la información de accesibilidad y hacer accesibles el pago y los CAPTCHA.
PSD2 RDL 19/2018 y Reg. Delegado 2018/389
Obligatoria para los proveedores de pago
Click&Buy la aplica con su pasarela: integrar EMV 3-D Secure 2 y pedir exenciones a través del adquirente.
PCI DSS v4.0.1
Obligatoria por contrato
Pago externalizado (iframe o redirección) para acogerse al SAQ A; protección de los scripts de la página de pago; escaneos ASV trimestrales.
Protección del informante Ley 2/2023
Obligatoria (65 empleados)
Canal de denuncias confidencial y con opción anónima, gestionado por el responsable de cumplimiento: acuse en 7 días y respuesta en 3 meses como máximo.
Código Penal art. 31 bis
Obligatoria
Modelo de prevención de delitos (referencia UNE 19601) para que la empresa pueda quedar exenta de responsabilidad penal.
NIS2 Directiva (UE) 2022/2555
No obligatoria hoy
El comercio minorista en línea no está en sus anexos; le afecta de forma indirecta por la nube, la pasarela y los bancos. Transposición española pendiente. Sus medidas (art. 21) se usan como buena práctica.
ENS RD 311/2022
No obligatorio (referencia)
Solo sería exigible si vendiera servicios a una Administración; útil como catálogo de medidas.
ISO/IEC 27001:2022
Voluntaria (recomendada)
Marco para ordenar todo el plan y demostrar diligencia.
3. Gobernanza, organización y ética
Para una empresa de 65 personas proponemos una estructura sencilla. El responsable de cumplimiento es interno, pero puede dirigirse directamente al Consejo y tiene presupuesto propio. El DPD es externo. El CISO depende de la Dirección General y no de IT, para no ser juez y parte. Los tres, junto con Finanzas y RR. HH., forman el Comité de Cumplimiento, que se reúne cada trimestre (o antes si hay un incidente grave). Seguimos el modelo de las tres líneas del IIA, con una auditoría interna externalizada a una firma distinta de CyberClick.
Matriz RACI (R: realiza · A: aprueba y rinde cuentas · C: consultado · I: informado)
Actividad
Consejo / Dir. General
Resp. cumplimiento
DPD
CISO
IT / Desarr.
Marketing
Finanzas
RR. HH.
At. cliente / Logíst.
Aprobar políticas y presupuesto
A
R
C
C
I
I
I
I
I
Registro de actividades y EIPD
A
R
C
C
C
C
I
I
I
Cookies, consentimientos y correo comercial
I
A
C
C
R
R
I
I
I
Seguridad técnica y PCI DSS (SAQ, ASV)
I
C
I
A/R
R
I
C
I
I
Altas, bajas y revisión trimestral de accesos
I
C
I
A
R
C
C
R
C
Gestión de brechas y notificación a la AEPD
A
C
R
R
R
I
I
I
C
Derechos de los interesados (1 mes)
I
A
C
I
C
C
I
I
R
Evaluación y contratación de proveedores
I
A
C
R
C
C
R
I
I
Desistimientos, devoluciones y reembolsos
I
C
I
I
I
I
R
I
A/R
Funciones del responsable de cumplimiento
Mantener actualizado el mapa normativo y vigilar los cambios (transposición de NIS2, PSD3/PSR, criterios de la AEPD sobre cookies).
Evaluar cada año los riesgos de cumplimiento con el CISO y el DPD y coordinar la redacción y aprobación de las políticas.
Organizar la formación: acogida, simulaciones de phishing trimestrales y sesiones para Marketing y Atención al cliente.
Gestionar el canal de denuncias como responsable del Sistema interno de información (Ley 2/2023).
Coordinar con el CISO y el DPD la respuesta a incidentes y el registro de brechas (art. 33.5 RGPD).
Hacer seguimiento de las auditorías e informar cada trimestre al Comité y cada año al Consejo.
Dilemas éticos que dejamos resueltos
Dilemas éticos previsibles y decisión recomendada
Dilema
Decisión que recomendamos
Marketing quiere usar el historial de compras para un perfilado agresivo y lanzar campañas sin consentimiento válido.
Personalizar solo con consentimiento granular o interés legítimo documentado, EIPD previa y sin inferir datos sensibles. El DPD emite informe y decide el comité.
A días del Black Friday se detecta un acceso no autorizado a la base de clientes y Dirección Comercial propone «esperar a después de la campaña».
Activar el plan de respuesta, notificar a la AEPD en 72 h (art. 33) y avisar a los clientes si el riesgo es alto (art. 34).
Un socio comercial ofrece pagar por la base de datos de clientes para sus propias campañas.
Rechazar la venta. Como alternativa, campañas conjuntas enviadas por Click&Buy solo a quien lo haya consentido, o datos agregados y anonimizados.
Diseñar el banner de cookies con patrones oscuros: «Rechazar» escondido o casillas premarcadas.
«Aceptar» y «Rechazar» en la primera capa con el mismo peso visual, configuración por finalidades y registro de cada consentimiento.
4. Políticas propuestas
Elegimos tres políticas porque responden directamente a los riesgos altos. Las aprueba el Consejo y se revisan una vez al año.
P-01. Contraseñas y autenticación multifactor (MFA)
Frases de contraseña de 12 caracteres como mínimo (14 en cuentas privilegiadas), sin caducidad forzada salvo sospecha de compromiso, bloqueo de contraseñas filtradas y gestor corporativo. MFA obligatorio en correo, acceso remoto, nube, panel de la tienda, CRM y pasarela; llaves FIDO2 o claves de acceso para administradores. Para clientes: limitación de intentos y detección de bots contra el relleno de credenciales.
P-02. Control de acceso a datos de clientes y de pagos
Mínimo privilegio y acceso por roles (RBAC). Atención al cliente ve el pedido y los últimos 4 dígitos, sin poder exportar; Logística, solo los datos de envío. Bajas en 24 h como máximo, cuentas inactivas 90 días deshabilitadas y revisión trimestral con evidencia que custodia el responsable de cumplimiento.
P-03. Gestión segura de pagos
Click&Buy no almacena, procesa ni transmite números de tarjeta ni CVV: el pago lo captura una pasarela PCI DSS de nivel 1 y solo se guarda el token y los últimos 4 dígitos. 3-D Secure 2, control de los scripts de la página de pago (CSP y SRI), doble validación de reembolsos y revisión anual del AOC de la pasarela.
Entre los meses 3 y 6 se añade una política de uso de dispositivos y BYOD, informando a la plantilla como exige el art. 87 LOPDGDD.
5. Relaciones con terceros
Click&Buy sigue siendo responsable de lo que hagan sus proveedores con los datos (art. 28 RGPD). Los críticos (nube, plataforma, pasarela y CRM) se revisan cada año y el resto cada dos, además de después de cualquier incidente.
Terceros relevantes y controles exigidos
Tercero
Datos o acceso
Papel (RGPD)
Controles clave
Pasarela de pago y banco adquirente
Tokens, importe, datos de la operación
Responsable independiente (entidad regulada)
AOC PCI DSS de nivel 1 vigente, 3-D Secure 2, ANS reforzado en campañas.
Nube y plataforma de comercio electrónico
Todos los datos de clientes
Encargado
Datos en la UE, ISO/IEC 27001, cifrado, copias, ANS del 99,9 %, portabilidad y borrado al finalizar.
Transportistas
Nombre, dirección y teléfono
Encargado (entrega)
Contrato del art. 28, minimización, prohibición de usos propios.
Agencias de marketing
Segmentos e identificadores
Encargado (corresponsable si decide fines, art. 26)
Solo datos con consentimiento, prohibición de reutilizar y control de píxeles y cookies de terceros.
CRM y correo comercial (EE. UU.)
Contactos, historial y preferencias
Encargado con transferencia internacional
Data Privacy Framework (Decisión (UE) 2023/1795) o cláusulas contractuales tipo (Decisión (UE) 2021/914) y evaluación de la transferencia.
Socios comerciales
Solo con base jurídica
Responsable independiente o corresponsable
Acuerdo de corresponsabilidad (art. 26), transparencia y prohibición de vender datos.
6. Hoja de ruta a 12 meses
1
0–3 meses (urgente)
Lo más urgente
Nombrar al responsable de cumplimiento y al DPD (comunicación a la AEPD), constituir el Comité, registro de actividades, MFA en todas las cuentas críticas, corregir el banner de cookies, verificar el AOC de la pasarela y el SAQ A, plan de respuesta a brechas de 72 h y canal de denuncias operativo.
Indicador 100 % de cuentas críticas con MFA; canal publicado; registro de actividades aprobado.
2
3–6 meses
Políticas y contratos
Aprobar las políticas P-01, P-02 y P-03 y la de uso de dispositivos y BYOD (art. 87 LOPDGDD); RBAC y primera revisión trimestral de accesos; contratos del art. 28 con todos los encargados; EIPD del perfilado; protección de scripts del pago; formación y primera simulación de phishing; auditoría de accesibilidad.
Indicador 100 % de encargados con contrato; EIPD cerrada; ≥ 90 % de la plantilla formada.
3
6–12 meses
SGSI y comprobación
SGSI conforme a ISO/IEC 27001 (análisis de riesgos, declaración de aplicabilidad y auditoría interna), prueba de penetración externa, simulacro de brecha en Black Friday, auditoría de proveedores críticos y primer informe anual al Consejo.
Indicador Certificación ISO/IEC 27001 preparada (la auditoría de certificación queda para después del mes 12); hallazgos críticos corregidos en ≤ 30 días.
«Pensábamos que cumplir el RGPD era poner un banner y un texto legal. El informe nos dejó claro qué datos tenemos, quién accede a ellos y por dónde empezar.»
Marta León RiveroDirectora general de Click&Buy (testimonio ficticio)
Más proyectos
Otros casos de éxito
Cada sector tiene su normativa. Así la aplicamos en otros clientes (ficticios).
Clínica VidaSalud
Salud privada · 220 empleados
Hospital privado que gestiona historiales clínicos y datos financieros de pacientes. Sufrió un intento de ransomware y necesitaba cumplir con datos de categoría especial.
18 mincontención del ransomware
480equipos monitorizados
0historias clínicas perdidas
24 haviso temprano NIS2 ensayado
Normativa y solución
RGPD art. 9 y LOPDGDD: Datos de salud: categoría especial; DPD obligatorio (art. 34.1 LOPDGDD, centros sanitarios) y EIPD.
Ley 41/2002: Autonomía del paciente: acceso a la historia clínica, conservación mínima de 5 años desde el alta.
NIS2: Sector sanitario (anexo I): entidad sujeta al superar el umbral de mediana empresa.
PCI DSS: Cobro de tarjetas en admisión y en el portal del paciente.
Qué hicimos: SOC 24/7 con EDR en 480 equipos, segmentación de la red clínica y de electromedicina, DPD externo, EIPD de la historia clínica electrónica, registro de accesos a historias (quién consultó qué y cuándo) y simulacro de crisis con la dirección.
AgroFamiliar S.A.
Agroalimentario · 95 empleados
Empresa agrícola familiar que comercializa producto fresco y tiene una línea de productos químicos en colaboración con un socio extranjero fuera de la UE.
3acuerdos de transferencia firmados
100 %accesos externos con MFA
−70 %fugas potenciales bloqueadas por DLP
4 hRTO de la cadena de frío
Normativa y solución
RGPD cap. V: Transferencias internacionales de datos al socio: Cláusulas Contractuales Tipo y evaluación de impacto de la transferencia.
REACH y CLP: Fichas de datos de seguridad y trazabilidad de sustancias químicas.
Control de exportaciones: Reglamento (UE) 2021/821 de productos de doble uso: verificación de clasificación de productos.
NIS2: Fabricación y distribución de sustancias químicas (anexo II): posible entidad importante.
Qué hicimos: Clasificación de la información (recetas, fórmulas, contratos), DLP en correo, acceso del socio extranjero a través de un portal con MFA y registro, acuerdos de confidencialidad, segmentación de la red OT de cámaras frigoríficas y plan de continuidad para la campaña de exportación.
SoftSecure S.L.
Software y cloud · 60 empleados
Pyme que desarrolla software y apps móviles con servicios en la nube de terceros. Quería vender a la Administración y a clientes que le exigían certificaciones.
9 meseshasta la certificación
0no conformidades mayores
2licitaciones públicas ganadas
−65 %vulnerabilidades en producción
Normativa y solución
ISO/IEC 27001:2022: SGSI certificado para el desarrollo y operación de sus aplicaciones SaaS.
ENS categoría media: Requisito para licitar con el sector público (RD 311/2022).
RGPD art. 28: SoftSecure es encargado del tratamiento de sus clientes: contratos y subencargados cloud.
Ciberresiliencia: Preparación para el Reglamento (UE) 2024/2847 (CRA) en sus productos con elementos digitales.
Qué hicimos: SGSI con alcance en desarrollo y operación, ciclo de desarrollo seguro (SAST/DAST, revisión de dependencias y SBOM), pentest de cada versión mayor, gestión de subencargados cloud y SOC Pro.
¿Tu empresa se parece a alguna de estas?
Cuéntanos tu situación y te preparamos un diagnóstico inicial gratuito con las normas que te aplican y las tres acciones más urgentes.
Usamos cookies técnicas imprescindibles para que la web funcione. Con tu permiso, también usaríamos cookies de preferencias, analíticas y de publicidad. Puedes cambiar tu elección cuando quieras desde «Configurar cookies», en el pie de página. Más información en la Política de cookies.
