Lista de cumplimiento al compartir archivos para empresas en 2026

Una lista de cumplimiento para la compartición de archivos empresarial en 2026 cubre diez áreas: inventario y clasificación de datos, base jurídica del tratamiento, Acuerdos de Tratamiento de Datos con los proveedores, cifrado (AES-256-GCM en reposo, TLS 1.3 en tránsito), controles de acceso con MFA, políticas de retención y supresión, registros de auditoría con integración SIEM, procedimientos de notificación de brechas conforme al artículo 33 del RGPD y a la HIPAA Breach Notification Rule, gestión del riesgo de terceros y formación de empleados. Cada área necesita política escrita, aplicación técnica y evidencias para los auditores. La ausencia de cualquiera de ellas puede llevar a una empresa regulada a suspender un examen SOC 2 Tipo II o a enfrentarse a una acción de la AEPD.

Empieza por el inventario y la clasificación de datos

Antes de tomar cualquier decisión sobre herramientas, hay que saber qué datos se comparten y cuán sensibles son. Construye un inventario organizado por categoría de dato (personal, financiero, sanitario, propiedad intelectual), por origen (empleados, clientes, socios) y por estado regulado (datos personales del RGPD, PHI bajo HIPAA, datos del titular de la tarjeta bajo PCI DSS). La clasificación se vincula a las normas de manejo. Un esquema de cuatro niveles (Público, Interno, Confidencial, Restringido) funciona para la mayoría de las empresas. El inventario se actualiza trimestralmente. Herramientas como Microsoft Purview, Google DLP y Varonis analizan los sistemas y generan clasificaciones candidatas. Sin inventario y clasificación, todos los demás controles operan sobre conjeturas.

Base jurídica y documentación del consentimiento

El artículo 6 del RGPD exige una base jurídica lícita para cada actividad de tratamiento. Para las transferencias de archivos que contengan datos personales, las bases habituales son la ejecución de un contrato (enviar una factura a un cliente), una obligación legal (registros de RR.HH. sujetos a legislación laboral), los intereses legítimos (informes internos) o el consentimiento. Documenta qué base aplica a cada flujo. Para las categorías especiales del artículo 9 (salud, datos biométricos, opiniones políticas), el listón más alto exige consentimiento explícito u otra condición específica. Los registros de consentimiento deben ser granulares, revocables y conservados mientras dure el tratamiento. Para las leyes estatales de EE.UU., los mecanismos de notificación y exclusión difieren del RGPD; alinea tu enfoque con el régimen más estricto que afecte a tus clientes. La LOPDGDD añade especificidades españolas, en particular respecto a la edad de consentimiento y los datos de empleados.

Contratos con proveedores y acuerdos de tratamiento

Todo proveedor de transferencia de archivos que maneje datos personales necesita un Acuerdo de Tratamiento de Datos que cumpla el artículo 28.3 del RGPD. Verifica que el acuerdo especifica el objeto, la duración, la naturaleza y finalidad, los tipos de datos, las categorías de interesados, las obligaciones del responsable y los compromisos del encargado. Para los contextos regulados en EE.UU., añade Acuerdos de Asociado Comercial HIPAA donde haya PHI implicada, declaraciones de control de organización de servicios donde corresponda y plazos específicos de notificación de brechas. Revisa los acuerdos anualmente y ante cambios materiales del servicio. Guarda copias firmadas en un archivo recuperable con alertas de vencimiento. Los proveedores sin acuerdo de tratamiento o con acuerdos genéricos que omitan las especificidades del RGPD no deben superar la contratación.

Configuración de cifrado verificada

Confirma que la postura criptográfica de la herramienta coincide con la política. Archivos en reposo cifrados con AES-256 (GCM o CBC-HMAC). Archivos en tránsito protegidos por TLS 1.3 con sigilo perfecto hacia adelante. Claves gestionadas en un HSM o KMS con rotación documentada (claves maestras anualmente, claves de sesión por conexión). Para los servicios con cifrado de extremo a extremo, comprueba la función de derivación de clave (PBKDF2 con 600.000 o más iteraciones o Argon2id con parámetros calibrados) y verifica que el servidor no puede recuperar claves desde los fragmentos de enlace. Solicita el documento de arquitectura criptográfica del proveedor. Para cargas de trabajo reguladas, da preferencia a las herramientas en las que un compromiso del servidor no expone el texto en claro.

Controles de acceso y aplicación de MFA

MFA en cada cuenta, sin excepciones. TOTP, WebAuthn/FIDO2 o aplicaciones de notificación push; SMS solo aceptable cuando no haya alternativa. Integración SSO con el IdP corporativo (Okta, Azure AD, Google Workspace, Ping Identity) para la gestión centralizada del ciclo de vida de las cuentas. Control de acceso basado en roles con mínimo privilegio: roles separados para administrador, revisor de auditoría y emisor ordinario. Tiempos de espera de sesión de 15-30 minutos en estado inactivo. Acceso del destinatario mediante enlaces autenticados, no URLs compartibles. Verifica la aplicación en los ajustes del producto y prueba intentando eludir el MFA en una cuenta de prueba.

Políticas de retención aplicadas técnicamente

Una política sobre el papel no satisface a los auditores. La herramienta debe aplicar la retención. Establece valores predeterminados por nivel de dato: 7 días para las transferencias generales, caducar tras la primera descarga para las categorías sensibles, períodos más largos solo con motivo documentado. Confirma que la supresión ocurre al caducar y que los mecanismos de supresión (borrado a nivel de archivo frente a borrado criptográfico) se ajustan a tus requisitos. La funcionalidad de retención legal debe bloquear la supresión de los archivos en preservación. Prueba la retención subiendo un archivo de muestra, esperando a que caduque y verificando su inaccesibilidad. Documenta los resultados de las pruebas como evidencia para auditorías.

Registro de auditoría y monitorización

Captura registros de cada subida, descarga, creación de enlace, caducidad de enlace, intento de autenticación, desafío MFA y acción administrativa. Los registros deben incluir marca de tiempo, actor, dirección IP, agente de usuario, identificador del recurso y acción realizada. Transmite los registros a un SIEM (Splunk, Sentinel, Elastic, Chronicle, Sumo Logic) para correlación con otros eventos empresariales. Conserva los registros durante el período que marque la norma más larga aplicable: seis años para HIPAA, siete para SOX, tres o cinco para muchas leyes estatales de brechas. Monitoriza las anomalías: picos en el volumen de descargas, acceso desde geografías inesperadas, cambios de privilegio de administrador, ráfagas de fallos de autenticación.

Respuesta a brechas lista antes de necesitarla

La preparación salva el reloj de 72 horas del RGPD. Documenta: responsable de la respuesta al incidente nombrado con contacto 24/7, árbol de escalada que incluya a legal, comunicaciones y patrocinador ejecutivo, plantillas de notificación para cada regulador (AEPD, ICO, HHS OCR, fiscales generales de los estados, marcas de tarjeta) y acciones de contención preautorizadas (revocación de enlaces, rotación de credenciales, deshabilitación de cuentas). Realiza al menos dos ejercicios de mesa al año y conserva los informes de seguimiento. Los contactos de coordinación de incidentes con el proveedor deben estar archivados y probados. Notificación de brechas en 72 horas desde la toma de conocimiento para el RGPD, 60 días para los afectados bajo HIPAA, aviso temprano en 24 horas para los incidentes significativos bajo NIS2.

Gestión del riesgo de terceros

Mantén un inventario de proveedores con evidencias actuales de SOC 2 Tipo II o ISO 27001. Exige resúmenes anuales de pruebas de penetración. Suscríbete a calificaciones de seguridad externas (BitSight, SecurityScorecard, UpGuard) y establece alertas ante caídas materiales en las puntuaciones. Traslada los requisitos de seguridad a los subencargados. Reevalúa a los proveedores anualmente o ante cambios materiales (adquisición, brecha, cambio de pila tecnológica). Para las entidades financieras bajo DORA, mantén el Registro de Información exigido por el artículo 28. Para las infraestructuras críticas bajo NIS2, cumple las obligaciones de seguridad en la cadena de suministro del artículo 21.2(d).

Formación y cultura que arraigan

Formación anual para todos los empleados que manejan datos empresariales. Módulos específicos por rol para finanzas (PCI DSS), RR.HH. (privacidad de empleados), personal sanitario (HIPAA) y legal (consideraciones sobre privilegio). El contenido debe incluir ejemplos reales relevantes para el negocio, no vídeos genéricos. Simulaciones de phishing cuatro veces al año. Formación para nuevas incorporaciones en la primera semana. Las sanciones por infracciones documentadas en la política deben aplicarse de forma coherente. Las métricas importan: tasas de participación, puntuaciones en los cuestionarios, reducción de incidentes notificados tras la formación. Un programa de cumplimiento se apoya en que los empleados tomen la decisión correcta en situaciones ambiguas; la formación hace eso más probable.

HexaTransfer ejecuta cifrado AES-256-GCM en el lado del cliente, alojamiento en la UE, supresión automática a los 7 días y registros exportables, por lo que encaja limpiamente en la mayoría de los elementos de la lista anterior. Compruébalo en https://hexatransfer.com — gratuito, sin cuenta, máximo 10 GB.

Una lista de cumplimiento solo es útil cuando cada elemento tiene un responsable, un método de verificación y una próxima fecha de revisión. Recorrer estas diez áreas una vez detecta las lagunas evidentes. Repetir el recorrido cada trimestre mantiene el programa al día a medida que las normas evolucionan y el negocio cambia. Tratar el cumplimiento como la disciplina operativa continua que se ha convertido hace que la compartición de archivos deje de ser una fuente de sorpresas en las auditorías.