Datos protegidos y en regla con la LGPD

Ordenamos la forma en que tu empresa recolecta y guarda datos personales y cerramos las brechas para prevenir ataques. Si ya ocurrió uno, te ayudamos a contener el daño y a volver a operar.

Adecuación de empresas a la LGPD, prevención de ataques con pentest, gestión de accesos, actualizaciones, backup y capacitación del equipo, y respuesta a incidentes después de un ataque, con contención, restauración de los datos e informe de lo que pasó.

Lo que entregamos

  • Adecuación a la LGPD
  • Prevención de ataques
  • Pentest
  • Respuesta a incidentes

Para quién es: Empresas que tratan datos personales de clientes y empleados, y empresas que sufrieron un ataque

Por qué MProtect

  • Documento y servidor juntos: Una política de privacidad por sí sola no detiene una filtración, así que nos ocupamos del documento y también de las contraseñas, los accesos y el backup.
  • Prevención de ataques: Cerramos las puertas que un atacante prueba primero: contraseñas débiles, accesos de sobra y sistemas sin actualizar. Y capacitamos al equipo para reconocer estafas.
  • Un plan para el día malo: Si ocurre un ataque, ya sabes qué desconectar y desde dónde restaurar. Después recibes un informe de cómo entraron.

Qué es MProtect

MProtect es el servicio de MFactor que se ocupa de la protección de datos. Son tres trabajos que van juntos: poner a la empresa en regla con la LGPD (la ley brasileña de protección de datos), prevenir ataques y recuperar la operación cuando ocurre uno.

La LGPD aplica a cualquier empresa que guarda datos de personas: el registro de clientes, la ficha de los empleados. Hasta la lista de contactos de WhatsApp cuenta. Y un ataque no elige por tamaño. Un programa recorre internet buscando contraseñas débiles y sistemas sin actualizar, y entra donde puede. A la empresa pequeña la recorre igual que a la grande. La diferencia es que en la pequeña casi nunca hay alguien mirando.

Lo que hacemos es el trabajo de base. Saber qué datos tiene la empresa y dónde están. Quién accede a qué. Qué pasa si roban una laptop o si el servidor amanece cifrado. Con eso en orden, buena parte de lo que pide la LGPD ya está en pie. Y si ocurre un ataque, hay un backup para restaurar y un plan que seguir.

Señales de que la empresa está expuesta

  • Una contraseña para todo: El correo y el banco usan la misma contraseña, y está en un papelito pegado al monitor.
  • El que se fue todavía entra: La persona dejó la empresa hace un año y su usuario sigue funcionando en el correo y en el sistema.
  • Un backup que nadie probó: Hay una copia en algún lado, pero nadie intentó restaurarla nunca. A veces está en el mismo servidor que sería atacado.
  • La planilla de clientes dando vueltas: Nombres, documentos y teléfonos pasan por correo y por WhatsApp. Nadie sabe cuántas copias existen ni quién las tiene.
  • Un formulario que no explica nada: El sitio pide nombre y teléfono y no dice para qué los usa ni por cuánto tiempo los guarda.
  • Pidieron y nadie supo responder: Un cliente grande mandó un cuestionario de seguridad. O alguien pidió que borraran sus datos. La empresa no sabía por dónde empezar.

Adecuación a la LGPD

MProtect se ocupa de la parte técnica y de los procesos. Los contratos y los dictámenes legales quedan con tu abogado, y trabajamos junto con él.

  • Mapeo de datos: qué datos personales recolecta la empresa, dónde quedan, quién accede y por cuánto tiempo se guardan.
  • Documentos y procesos: política de privacidad, aviso de cookies, registro de las operaciones y un canal para que la persona pida sus propios datos.

Prevención de ataques

  • Pentest: intentamos entrar a tu sitio, sistema o API como lo haría un atacante y te entregamos la lista de lo que encontramos.
  • Accesos y contraseñas: verificación en dos pasos, cada persona solo con el acceso que usa y nadie que ya se fue con una contraseña activa.
  • Actualizaciones: sistema operativo, plugins y servidores al día, con una rutina para que no se vuelvan a atrasar.
  • Backup probado: una copia fuera del entorno principal y una restauración ensayada, con fecha para repetirla.
  • Protección del correo: SPF, DKIM y DMARC configurados, para que nadie envíe correos falsos a nombre de tu empresa.
  • Capacitación del equipo: cómo reconocer un correo falso, un enlace sospechoso y un pedido extraño por WhatsApp.

Recuperación de ataques

  • Contención y restauración: aislamos lo que fue afectado, cambiamos las credenciales y restauramos desde el backup.
  • Informe y aviso: cómo entraron, qué quedó expuesto y apoyo para avisar a la ANPD (la autoridad brasileña de protección de datos) y a las personas afectadas.

¿Te atacaron? Haz esto primero

  • 1. Sácalo de la red: Desconecta las máquinas afectadas del cable y del Wi-Fi. No formatees nada: los archivos guardan las pistas de cómo entraron.
  • 2. Cambia las contraseñas desde otro equipo: Empieza por el correo y el banco, desde una computadora o un celular que no haya sido afectado.
  • 3. No pagues por el susto: Pagar el rescate no garantiza que recuperes los datos. Antes de decidir, mira qué se puede recuperar con el backup.
  • 4. Anota lo que pasó: La hora, el mensaje en la pantalla, quién lo notó primero. Eso acorta la investigación y ayuda si hay que avisar a la ANPD, la autoridad brasileña de protección de datos.

Cómo funciona

  • 1. Conversación inicial: Nos cuentas cómo funciona la empresa, qué sistemas usa y qué es lo que más te preocupa. Si hay un ataque en curso, el trabajo empieza por la contención.
  • 2. Diagnóstico: Mapeamos los datos personales, los accesos, los sistemas y el backup, sin cambiar nada en tu entorno.
  • 3. Informe con prioridades: Qué está expuesto, el riesgo de cada punto y el costo de corregirlo, de lo más grave a lo menos.
  • 4. Corrección: Empezamos por lo que un atacante usaría primero: contraseñas, accesos, actualizaciones y backup.
  • 5. Documentos y capacitación: Política de privacidad, registro de las operaciones y una capacitación corta para que el equipo reconozca estafas por correo y por WhatsApp.
  • 6. Seguimiento: Revisión periódica y nuevas pruebas. Y alguien a quien llamar cuando surja una duda o un incidente.

Para quién es

  • Empresas que guardan datos de clientes: y nunca revisaron si cumplen con la LGPD.
  • Clínicas, escuelas y estudios contables: que guardan información delicada de otras personas, como historias clínicas y declaraciones de impuestos.
  • Tiendas online y SaaS: que recibieron un cuestionario de seguridad de un cliente grande y no saben qué responder.
  • Quien nunca fue atacado: y quiere seguir así.
  • Quien sufrió un ataque: y necesita volver a operar, entender por dónde entraron y no pasar por lo mismo otra vez.

Preguntas frecuentes

Mi empresa es pequeña. ¿Tengo que adecuarme a la LGPD?

Sí. La LGPD, la ley brasileña de protección de datos, aplica a cualquier empresa que trata datos personales, y eso incluye el registro de clientes y la nómina. Para las empresas pequeñas, la ANPD (la autoridad brasileña de protección de datos) simplificó parte de las obligaciones, y en buena parte de los casos no tienen que nombrar a un encargado. La base sigue igual: saber qué datos tienes, protegerlos y tener un canal para atender al titular, que es la persona dueña de los datos.

¿Cuánto cuesta adecuarse a la LGPD?

Depende de cuántos sistemas usa la empresa y de cuánto dato personal pasa por ellos. Por eso el diagnóstico viene antes del presupuesto: el precio sale de lo que encontramos, y tú eliges qué corregir primero.

¿Reemplazan al abogado o al encargado de datos (DPO)?

No. Nos ocupamos de la parte técnica y de los procesos: mapeo de datos, seguridad, documentos operativos y capacitación. Los dictámenes legales y los contratos quedan con el abogado de la empresa, y trabajamos junto con él. En cuanto al encargado, ayudamos a definir quién asume el rol y le damos el apoyo técnico que necesita.

¿Qué es un pentest?

Es un ataque acordado. Intentamos entrar a tu sitio, sistema o API como lo haría un atacante, con autorización por escrito y horario definido, y entregamos un informe con cada falla, su riesgo y cómo corregirla. Después de la corrección, probamos de nuevo.

¿Se puede prevenir un ataque?

La protección total no existe, pero se pueden cerrar las puertas más comunes: verificación en dos pasos en las cuentas, sistemas actualizados, un backup fuera del entorno principal con restauración probada y un equipo capacitado para reconocer estafas. Ponemos esas cuatro cosas a funcionar y volvemos cada cierto tiempo a revisar que sigan en pie.

Me atacaron. ¿Qué hago ahora?

Saca de la red las máquinas afectadas, no formatees nada y cambia las contraseñas desde un equipo que no haya sido afectado. Después escríbenos por WhatsApp. El trabajo empieza por la contención, sigue con la restauración desde el backup y termina con un informe de cómo entraron. Sin backup no siempre se puede recuperar todo, y te lo decimos en la primera conversación.

¿Tengo que avisar a la ANPD si hay una filtración de datos?

Cuando el incidente puede causar un riesgo o daño relevante a quienes tuvieron sus datos expuestos, sí. El aviso a la ANPD y a esas personas tiene un plazo de tres días hábiles, contados desde que la empresa descubre que hubo datos personales afectados. Levantamos lo que quedó expuesto y preparamos la parte técnica de ese aviso junto con tu equipo legal.

¿Atienden a empresas de Leme y del interior de São Paulo?

Sí. MFactor está en Leme y atiende a empresas de Pirassununga, Araras, Rio Claro, Limeira, Piracicaba, Campinas y de todo Brasil. El diagnóstico y la mayor parte del trabajo son remotos. Cuando la empresa es de la región y el caso lo pide, como en la respuesta a un ataque, vamos hasta allá.

Contacto