Informática forense · Empresas

¿Cómo puede una empresa comprobar si un empleado que abandona la empresa se ha llevado datos de la misma?

Poco antes de dejar la empresa, es frecuente que se copien listas de clientes, cálculos o código fuente; a veces de forma involuntaria, otras de forma deliberada. A menudo es posible determinar si se han sustraído datos y de qué manera, siempre que no se reinstale el dispositivo precipitadamente.

Solicitar información sin compromiso

Por qué esta cuestión es importante para una empresa

En caso de posibles fugas de datos, a menudo están en juego importantes valores económicos, relaciones con los clientes, conocimientos de desarrollo o ventajas competitivas. Por lo tanto, una investigación rigurosa debe aclarar con precisión qué movimiento de datos ha tenido lugar realmente, sin deducir una infracción legal a partir de una mera sospecha.

Antecedentes técnicos

Windows registra los dispositivos USB conectados, los archivos y carpetas abiertos en varios registros independientes. Las subidas a la nube, los reenvíos de correo electrónico a direcciones privadas y los trabajos de impresión dejan más rastros. Lo fundamental es comparar estos datos con el periodo anterior a la baja.

Pistas y fuentes de datos relevantes

• Dispositivos USB (registro USBSTOR, MountedDevices, registro de Setupapi, registros de eventos)
• Acceso a archivos y carpetas (archivos LNK, listas de acceso rápido, Shellbags)
• Subidas desde el navegador y clientes de nube privada
• Reenvíos de correo electrónico y reglas de buzón (registro de auditoría de Microsoft 365)
• Registros de impresión

Fronteras

• Sin acceso a un dispositivo privado, no es posible determinar qué ha ocurrido con los datos.
• El acceso a un archivo no implica automáticamente que se haya realizado una copia; una copia no implica automáticamente que se haya transmitido.

Posibles resultados

• Se ha registrado la duración de las operaciones de copia a un dispositivo USB o a la nube
• No hay indicios de que se haya producido un efecto de arrastre a través de los canales analizados
• Lista de archivos afectados

¿Por qué LanCologne?

La sospecha de sustracción de datos o de pérdida de información confidencial de la empresa puede acarrear graves consecuencias económicas y jurídicas. Precisamente por eso, la investigación no debe partir del resultado deseado.

Así es como procedemos

• Realizar una copia de seguridad del dispositivo y de la cuenta antes de su devolución o eliminación (retención legal).
• Establecer el periodo (por lo general: desde las semanas previas a la notificación de la rescisión hasta la fecha de cese).
• Correlación de las pistas con una línea temporal; comparación con las necesidades del servicio.

El secreto comercial es una calificación jurídica; el movimiento de datos, una cuestión probatoria de carácter técnico

Podemos determinar o delimitar qué archivos existían, qué mecanismos técnicos de protección se aplicaban y qué acciones de acceso, copia o transferencia se pueden demostrar. La cuestión de si la información en cuestión cumple los requisitos para ser considerada un secreto comercial y si una acción fue no autorizada o ilegal se evalúa jurídicamente de forma independiente.

No hay que sacar conclusiones precipitadas, ni siquiera ante patrones de traspasos llamativos

Un acceso a archivos de un volumen inusualmente grande, una conexión USB o un inicio de sesión en la nube pueden ser motivo para realizar una investigación más exhaustiva, pero no constituyen por sí mismos una conclusión. También se analizan otros flujos de trabajo alternativos. Cuando existen varias explicaciones posibles, esta incertidumbre no se sustituye por una suposición.

¿Por qué se aplica el principio LanCologne en materia de transferencia de datos y secretos comerciales?

LanCologne no investiga con el fin de confirmar una sospecha preestablecida. Respondemos a la cuestión probatoria técnica concreta, documentamos los datos primarios en los que se basa y señalamos con la misma claridad lo que no se puede demostrar. De este modo, la dirección y el departamento jurídico disponen de una base fáctica que también puede resistir una posterior verificación técnica por parte de terceros.

En lo que respecta a los empleados, el artículo 26 de la BDSG sigue siendo un punto de partida fundamental. Para la detección de delitos, el artículo 26, apartado 1, de la BDSG exige, entre otras cosas, indicios fácticos que deben documentarse, así como la necesidad y la proporcionalidad; el interés digno de protección del empleado no debe prevalecer. Además, se aplican los principios del RGPD, en particular la licitud, la limitación de la finalidad y la minimización de datos.

La Ley de Protección de los Secretos Comerciales (GeschGehG) es fundamental en materia de secretos comerciales. Según el artículo 2, apartado 1, de la GeschGehG, no basta con que la información sea confidencial: entre otras cosas, la información debe tener valor económico, ya que no es de dominio público ni es fácilmente accesible; debe ser objeto de medidas de confidencialidad adecuadas a las circunstancias; y debe existir un interés legítimo en mantenerla en secreto.

El artículo 4 de la Ley de Secretos Comerciales (GeschGehG) prohíbe, entre otras cosas y en determinadas circunstancias, el acceso no autorizado, la apropiación no autorizada o la copia no autorizada de archivos electrónicos que contengan un secreto comercial o de los que se pueda deducir dicho secreto. El uso y la divulgación también pueden estar prohibidos. No es el perito informático forense quien decide si un hecho demostrado técnicamente cumple los elementos constitutivos del delito.

La Ley de Protección de los Denunciantes (GeschGehG) también contiene excepciones. El artículo 5 menciona, en particular, determinados actos destinados a la protección de intereses legítimos, entre los que se incluyen, bajo ciertas condiciones, la revelación de actos ilícitos o de conductas indebidas, ya sean profesionales o de otro tipo. Además, puede ser de aplicación la Ley de Protección de los Denunciantes. El artículo 6 de dicha ley regula, en determinadas condiciones, la divulgación o revelación de secretos comerciales en el marco de las denuncias protegidas. Por lo tanto, una sospecha de fuga de datos no debe equipararse automáticamente a una violación ilícita del secreto comercial.

La Ley de Protección de la Propiedad Intelectual (GeschGehG) prevé posibles reclamaciones civiles en caso de que se constaten infracciones, entre ellas la subsanación y la cesación (art. 6), otras medidas según el art. 7, determinados derechos de información según el art. 8 y la indemnización por daños y perjuicios según el art. 10. Es necesario realizar un análisis jurídico para determinar qué derechos existen en cada caso concreto. La informática forense solo proporciona la base fáctica técnica para ello.

En la medida en que se utilicen dispositivos técnicos para la vigilancia de los trabajadores, también pueden ser relevantes los derechos de participación del comité de empresa, en particular los previstos en el artículo 87, apartado 1, número 6, de la Ley de Organización Empresarial (BetrVG). La admisibilidad concreta se aclarará antes de la investigación por parte de las instancias empresariales y jurídicas competentes.

Preguntas frecuentes

Temas relacionados

• ¿Cómo se puede comprobar si un empleado ha subido archivos de la empresa a una cuenta privada en la nube?
• ¿Cómo puede una empresa distinguir claramente entre una denuncia de irregularidades y una revelación de secretos cuando existe la sospecha de una fuga de datos?
• ¿Cómo debería una empresa conservar las pruebas digitales tras recibir una denuncia interna?
• Informática forense para empresas

LanCologne – Informática forense para empresas

¿Tiene alguna duda relacionada con el ámbito digital? LanCologne le ofrece apoyo mediante una investigación forense informática objetiva y sin prejuicios.

Ponte en contacto con nosotros ahora