Servidor remoto · Protección de datos · Phishing · Tratamiento de datos en dispositivos móviles
Duración: 30–45 min · Pulsa → o haz clic para avanzar
¿Por qué estamos aquí hoy?
Trabajamos cada día con datos de clientes, contratos, DNI, cuentas bancarias y propiedades. Un solo descuido puede costarnos dinero, reputación y sanciones.
90%
de los ciberataques empiezan con un correo de phishing
1 clic
basta para comprometer el servidor de toda la empresa
20 M€
o el 4% de la facturación: sanción máxima del RGPD
Los 4 bloques de hoy
🖥️
1 · Servidor remoto
Cómo conectarnos de forma segura y qué no debemos hacer nunca.
🔐
2 · Protección de datos
Qué exige el RGPD y cómo aplicarlo en nuestro día a día.
🎣
3 · Phishing
Aprender a detectar correos, SMS y llamadas fraudulentas.
📱
4 · Datos en dispositivos móviles
Terminales de empresa, WhatsApp Business y medidas obligatorias.
Bloque 1 · Servidor remoto
El servidor es la caja fuerte de la empresa
📂Ahí viven los contratos, la contabilidad, los datos de clientes y propiedades. Si el servidor cae o se filtra, la empresa se para.
🌍Al conectarnos en remoto, la puerta de esa caja fuerte está donde tú estés: tu casa, un hotel, una cafetería.
🔑Tu usuario y contraseña son la llave. Quien los tenga, entra como si fueras tú.
Bloque 1 · Servidor remoto
Reglas de oro del acceso remoto
Siempre
Conéctate solo desde equipos autorizados por la empresa
Usa la VPN / acceso oficial que te ha configurado IT
Contraseña larga, única y solo tuya
Trata los datos de carácter personal únicamente dentro del entorno del servidor
Bloquea el equipo si te levantas (Win + L) y cierra sesión al finalizar la jornada
Nunca
Apuntar la contraseña en pósits, libretas o WhatsApp
Compartir tu usuario con un compañero "para un momento"
Conectarte desde wifi públicas abiertas sin VPN
Sacar datos del servidor: ni descargas a equipos personales, ni USB, ni copias locales
Instalar programas no autorizados en el equipo de trabajo
Bloque 1 · Servidor remoto
Un entorno protegido y supervisado
🔎Monitorización del tráfico: la empresa monitoriza el tráfico de los ordenadores de trabajo con el fin de proteger la corporación. Los recursos laborales (equipos, red, correo) son solo para trabajar.
🚫Protección antifuerza bruta: si se introduce mal la contraseña 4 veces, el sistema bloquea el acceso para toda la empresa. Escribe con calma; si te bloqueas, avisa de inmediato.
🗄️IMPORTANTE: los datos de carácter personal solo pueden tratarse dentro del entorno del servidor. Nunca en el escritorio local, en el correo personal ni en dispositivos propios.
Bloque 1 · Servidor remoto
Cierre de sesión al finalizar la jornada: obligatorio
🗑️Papelera de reciclaje
🌐Google Chrome
⏻Cerrar Sesión
⏻Al terminar tu jornada, haz doble clic en el icono "Cerrar Sesión" del escritorio.
⚠️No basta con cerrar la ventana o apagar la pantalla: la sesión quedaría abierta y ocupando recursos del servidor.
Bloque 2 · Protección de datos
¿Qué es un dato personal en nuestro trabajo?
🪪
Identidad
Nombre, DNI/NIE, pasaporte, firma, fotografía de clientes y propietarios.
💶
Económicos
Cuentas bancarias, nóminas, solvencia, precios pactados en reservas y compraventas.
🏠
Contacto y vivienda
Teléfonos, emails, direcciones, contratos de alquiler y escrituras.
📸
Otros
Matrículas, grabaciones, conversaciones de WhatsApp con clientes.
El RGPD y la LOPDGDD nos obligan a tratar todos estos datos con confidencialidad. La obligación es de la empresa y de cada empleado.
Bloque 2 · Protección de datos
Protección de datos en el día a día
⚠️Solo terminales de empresa: los datos personales no se tratan en dispositivos que no sean corporativos. NO en móviles personales. Y siempre dentro del entorno del servidor.
1Mínimo necesario: pide y guarda solo los datos imprescindibles para la gestión. Ni uno más.
2Mesa y pantalla limpias: no dejes contratos ni DNI a la vista; bloquea la pantalla al ausentarte.
3Envíos con cuidado: verifica el destinatario antes de enviar; usa CCO en envíos múltiples; no mandes DNI por WhatsApp.
4Destrucción segura: papel con datos → destructora, nunca a la papelera normal.
5Si hay una fuga o pérdida (email equivocado, portátil robado…): avisa a dirección de inmediato. Hay solo 72 h para notificar a la AEPD.
Bloque 2 · Protección de datos
Política de mesa limpia
Por nuestras oficinas pasan clientes, propietarios, proveedores y visitas. Lo que queda a la vista, queda expuesto.
🗄️
Al terminar el día
Contratos, DNI y documentación con datos: guardados bajo llave, nunca sobre la mesa.
💻
Al levantarte
Pantalla bloqueada (Win + L / Ctrl + Cmd + Q), aunque sea "solo un minuto".
🖨️
Impresora
Recoge los documentos al momento. Una escritura olvidada en la bandeja es una fuga de datos.
🔑
Llaves y pósits
Llaves de propiedades controladas y localizadas. Contraseñas jamás apuntadas a la vista.
Bloque 3 · Phishing
Phishing: el atacante no hackea, engaña
Correos, SMS o llamadas que suplantan a bancos, Correos, la Agencia Tributaria, plataformas de reservas… o incluso a un compañero o a dirección. Su objetivo: que hagas clic, descargues algo o reveles credenciales.
⏰
Urgencia
"Tu cuenta será bloqueada en 24 horas". Las prisas anulan el sentido crítico.
🔗
Enlaces trampa
El texto dice una cosa, el enlace lleva a otra. Pasa el ratón por encima antes de hacer clic.
📎
Adjuntos
Facturas .zip o .exe inesperadas = alarma. Un adjunto puede cifrar todo el servidor.
✍️
Detalles raros
Remitente extraño, faltas de ortografía, saludos genéricos, dominios casi idénticos.
Bloque 3 · Caso real recibido
Caso real 1: el pedido de compra
PEDIDO DE COMPRA (PO-1180.7726)
De: Stephanie Fernandes <holtza@aichamrskin.com>
📎 PO-1180.7726.rar · 1,1 MB
Exmos senhores, boa tarde.
Seguem em anexo a Ordem de Compra PO-1180 e o plano do nosso projeto. Esperamos que o pedido possa ser atendido com um preço promocional, proporcionando-nos a oportunidade de colaborar.
Stephanie Fernandes · Collection Assistant Portugal · sfernandes@andamur.com · firma corporativa completa de Andamur ✓
El remitente real (aichamrskin.com) no coincide con la firma (andamur.com): han robado la identidad de una empresa legítima.
Adjunto .rar: formato típico para esconder malware de los antivirus. Un pedido real llega en PDF.
Gancho comercial genérico (un pedido inesperado, "precio promocional") para que abras el adjunto sin pensar.
Bloque 3 · Caso real recibido
Caso real 2: la factura de FACe
Notificación E-Factura
De: Marcos Quintana <info@kordelyahaber.com> · Para: contabilidad@…
FACe · Punto general de entrada de facturas electrónicas 🇪🇸
Estimado usuario/a de FACe: ha remitido una nueva factura con serie/número Emit-G0S2OQ4L…
Logos del Gobierno de España y del Ministerio ✓ · Aviso legal completo ✓
La Administración nunca escribe desde dominios como kordelyahaber.com o loomdijital.com (nos llegó dos veces con remitentes distintos y la misma plantilla).
Al pasar el ratón por el botón, el enlace real es un acortador (t.co) que oculta el destino. FACe siempre enlaza a face.gob.es.
Los logos oficiales y el aviso legal se copian en segundos: la apariencia no prueba nada. Lo que no se puede falsificar es el dominio del enlace.
Habla de alquileres — justo nuestro negocio. Los atacantes adaptan el cebo al sector; que el tema "encaje" no lo hace legítimo.
Remitente absurdo (nqzbq.proteinsforeveryone.com) y saludo genérico "Hola, info": ni saben tu nombre.
El botón lleva a una dirección IP numérica, no a una web de empresa. Y un vencimiento cercano para meter prisa.
Bloque 3 · Ponte a prueba
¿Y este WhatsApp?
WhatsApp · Número desconocido +44 7…
"Hola, soy el director. Estoy en una reunión y no puedo llamar. Necesito que hagas una transferencia urgente a un proveedor ahora mismo. Te paso el IBAN. Es confidencial, no lo comentes con nadie."
Bloque 3 · Phishing
Ante la duda: PARA – PIENSA – VERIFICA
🛑Para. Ningún asunto real se hunde por esperar 5 minutos. La urgencia es la trampa.
🧠Piensa. ¿Esperaba este mensaje? ¿El remitente y el enlace son exactamente los correctos?
📞Verifica por otro canal. Llama al banco, al proveedor o al compañero a su número de siempre. Nunca respondas al propio mensaje.
📣Avisa. Si has hecho clic o metido tu contraseña: no lo ocultes, comunícalo enseguida. Reaccionar rápido evita el desastre; ocultarlo lo multiplica.
Bloque 4 · Datos en dispositivos móviles
Regla nº 1: los datos, solo en terminales de empresa
Datos de clientes, contratos, DNI, fotos de documentos o de llaves: únicamente en los dispositivos corporativos. El móvil personal queda fuera del tratamiento de datos, sin excepciones.
📵
NO móviles personales para datos de clientes ni gestiones con datos
💬
El WhatsApp de trabajo es el WhatsApp Business corporativo, nunca el personal
🗄️
Y recuerda: los datos personales viven dentro del servidor
Bloque 4 · Datos en dispositivos móviles
Medidas obligatorias en los terminales de empresa
Obligatorio
Contraseña / PIN de bloqueo — sin excepción
Cuenta de recuperación del terminal configurada
Bloqueo y borrado remoto activados (si se pierde o lo roban, lo anulamos a distancia)
WhatsApp Business para toda comunicación con clientes
Avisar de inmediato ante pérdida o robo del terminal
Prohibido
Tratar datos de clientes en el móvil personal
Usar el WhatsApp personal con clientes o para enviar documentación
Guardar DNI, contratos o tarjetas en la galería del móvil propio
Conectarse al servidor por wifi pública sin VPN
Hacer clic en enlaces de SMS de "paquetería" o "banco"
Para llevar: el decálogo Sunnier
1Contraseñas largas, únicas y para ti solo
2VPN y equipos autorizados para el servidor
3Cierra sesión (icono del escritorio) al acabar la jornada — obligatorio
4Datos personales solo dentro del servidor, y los imprescindibles
5Verifica el destinatario antes de enviar
6Desconfía de la urgencia: para, piensa, verifica
7No hagas clic en enlaces ni adjuntos dudosos
8Datos solo en terminales de empresa; con clientes, WhatsApp Business
9Wifi pública solo con VPN
10Ante cualquier incidente: avisa YA, sin miedo
Gracias
La seguridad no es de IT. Es de todos.
¿Dudas o incidentes? Contacta con dirección. direccion@zenitconsultores.com
