Presentar contenido confidencial: protección de datos en las reuniones del consejo

Una presentación para el consejo de administración es uno de los documentos más sensibles que produce la mayoría de las organizaciones: resultados financieros no publicados, conversaciones sobre adquisiciones, planes de reestructuración, asuntos que mueven mercados o carreras si se filtran antes de tiempo. Sin embargo, la herramienta con la que se presenta suele recibir menos escrutinio que la que se usa para reservar la sala de reuniones. La protección de datos en las reuniones del consejo merece el mismo rigor que se aplica a las propias cifras, y empieza con una pregunta que la mayoría nunca se plantea: ¿adónde va realmente la presentación cuando pulsas presentar?

Esta es una guía práctica sobre esa pregunta, escrita para quienes tienen que responderla antes de la próxima reunión del consejo, no después de que algo salga mal.

La pregunta que nadie se hace hasta que es demasiado tarde

La mayoría de las herramientas de presentación y de pantalla compartida suben tu contenido a algún servidor antes de mostrarlo a los espectadores. No tiene por qué ser malintencionado (a menudo es simplemente la forma más fácil de crear una función de pantalla compartida), pero significa que la presentación del consejo queda en una infraestructura que no controlas, durante el tiempo que establezca la política de retención del proveedor.

Para la mayoría de las presentaciones, es un riesgo asumible. Para una presentación del consejo, una conversación sobre fusiones y adquisiciones o unos resultados no publicados, merece la pena preguntarlo directamente: ¿esta herramienta almacena alguna vez nuestro contenido y, si es así, dónde y durante cuánto tiempo? La respuesta determina si tu exposición termina cuando termina la reunión o continúa en silencio en el servidor de otro mucho después de que todos hayan cerrado sus portátiles.

Qué significa realmente «nunca sale de tu dispositivo»

La respuesta más sólida a esa pregunta es arquitectónica, no procedimental: el contenido que nunca se sube no puede quedar expuesto en una brecha de la herramienta de presentación, y punto. Ese es el modelo que usa la app de escritorio de Cliqer. La app controla tu software de presentaciones (PowerPoint, Keynote, Google Slides y otros) directamente en el ordenador que muestra las diapositivas. Los comandos de avance de diapositivas, las posiciones del puntero y cualquier transmisión de pantalla o cámara viajan cifrados mediante WebRTC directamente entre los participantes, o a través de un relé cifrado en redes restrictivas. Las diapositivas en sí nunca se suben a un servidor.

Merece la pena explicar bien esta diferencia a un consejo o a un equipo jurídico: no es que el contenido esté cifrado mientras se almacena, es que no existe ninguna copia almacenada que cifrar.

Qué sí viaja y cómo se protege

Nada se presenta en el vacío. Algunos datos sí circulan entre la capa de coordinación de la sala y los participantes, y conviene saber exactamente cuáles:

El desglose completo, creado específicamente para revisiones de seguridad, está en el diagrama de flujo de datos, que también explica qué es transitorio y qué se almacena.

Controlar quién está en la sala

La protección del contenido es solo la mitad del trabajo. La otra mitad es asegurarse de que las personas adecuadas, y solo ellas, estén en la sala.

• El acceso es por invitación. Para unirse a una sala se necesita un enlace o código específico, no un listado público.
• El anfitrión ve a todos los participantes y puede expulsar o bloquear a cualquiera durante la sesión.
• Para equipos con requisitos de acceso formales, los roles de equipo y el SSO controlan quién dentro de tu organización puede siquiera programar o dirigir una sesión del consejo.

En el caso concreto de un consejo, conviene combinarlo con una regla interna sencilla: solo los asistentes nominales y previstos se unen al enlace de la sesión real, y cualquier otra persona recibe después una grabación o un resumen escrito en lugar del enlace en directo.

Incorporar esto a tu proceso de gobernanza

Si tu organización tiene una revisión formal de TI o de seguridad para herramientas nuevas, las presentaciones ante el consejo son exactamente el caso de uso que debería activarla, aunque la herramienta ya se utilice en otras áreas para reuniones de menor riesgo. Nuestra guía para conseguir que TI apruebe el software de AV explica ese proceso paso a paso, y la lista de comprobación de seguridad para software de presentaciones te da las preguntas concretas que debes hacer.

Para organizaciones sujetas a obligaciones formales de protección de datos, la guía de la ICO británica sobre el UK GDPR y el kit de herramientas para consejos del NCSC son referencias útiles para plantear esto como una cuestión de gobernanza y no puramente técnica.

Lista de comprobación práctica antes de tu próxima reunión del consejo

1. Confirma que la herramienta de presentación nunca sube el contenido de las diapositivas y consíguelo por escrito si es importante para tu proceso de gobernanza.
2. Limita quién recibe el enlace de la sala y evita publicarlo en cualquier sitio más accesible que una invitación de calendario a asistentes nominales.
3. Usa llaves de acceso o SSO para cualquier persona con acceso permanente para programar o dirigir sesiones sensibles.
4. Confirma que el anfitrión puede ver y expulsar a participantes durante la sesión, y explica a quien vaya a hacer de anfitrión cómo hacerlo.
5. Revisa tu configuración de red con antelación si la reunión se celebra en una red desconocida; consulta por qué los cortafuegos corporativos bloquean las herramientas de presentación si prevés problemas de conectividad en las instalaciones de un cliente o socio.

Preguntas frecuentes

Empieza

Antes de tu próxima reunión sensible, revisa el diagrama de flujo de datos con quien sea responsable de tu proceso de gobernanza, o ponte en contacto con nosotros si tu consejo o tu equipo jurídico necesitan respuestas por escrito. Consulta la descripción general de seguridad completa para ver todo lo disponible en autoservicio con el plan Enterprise.