ValidaAuditoria
Nota 05 · 24/09/2026
Vea lo que se prueba y lo que se asumeToda presentación bien ensayada tiene su minuto perfecto. El panel abre al instante, el informe sale con un clic, el indicador de la copia de seguridad brilla en verde. Cuando la sala se vacía, queda la pregunta: ¿eso funciona cuando entra el usuario real, un lunes, con su perfil y los datos del emprendimiento? La Lei Geral de Proteção de Dados (LGPD) (Ley General de Protección de Datos de Brasil), la Lei 13.709/2018, usa la palabra “demostración” en un sentido más exigente. En el art. 6º, X, pide la “demostración, por parte del agente, de la adopción de medidas eficaces” y, “además, de la eficacia de esas medidas”.
En la lectura de Valida, una plataforma solo está verificada cuando lo que se afirma de ella fue ejercitado en producción, con el perfil real, y cuando se intentó también lo que no debería dejar hacer. Ninguna norma habla de “demostración versus producción”; la distinción es de Valida. Las normas y las guías oficiales, sin embargo, piden la misma prueba, cada una en su vocabulario: copia restaurada de verdad, acceso individual, operador identificado, datos que salen completos.
En el apartamento modelo, los muebles están hechos a medida, la luz fue estudiada y el armario está vacío. Nadie vive ahí, y no hay deshonestidad en eso. La demostración de un sistema sigue la misma receta: datos de ejemplo, un administrador que lo puede todo, buena conexión, guion ensayado. Sirve para mostrar el diseño del producto.
Producción es el edificio habitado, un lunes de lluvia: usuarios reales, datos reales, consecuencia real. Allí el camino lo elige quien tiene prisa, poco entrenamiento y permiso restringido. Ciertas fallas solo aparecen en ese trayecto: la pantalla que solo funciona para el administrador, la exportación que no aguanta el volumen real, el historial que registra la acción y olvida al autor.
La verificación no pregunta “¿existe?”. Pregunta si funciona, en producción, para quien debería usarla, y si deja de funcionar para quien no debería. La primera mitad se ejercita función por función: crear el registro, cerrar, reabrir y comprobar que lo que volvió es lo que entró. El mensaje “guardado con éxito” no prueba nada; el dato que vuelve, sí.
La segunda mitad se prueba al revés. Con el perfil de lectura, intentar escribir; con el usuario de un emprendimiento, intentar abrir el de otro. La guía de seguridad de la información de la Autoridade Nacional de Proteção de Dados (ANPD) (autoridad nacional de protección de datos de Brasil) para agentes de pequeño porte resume el control de acceso en tres verbos. La autenticación “identifica quién accede”, la autorización “determina qué puede hacer el usuario identificado” y la auditoría “registra lo que se hizo”. Vale también el principio del menor privilegio: a cada usuario, el menor acceso necesario.
Un cuidado separa la prueba del teatro: el control negativo. Se pregunta qué se vería si la función estuviera rota. Una prueba que pasaría igual con ella encendida y apagada no midió nada, como un detector de humo probado sin humo.
Lo que no pudo ejercitarse en producción entra como asumido, con la salvedad “no ejercitado en producción” y la lista de lo que faltó, casi siempre el acceso. Es vocabulario de Valida, no de una norma, tratado en otra nota: describe el estado de la afirmación, no el carácter de quien la hizo.
El principio de seguridad, en el art. 6º, VII, habla de medidas “aptas para proteger los datos personales de accesos no autorizados y de situaciones accidentales o ilícitas de destrucción, pérdida, alteración, comunicación o difusión”. El inciso X agrega la carga de la prueba: demostrar que las medidas existen y que son eficaces. Una medida existente es el extintor en la pared; una medida eficaz es el extintor cargado, que alguien sabe usar.
El art. 46, §2º, manda observar las medidas “desde la fase de concepción del producto o del servicio hasta su ejecución”, y el art. 47 mantiene el deber “incluso después de su término”. La ley mira el producto en uso, no solo el diseño. Pero no lo dice todo: no manda probar la copia de seguridad ni menciona el ambiente de demostración. El cómo probar está en otras normas y guías, algunas obligatorias solo para quienes están dentro de su alcance.
La copia de seguridad (backup) es la copia de los datos guardada en otro lugar: la llave de repuesto, que solo vale si abre la puerta. La prueba de restauración es probar la llave. Se toma la copia, se reconstruye el sistema en un ambiente separado y se observa si vuelve entero, y en cuánto tiempo. Es ensayar la salida de emergencia, en vez de comprobar que el cartel “SALIDA” está encendido.
La Guía de Referencia de Prevención y Respuesta a Ransomware de la Secretaria de Governo Digital (Secretaría de Gobierno Digital de Brasil), versión 1.3, escrita para órganos públicos, lo dice sin rodeos: “Un backup que no restaura es solo un gasto.” Y sobre los plazos: “El papel acepta cualquier plazo.” Ransomware es el ataque que bloquea los datos y cobra por devolverlos. Contra él, la guía pide un ensayo de restauración total cada semestre y una copia inmutable, que nadie puede alterar ni borrar, la “última línea de defensa”.
Los modelos de backup del gobierno federal, publicados en mayo de 2026 en el programa PPSI 2.0, detallan la prueba. El Modelo de Política afirma que las rutinas de backup y restauración “deben probarse periódicamente” (art. 10). El Modelo de Norma manda probar “en equipos distintos de los utilizados en el ambiente de producción” (art. 24), confirmar, cuando corresponda, el RTO y el RPO pactados (art. 25), es decir, el tiempo máximo para restaurar y el máximo de datos que se acepta perder, y registrar “el tiempo total empleado en la restauración” y el “resultado obtenido” (art. 26). Son modelos para órganos federales; al sector privado no lo obligan.
La guía de la ANPD añade un detalle contraintuitivo: las copias no deben estar “sincronizadas online (en tiempo real)”, para no perderse junto con el original en un ataque. Una copia que se actualiza en vivo hereda, en vivo, el daño. La preocupación es antigua: el NIST SP 800-34, guía de contingencia del instituto de estándares del gobierno de los Estados Unidos, de 2010, ya recomendaba probar las cintas de backup con regularidad.
Una norma brasileña explícita sobre el tema viene del registro de la propiedad inmueble, donde vive la matrícula, el registro de cada inmueble (tema de otra nota). El Provimento 213 (acto normativo), del 20 de febrero de 2026, de la Corregedoria Nacional de Justicia, fija estándares mínimos de tecnología para los registros notariales y registrales (cartórios). El art. 4º, §9º, determina: “Las rutinas de backup deberán someterse a pruebas formales y documentadas de restauración”. Los anexos dan el calendario según la clase del registro, definida por el ingreso semestral; la Clase 1 llega hasta R$ 100.000,00 por semestre. La simulación de extracción integral es el ensayo de sacar del sistema todo el acervo, es decir, los libros y actos electrónicos del registro.
| Clase del registro | Prueba documentada de restauración | Simulación de extracción integral del acervo |
|---|---|---|
| Clase 1 | Como mínimo anual | Como mínimo cada 36 meses |
| Clase 2 | Como mínimo anual | Como mínimo cada 30 meses |
| Clase 3 | Como mínimo semestral | Como mínimo cada 24 meses |
| Todas | Registros conservados por un mínimo de 5 años | De inmediato, si hay un cambio relevante de proveedor |
El Provimento 74/2018, revocado por el 213, pedía, en el tramo sobre backup leído por Valida, una copia “en intervalos no superiores a 24 horas”, en medios de almacenamiento y en la nube; la prueba de restauración no aparece en ese tramo. En el tramo leído, la pregunta de 2018 era “¿hay copia?”; la de 2026 es “demuestra que vuelve”.
El límite debe quedar claro: el Provimento 213 obliga a los registros, no a las plataformas privadas. En la lectura de Valida, es una regla de referencia, no una obligación.
Dos siglas convierten “tenemos backup” en un número. RPO, punto de recuperación, es cuánto trabajo se acepta perder, medido en tiempo: “como máximo las últimas cuatro horas de asientos”. RTO, tiempo de recuperación, es en cuánto tiempo el sistema debe volver: “la tienda reabre en dos horas”.
Situación ilustrativa, con números inventados, sin relación con ninguna plataforma o cliente real. Un sistema promete “backup diario”, y el panel aparece en verde. El contrato admite, como máximo, 4 horas de pérdida y 8 horas para volver; son premisas del ejemplo, no una exigencia de norma.
| Ítem | Valor | Cómo se llega |
|---|---|---|
| Pérdida posible con una copia por día | Hasta 24 h | Intervalo entre dos copias (premisa) |
| Pérdida aceptada en el contrato (RPO) | 4 h | Premisa del ejemplo |
| Exceso sobre el RPO | 20 h | 24 − 4 |
| Tiempo medido en la prueba de restauración | 11 h | Resultado hipotético, copia real en ambiente separado |
| Plazo aceptado para volver (RTO) | 8 h | Premisa del ejemplo |
| Exceso sobre el RTO | 3 h (37,5%) | 11 − 8 = 3; 3 ÷ 8 |
| Clasificación en el dictamen | Verificado, no conforme | Prueba hecha; sin acceso, sería “asumido” |
El backup existe y el panel está en verde. Aun así, la promesa falla en los dos extremos: 20 horas más de la pérdida aceptada, 3 horas más del regreso acordado. El papel aceptó los dos plazos.
Ahora el control negativo. Hecha en la demostración, con una base pequeña y datos de ejemplo, la misma prueba daría verde tanto en el escenario conforme como en el no conforme. Pasaría de cualquier modo; por lo tanto, no mediría nada. Solo la copia real, con el volumen real, separa un escenario del otro.
Si cinco personas usan el mismo login, el historial registra la cuenta, no a la persona. Nadie hizo nada; “el admin” lo hizo todo. El Provimento 213, art. 5º, exige a los registros una autenticación “individualizada”, también de los proveedores, para la “responsabilización individual”. El §2º adopta, “como regla”, la autenticación multifactor en los accesos críticos y prohíbe, “en cualquier hipótesis”, las credenciales “compartidas, genéricas”. La autenticación multifactor, o MFA, es la contraseña sumada a un segundo comprobante, como un código en el celular: la caja fuerte que pide llave y secreto.
Fuera de los registros, la guía de la ANPD recomienda no permitir que los empleados compartan cuentas o contraseñas. El Decreto 8.771/2016, que reglamenta el Marco Civil de Internet, enumera para los proveedores, en el art. 13, “privilegios de acceso exclusivo para determinados usuarios” y “sistemas de autenticación doble”. En producción, cada puerta que se abre sin deber es un hallazgo.
La pista de auditoría, o log, es el registro de quién hizo qué y cuándo: el libro de portería del condominio, en versión digital. La prueba consiste en alterar un registro y buscar la línea correspondiente. El Provimento 213, art. 10, dice qué debe tener en los registros: “identificación de usuarios, fecha, hora, minuto y segundo de las operaciones, naturaleza de la acción ejecutada y resultado obtenido”, con protección “contra alteración, eliminación no autorizada y pérdida accidental”. Un libro de portería que cualquiera puede borronear no prueba nada.
El Marco Civil de Internet, Lei 12.965/2014, art. 15, obliga al proveedor de aplicaciones (quien ofrece funcionalidades accesibles por internet) que actúe “de forma organizada, profesionalmente y con fines económicos” a guardar los registros de acceso durante seis meses. La regla es de ese proveedor; no alcanza, por sí sola, a todo sistema interno de una empresa.
El log también decide cuándo empieza el plazo de un incidente. La Resolução CD/ANPD 15/2024 da al controlador “tres días hábiles” para avisar a la ANPD (art. 6º), contados “desde que el controlador tiene conocimiento de que el incidente afectó datos personales”, y exige guardar el registro del incidente, incluso del no comunicado, por “un mínimo de cinco años” (art. 10). Son días hábiles, no las 72 horas que a veces circulan. Sin pista, la filtración de un martes puede descubrirse meses después, con el reloj de la norma detenido y el daño avanzando.
La LGPD distingue dos papeles. El controlador toma “las decisiones referentes al tratamiento de datos personales” (art. 5º, VI); el operador “realiza el tratamiento de datos personales en nombre del controlador” (art. 5º, VII, del texto consolidado). Es el dueño del restaurante, que decide el menú, y la empresa que se ocupa del inventario siguiendo sus instrucciones. El art. 39 manda al operador seguir esas instrucciones y al controlador verificar “la observancia de las propias instrucciones”. Verificar: el verbo está en la ley.
La guía de la ANPD sobre agentes de tratamiento recuerda, en una nota que cita orientación del organismo europeo EDPB, que los conceptos son funcionales, definidos por las acciones concretas, no por la etiqueta del contrato. Un proveedor de software no es automáticamente operador; quien trata datos en nombre de otro lo es, se llame como se llame.
Contratar no transfiere toda la responsabilidad. Según el art. 42, quien causa un daño en violación de la ley “está obligado a repararlo”, y el operador “responde solidariamente” si incumple la ley o las instrucciones lícitas del controlador. El art. 52, II, prevé una multa “de hasta el 2%” de la facturación en Brasil, “limitada, en total, a R$ 50.000.000,00 por infracción”. Es un tope, no una tarifa.
La ley no pide, con esas palabras, una lista de operadores en la política de privacidad. Pide que el titular, la persona a quien se refieren los datos, conozca las “responsabilidades de los agentes que realizarán el tratamiento” (art. 9º, VI) y con qué entidades el controlador compartió datos (art. 18, VII). Un operador que nadie sabe nombrar es una falla de transparencia, no un detalle de pie de página.
Muchas presentaciones traen la frase “exportamos cuando quiera”. Reversibilidad es salir del proveedor con los datos completos y utilizables, como mudarse de casa sin que el transportista retenga los muebles. El Provimento 213 le puso nombre a lo contrario: dependencia estructural de terceros (art. 2º, XVIII), cuando el registro no controla el alojamiento, “la custodia de llaves criptográficas” ni “la extracción integral, autónoma y documentada del acervo en formato interoperable”, aquel que otro sistema logra leer. La llave que solo el proveedor guarda cabe en esa definición; la que solo una persona guarda es un riesgo parecido, de otra naturaleza.
Según el art. 15, la dependencia solo queda mitigada con cláusula de “reversibilidad integral”, “comprobación documental de la realización de una prueba de extracción integral del acervo” y sin migración condicionada a la “anuencia discrecional del proveedor”. El §2º cierra la puerta al juego de palabras: prevalece “el contenido material de la relación sobre la nomenclatura adoptada por las partes”. Para quien no es registro, es una regla de referencia. La promesa de exportación solo vale después de una exportación completa, comprobada y hecha sin pedir permiso.
La copia nunca restaurada, la llave que solo una persona tiene, el operador que la política de privacidad no cita. Ninguno suele aparecer en la demostración. Todos aparecen el día en que faltan.
| Pregunta | En la demostración | En producción, qué se ejercita | Base |
|---|---|---|---|
| ¿Existe la copia de seguridad? | El panel muestra “backup concluido” | Restaurar en un ambiente separado y medir el tiempo | Provimento 213, art. 4º; Modelo de Norma de Backup, arts. 24 a 26 |
| ¿Cada persona tiene su acceso? | Un administrador lo hace todo | Entrar con cada perfil e intentar lo que no le corresponde | Provimento 213, art. 5º; guía de la ANPD |
| ¿Se puede saber quién tocó? | Aparece la pantalla de historial | Alterar un registro y encontrar la línea con usuario, fecha y hora | Provimento 213, art. 10; Decreto 8.771, art. 13 |
| ¿Se puede salir con los datos? | “Exportamos cuando quiera” | Extraer el acervo completo, en formato abierto, sin pedir permiso | Provimento 213, art. 15 |
| ¿Quién más trata los datos? | No aparece | Operadores identificados e informados al titular | LGPD, arts. 9º y 39 |
| ¿Y si algo se filtra? | No aparece | Saber quién comunica en tres días hábiles y tener registro | Resolução CD/ANPD 15/2024, arts. 6º y 10 |
Y una plataforma verificada no sustituye a una matrícula comprobada ni a una medición hecha en terreno.
No necesariamente. El panel muestra que la copia se hizo, no que vuelve. Las normas y guías oficiales examinadas piden una prueba de restauración con tiempo medido y resultado registrado: el Provimento CNJ 213/2026, art. 4º, §9º, para los registros, y el Modelo de Norma de Backup del gobierno federal, arts. 24 a 26, para órganos públicos.
Según la LGPD, controlador y operador responden por el daño causado en violación de la ley, y el operador responde solidariamente cuando incumple la ley o las instrucciones lícitas del controlador (art. 42, §1º, I). El juez puede invertir la carga de la prueba a favor del titular. Contratar a un proveedor no transfiere toda la responsabilidad.
La Resolução CD/ANPD 15/2024 fija tres días hábiles, contados desde el conocimiento de que el incidente afectó datos personales, para el incidente que pueda acarrear riesgo o daño relevante a los titulares (art. 6º). Son días hábiles, no horas corridas. El registro del incidente debe conservarse por un mínimo de cinco años (art. 10).
Porque la demostración corre con datos de ejemplo y perfil de administrador, y la pregunta que importa es qué ocurre en producción, con el perfil real. Lo que no se ejercitó allí entra en el dictamen como asumido. La distinción es una lectura de Valida; la LGPD pide, en sus propios términos, la demostración de la eficacia de la medida (art. 6º, X).
Depende del contrato y de una prueba. La norma de los registros solo considera mitigada la dependencia cuando hay cláusula de reversibilidad integral y extracción integral probada y documentada (Provimento 213, art. 15). Para una plataforma privada, es una buena práctica de referencia, no una obligación legal demostrada en las normas examinadas.
Antes de contratar, la pregunta útil no es si la plataforma funcionó en la presentación. Es qué hace cuando quien presentó ya se fue. La demostración muestra el diseño. El producto se verifica.
