¿Cómo proteger los expedientes de tus clientes en un despacho contable?

Los expedientes de tus clientes quedan mucho mejor protegidos cuando cada persona entra con su propia cuenta, ve solo lo que necesita y trabaja en equipos actualizados y cifrados. A eso súmale respaldos que de verdad pruebas, un lugar aparte y cerrado para los archivos de e.firma, y un proceso claro para el día en que alguien se va del despacho. Son medidas sencillas y, juntas, cambian mucho el panorama.

¿Dónde viven hoy los expedientes de tu despacho?

Antes de proteger, ubica. Haz el ejercicio y probablemente encuentres la información repartida en varios lugares.

• Las computadoras y laptops de cada persona, sobre todo en Escritorio y Descargas.
• Un servidor, o una computadora de la oficina que hace de servidor.
• Carpetas compartidas en la red del despacho.
• Memorias USB y discos externos.
• Programas contables y de facturación con su propia base de datos.

Haz una lista sencilla de dónde está cada tipo de información. RFC, declaraciones, archivos de e.firma, contratos y expedientes. Esa lista es tu mapa, y con ella sabrás qué proteger primero.

¿Qué pone en riesgo los expedientes de tus clientes?

• Contraseñas compartidas. Si todos entran con el mismo usuario, es imposible saber quién abrió, copió o borró un archivo. Y si esa contraseña se filtra, abre todas las puertas a la vez.
• Equipos sin actualizar. Las actualizaciones cierran fallas que los atacantes ya conocen. Una computadora con meses sin actualizar es una puerta entreabierta.
• Archivos de e.firma guardados sin cuidado. El archivo .key en una carpeta llamada “FIEL clientes”, con la contraseña en un documento de texto justo al lado. Quien tenga ambos puede firmar a nombre de tu cliente.
• Personal que se va. Un colaborador deja el despacho y su cuenta sigue activa, con acceso a carpetas y quizá copias de expedientes en su laptop.

¿Qué medidas concretas puedes aplicar?

1. Una cuenta por persona. Cada colaborador entra con su usuario y su contraseña. Así cada acción tiene nombre y apellido, y cerrar un acceso afecta a una sola persona.
2. Permisos por necesidad. Organiza las carpetas por cliente o por área, y da acceso solo a quien trabaja esos expedientes. Revisa la lista de permisos cada trimestre.
3. Equipos al día. Activa las actualizaciones automáticas del sistema y de los programas en todas las computadoras y en el servidor.
4. Cifrado del equipo. Activa el cifrado de disco en laptops y computadoras. Si una laptop se pierde o la roban, los archivos quedan ilegibles para quien la tenga. Muchos sistemas actuales traen esta función, así que revisa que esté encendida en cada equipo.
5. Respaldos probados. Respalda con regularidad en un lugar separado de la red del despacho. Una vez al mes, restaura un expediente de prueba para confirmar que el respaldo sirve.
6. Un lugar aparte para la e.firma. Lo ideal es que cada cliente conserve la suya. Si tu despacho resguarda algunas para hacer trámites, guárdalas cifradas, en una carpeta con acceso para una o dos personas, y con las contraseñas en otro lugar. El SAT pide al titular actuar con diligencia y mantener absoluta confidencialidad del archivo .key y su contraseña.

¿Qué hacer cuando alguien deja el despacho?

La salida de una persona es un momento clave para tus datos. Sigue estos pasos el mismo día.

1. Desactiva su cuenta en computadoras, servidor y programas.
2. Cambia las contraseñas que conocía, incluidas las de clientes que usaba para trámites.
3. Recupera su laptop, memorias USB y discos, y revisa qué información tenía.
4. Quita sus permisos en carpetas compartidas.
5. Si tuvo acceso a archivos de e.firma, avisa a los clientes afectados. El SAT indica que, cuando la confidencialidad está en riesgo, el titular debe pedir de inmediato la revocación del certificado.
6. Deja constancia por escrito de lo que hiciste y cuándo.

¿Qué le respondes a un cliente que pregunta qué haces con sus datos?

Es una pregunta razonable, y conviene tener la respuesta lista. La Ley Federal de Protección de Datos Personales en Posesión de los Particulares, publicada en el Diario Oficial el 20 de marzo de 2025, pide a quien guarda datos personales mantener medidas de seguridad administrativas, técnicas y físicas (artículo 18). También pide informar de inmediato a las personas cuando una vulneración las afecta de forma significativa (artículo 19).

Una buena respuesta es corta y concreta. Por ejemplo, así.

“Tus documentos están en equipos cifrados y actualizados. Solo las personas que llevan tu cuenta pueden verlos, cada una con su propio usuario. Respaldamos con regularidad y probamos esos respaldos. Tu e.firma se guarda aparte, con acceso muy limitado, y si alguien deja el despacho cerramos sus accesos ese mismo día.”

Esa respuesta vale cuando describe lo que de verdad haces. Empieza por las medidas de arriba y después ponlas por escrito en tu aviso de privacidad y en tus contratos.

Cómo te ayuda Ojo de Kraken

Ojo de Kraken instala un programa ligero en las computadoras, laptops y servidores de tu despacho que revisa lo que pasa en cada equipo, día y noche, con IA y personas detrás. Si alguien intenta entrar, aparece un programa raro o cambia algo sospechoso, te avisa por WhatsApp y te explica en español claro qué pasó. Solo ve los nombres de los archivos que cambian, nunca su contenido, así que los expedientes de tus clientes siguen en tus manos. Nada se ejecuta sin tu aprobación, y todo queda en un registro encadenado que te sirve cuando un cliente pregunta qué pasó.