El riesgo se valora dentro del registro, y cada función está a una palabra de distancia

Cuatro funciones ausentes, tres de las cuales estaban

Una DPD usó la plataforma unos días y envió una lista de cosas que, según ella, no existían: el registro de brechas, la valoración del riesgo, la carga de documentos y los precios. Tres de esas cuatro llevaban meses ahí. Los precios están en una página accesible desde el menú; las brechas y los documentos están dentro de la ficha del cliente, que es el sitio correcto, porque una brecha afecta a un responsable y no al despacho.

Se podía responder explicando dónde están. Habría sido la respuesta equivocada. Si una profesional con experiencia busca y no encuentra, el problema no es la profesional: es que las secciones anidadas dentro de un cliente no aparecen en ninguna parte hasta que se abre un cliente. Así que salieron dos cosas: la función que sí faltaba, y una manera de encontrar todas las demás.

El riesgo del art. 32, en el registro donde hace falta

El art. 32.1 exige medidas adecuadas «teniendo en cuenta» el riesgo «de diversa probabilidad y gravedad», y el apartado 2 nombra los sucesos a considerar: destrucción, pérdida, alteración, comunicación o acceso no autorizados. Hasta ayer en el registro se escribían las medidas sin decir de qué protegían. Ahora cada tratamiento tiene tres filas — acceso ilícito a los datos, modificación no deseada, pérdida o indisponibilidad — y para cada una se indica su probabilidad y su gravedad, en cuatro grados: insignificante, limitado, significativo, máximo.

• La síntesis toma el grado más alto de las tres dimensiones, no la media: un riesgo máximo de pérdida de datos no se compensa con un riesgo insignificante de modificación, y una media lo ocultaría.
• El riesgo residual — el que queda tras las medidas — se cumplimenta solo si quiere: está detrás de una casilla, porque declararlo sin haberlo estimado de verdad es peor que dejarlo vacío.
• Si el riesgo resulta alto y en el tratamiento no ha indicado ninguna medida, el formulario lo señala. No le bloquea: lo dice.
• Cuando el riesgo es significativo o máximo aparece una llamada a la evaluación de impacto del art. 35, y la valoración ya hecha la recoge el módulo EIPD en lugar de rehacerse.

Una palabra, y llega adonde quiere

Ctrl K, o Cmd K en Mac, abre una ventana de búsqueda sobre cualquier página; hay también un botón en la parte alta del menú, y otro en la barra superior en el móvil. Se escribe cualquier palabra y aparecen las entradas que coinciden, ordenadas, con una línea debajo que dice dónde están. Los destinos son 29: 19 secciones del menú y 10 temas que viven dentro de la ficha del cliente. Al elegir uno de esos diez, la búsqueda pregunta para qué cliente y le lleva; si el cliente es uno solo, no pregunta nada.

• Busca la etiqueta en los nueve idiomas, no solo en el activo: quien aprendió el oficio con textos en inglés escribe «breach» y encuentra las brechas aunque la interfaz esté en español.
• Entiende números de artículo y siglas: «art. 30», «art. 33», «72», «EIPD», «DSAR», «SCC», «RoPA», «Schrems».
• No se ofende por el singular o el plural: «brecha» encuentra «Brechas de seguridad».
• Encuentra también a los clientes por nombre y por sector.
• No añade ni una lectura a la base de datos: la lista de clientes es la que el menú ya mantiene en memoria para contar los vencimientos.

Ambos añadidos nacen de una prueba gratuita y de una persona que se tomó la molestia de escribir qué no funcionaba. Si algo le frena mientras trabaja, decirlo sirve de verdad.