Sunafil sufre ataque de ransomware: los riesgos de exponer datos sensibles en procesos inspectivos

La Superintendencia Nacional de Fiscalización Laboral (Sunafil) informó que enfrentó un incidente de ciberseguridad atribuido a una variante de ransomware que afectó sus sistemas. La entidad activó un plan de contingencia, adoptó medidas de seguridad y habilitó excepcionalmente correos institucionales para recibir documentos mientras se restablece la Mesa de Partes Virtual. Sunafil aseguró que no se registró pérdida de información y anunció una evaluación forense para determinar el origen y el alcance del ataque.

Este episodio no es el primer incidente de ciberseguridad en el sector público y evidencia un riesgo concreto: durante los procesos inspectivos se remite información altamente sensible de trabajadores y de la gestión interna de las empresas. La exposición de esos datos podría acarrear impactos reputacionales, legales y humanos. Frente a ello, el plan de acción no debe limitarse a contratar más software de seguridad, sino que debe contemplar una cultura de cumplimiento sostenida.

La normativa peruana de protección de datos impone obligaciones claras tanto para el sector público como para el privado. La Ley N.° 29733 y su nuevo Reglamento (D.S. N.° 016-2024-JUS) establecen principios como minimización, proporcionalidad y finalidad, entre otros. Estos principios exigen que solo se recojan y traten los datos personales estrictamente necesarios para un propósito legítimo y específico; que las medidas de tratamiento —recolección, acceso, transferencia y conservación— sean las menos intrusivas y equilibradas frente al impacto en la privacidad; y que los datos no se utilicen ni se conserven para fines distintos o incompatibles con el originalmente informado. En conjunto, estas disposiciones demandan pedir menos, proteger mejor y usar la información solo para lo que corresponde.

En la práctica, los requerimientos de información de Sunafil suelen estar desenfocados de la materia inspectiva o resultan excesivos en la documentación solicitada, algo que no debería ocurrir. Por ello, la autoridad debería rediseñar la forma en que pide los datos de los administrados: solicitar únicamente la documentación estrictamente relevante para el fin inspectivo específico, evitar el traslado de datos innecesarios y, siempre que sea viable, promover versiones de documentos disociados o anonimizados que cumplan el objetivo probatorio sin exponer información adicional. En términos sencillos, en datos personales menos es más. Se debe tratar la menor cantidad posible de datos y limitar su acceso solo a quienes lo necesitan conocer por la naturaleza de sus funciones. Esto refleja los principios de minimización, proporcionalidad y finalidad: pedir lo estrictamente necesario, hacerlo con el menor impacto posible y usarlo solo para el fin declarado. Asimismo, resulta crucial definir plazos de conservación de la información y suprimir o anonimizar los documentos una vez cumplida la finalidad de la inspección o el plazo legal. Todo ello debe realizarse a través de canales y repositorios seguros con cifrado, control de accesos y trazabilidad. En el debate abierto por el incidente de Sunafil, una pregunta recurrente ha sido si las empresas que entregaron documentación a la autoridad debían notificar a la Autoridad de Protección de Datos. La respuesta es que no, y no hay sustento legal para lo contrario. Esto se debe a que, cuando una empresa entrega información a una autoridad en el marco de una función pública, la autoridad se convierte en el responsable del tratamiento de los bancos y sistemas que administra. Por lo tanto, las obligaciones de preservar la seguridad y confidencialidad, así como la gestión y notificación de incidentes que afecten dichos bancos, recaen exclusivamente en la propia autoridad. La normativa establece que, frente a un incidente de seguridad que implique exposición de grandes volúmenes de datos sensibles o una potencial afectación a derechos, el titular del banco de datos o responsable del tratamiento debe notificar a la Autoridad Nacional de Protección de Datos Personales dentro de las 48 horas. Además, cuando exista riesgo de vulneración de derechos —como fraude o suplantación de identidad—, también debe comunicarse a los titulares afectados. En este caso, esa responsabilidad es de Sunafil, no de las empresas que le entregaron la información. Implementar estas aproximaciones reduciría significativamente la superficie de ataque, limitaría el impacto de eventuales nuevos incidentes y fortalecería la confianza institucional, sin debilitar la capacidad fiscalizadora de la entidad.

Los incidentes de ciberseguridad representan un riesgo real para cualquier institución o empresa hoy en día. El plan de acción no se debe limitar a contratar más software de seguridad, sino que debe contemplar una cultura de cumplimiento sostenida. Para ello, se requieren planes de capacitación por roles, simulaciones periódicas, protocolos claros para clasificar y manejar información sensible, verificación de identidad, protocolos para la gestión de incidentes y auditorías regulares.

Leer artículo completo en gestion.pe →