El secreto profesional está a un solo correo de romperse.
Usted responde personalmente del secreto profesional, aunque quien haga clic sea alguien de secretaría. Los despachos guardan expedientes que interesan a la parte contraria y a extorsionadores, y fondos en cuentas fiduciarias que atraen a estafadores. Entreno a socios, abogados y empleados para reconocer ese único correo falso: sin proyecto informático, sin tecnicismos, en unos 45 minutos por persona.
Formación, prueba de phishing, seis meses de repasos y justificante. Sin suscripción. Doce personas: 588 € sin IVA. Un despacho de socios con 30 personas: 1.470 € sin IVA.
En línea, se puede interrumpir en cualquier momento, entre dos citas o el viernes por la tarde. Su esfuerzo: dar de alta al equipo, y listo.
Quién se formó y cuándo, más la tasa del equipo. El documento para la autoridad de protección de datos, la aseguradora y el archivo del propio despacho.
El lunes da de alta al equipo, el viernes el justificante está en el Cockpit. Sin proveedor informático, sin instalación; el beA y el software del despacho no se tocan.
Qué hacen los delincuentes con los expedientes de sus clientes, y cuánto le cuesta a usted.
Usted apenas puede ponerle cifra al valor de sus expedientes; los atacantes sí. Los datos de los clientes no se «roban», se copian: usted los sigue teniendo, y ahora alguien más también.
Con expedientes de divorcio, procesos penales o contratos de compraventa de empresas en la mano, los autores escriben directamente a sus clientes: pagar o se publica. El despacho neoyorquino Grubman Shire Meiselas & Sacks lo vivió en 2020, con clientes famosos y una exigencia de 42 millones de dólares.
Si no se paga, escritos, poderes y copias de documentos de identidad acaban a la vista en internet, al alcance de la parte contraria, la prensa y los ladrones de identidad. No hay forma de recuperarlos; el secreto queda roto para siempre.
El importe de un acuerdo o el pago de un precio de compraventa va a parar al «nuevo número de cuenta» de la parte contraria o del cliente. El dinero desaparece, el cliente se lo reclama a usted y el seguro de responsabilidad civil profesional examina si actuó con negligencia.
Sistemas cifrados significan: sin acceso a expedientes, agenda de plazos ni beA, a menudo durante días. Un plazo vencido es un caso de responsabilidad, y la recuperación, el análisis forense y el asesoramiento jurídico suelen costar más que cualquier rescate.
Y esto es lo que tiene que hacer entonces
Notificación a la autoridad regional de protección de datos en cuanto no pueda descartarse un riesgo para los afectados (art. 33 RGPD). El secreto profesional no le exime de ello.
Información a cada cliente afectado si el riesgo es alto (art. 34 RGPD), además de la comunicación al seguro de responsabilidad civil profesional y, según el caso, una denuncia penal.
Responsabilidad deontológica (§ 43a BRAO, § 203 StGB), posibles multas e indemnizaciones. La reputación de un despacho no se puede asegurar.
Casi todos estos casos empiezan con un correo que una persona creyó auténtico. Ese reconocimiento concreto es lo que entreno.
Así se está atacando ahora mismo a su sector.
Reproduzco estos escenarios en simulaciones realistas para que su equipo los reconozca cuando importa, en lugar de entenderlos solo cuando el daño ya está hecho.
«Nuevo mensaje en el beA: confirme su buzón» lleva a una página de acceso imitada. (El beA es el buzón electrónico obligatorio de los abogados alemanes).
Un supuesto escrito de la parte contraria o un requerimiento con presión de plazo introduce un archivo malicioso en el despacho.
Poco antes del pago, el cliente o el abogado contrario comunican una «nueva cuenta bancaria» para el importe del acuerdo.
Supuestamente el socio que da nombre al despacho, por correo o mensaje de voz generado con IA: una transferencia urgente y confidencial desde la cuenta fiduciaria.
Lo que tiene que hacer y lo que con esto puede dar por cumplido.
Para los despachos de abogados cuentan la normativa profesional (BRAO, BORA (normas deontológicas de la abogacía alemana), § 203 StGB), el RGPD y, en las pólizas de ciberseguro, las obligaciones frente a la aseguradora. A diferencia de las consultas médicas, para los abogados no existe una norma específica de formación, pero en caso de siniestro la autoridad y la aseguradora preguntan qué hizo usted en el plano organizativo.
El recorrido cubre la concienciación de su equipo y la documenta con sello de tiempo: lo que la autoridad de protección de datos, el seguro de responsabilidad civil profesional y el ciberseguro entienden por «medidas organizativas».
Queda en sus manos: el compromiso formal de confidencialidad de los empleados, el principio de los cuatro ojos en los pagos desde la cuenta fiduciaria y la parte técnica (cifrado, copias de seguridad, actualizaciones) con su proveedor informático.
Todas las obligaciones en detalle, con referencia legal y escenario de ataque
El curso conciencia a su equipo sobre la ingeniería social y el manejo de los datos de clientes; el compromiso formal de los empleados lo recaba usted. El justificante acredita que ha concienciado.
Secretaría, pasantes y aprendices hacen el mismo curso que los abogados y saben después qué solicitudes no deben responder.
El personal formado es la parte organizativa y queda documentado con sello de tiempo. Su proveedor informático completa el cifrado, las copias de seguridad y el control de accesos.
Las simulaciones de phishing con motivos parecidos al beA entrenan para reconocer notificaciones falsas; la tarjeta de acceso sigue en sus manos.
El curso ensaya el canal interno de aviso: quién llama a quién, qué se anota, qué no se hace. La notificación en sí y el registro corren a cargo de usted o de su delegado de protección de datos.
La formación con justificante es justo lo que las aseguradoras preguntan en el cuestionario. La regla de la devolución de llamada antes de las transferencias tiene su propio capítulo; el principio de los cuatro ojos lo regula usted internamente.
No forma parte de la concienciación: corresponde a usted o a su proveedor informático.
El justificante es su respuesta a esa pregunta. Lo que no es: una formación continua reconocida según el § 43a apdo. 6 BRAO. El entrenamiento forma a su equipo, no a sus abogados en derecho sustantivo.
Esto es lo que tiene en la mano tras el recorrido.
No tiene que redactar nada. Cuando la última persona del equipo termina, todo está en el Cockpit; usted lo descarga y lo archiva en el despacho.
Una página: situación de partida, costes para 12, 25 y 40 personas, esfuerzo, qué es y qué no es, propuesta de acuerdo. Para imprimir de cara a la próxima reunión.
📋 Justificante de formación con sello de tiempoQuién se formó y cuándo, tasa del equipo en la prueba de phishing, sello de tiempo. En Ejemplos verá un modelo con datos ficticios, tal como lo recibe su corredor de seguros.
🔎 Certificado por persona, verificableCada persona recibe un certificado de participación cuya autenticidad cualquiera puede comprobar en línea.
🔒 Contrato de encargo del tratamientoTrato los nombres y direcciones de correo de sus empleados, en servidores en Alemania. El contrato se celebra con el registro, en PDF para su documentación de protección de datos.
Así es en la práctica.
Cockpit, informe del equipo, certificado y justificante de una empresa ficticia con doce personas. Todos los nombres y resultados son inventados; la estructura es exactamente la que verá usted después.
Grupos, personas inscritas y el coste si todos terminan. Desde aquí inicia la formación, la prueba inicial o una ronda de repetición.
Tasas de clic y de introducción de datos del equipo, comparación con todas las rondas de pruebas, participación en la formación y el entrenamiento. Anonimizado.
Resultados de un vistazo y nivel de protección con recomendación. El PDF lleva un código QR de autenticidad y sirve para auditorías, aseguradoras y documentación NIS2.
Nombre, curso, fechas de la formación y de la prueba práctica, referencia a normas, firma y número de certificado verificable con código QR.
Todas las formaciones realizadas, con sello de tiempo y tasa de participación, asignadas a los requisitos. También para ISO 27001, el RGPD, el Reglamento de IA y el ciberseguro.
Cada persona solo ve su propio resultado: reacción a cada correo de prueba, cómo se podía reconocer el engaño y qué reveló su dispositivo.
Así funciona mi formación.
En un despacho de abogados cuentan el rigor, la discreción y la reputación, también en materia de seguridad. Por eso primero capacito en lugar de examinar: socios, abogados y empleados parten del mismo nivel de conocimientos antes de que llegue cualquier ataque simulado.
Dos caminos: usted elige el que mejor le encaje.
Formo a su equipo en persona, de forma presencial o en línea, conversando y con ejemplos de su día a día.
Cada persona aprende en línea como prefiera: con texto o vídeo, a su ritmo y eligiendo los contenidos.
Primero formar, después probar: a propósito en este orden.
-
Formación inicial
Primero capacito a su equipo (o lo hace usted con mis materiales). Todos empiezan con los mismos conocimientos básicos.
-
Prueba de phishing como autoevaluación
Solo después llega el ataque simulado, no como examen sino como autoevaluación: cada persona comprueba si lo aprendido funciona en el día a día.
-
Una cultura de seguridad, repasada cuando haga falta
De la formación y la prueba nace en la empresa una cultura de seguridad constructiva, que basta con repetir cuando llegue el momento.
Su diagnóstico se basa en los resultados de su equipo tras la formación: muestra el nivel que quería alcanzar, no el punto de partida sin protección.
Sin suscripción, según lo necesite y siempre con mi apoyo personal.
Una persona de contacto del sur de Baden, no una línea de atención.
Soy Patrick Ihle, fundador de secureIT. Profesionalmente me dedico a la seguridad de la información y, en paralelo, llevo más de 20 años como formador y docente. secureIT es mi propia empresa, en Ballrechten-Dottingen, cerca de Friburgo. Quien contrata conmigo tiene un nombre y un número de teléfono, no una línea de atención. Si lo desean, visito en persona los despachos del sur de Baden; a todos los demás los acompaño en línea.
Más sobre míEl secreto profesional y la IA solo son compatibles con reglas claras.
Redactar escritos, resumir expedientes, buscar jurisprudencia: para un despacho de abogados, la IA es tentadora y delicada a la vez. Los datos de clientes en un chatbot de libre acceso pueden vulnerar el secreto profesional, y los tribunales ya han reprendido citas inventadas. Además, desde febrero de 2025 la obligación de alfabetización en IA del Reglamento Europeo de IA se aplica a todo su equipo.
- El secreto profesional según el § 43a BRAO (Ley Federal alemana de la Abogacía) y el § 203 StGB (Código Penal alemán) rige también al usar IA
- Detectar sentencias y citas inventadas antes de que acaben en un escrito
- Curso de IA con certificado para cada persona, más un modelo de política de IA para el despacho
Para su despacho.
La comparación completa con el RGPD, el ciberseguro y la ISO 27001, por si su aseguradora o un cliente importante pide más.
Autoprueba gratuita →Tres correos de phishing simulados a su propia dirección. Así ve de antemano cómo será la prueba para su equipo.
Justificante para el ciberseguro →Qué pregunta la aseguradora en el cuestionario y cómo es el justificante, para reenviarlo a su corredor de seguros.
Preguntas frecuentes
¿Puedo ver qué compañero ha hecho clic en el correo de prueba?
¿Afecta la simulación al beA, a nuestro software del despacho o al servidor de correo?
¿Cumple esto las obligaciones de mi ciberseguro?
¿Qué pasa con los datos de mis empleados?
¿Cuánto tiempo le cuesta realmente a mi despacho?
¿Es una suscripción?
¿Cuánto cuesta?
¿De verdad dura el efecto de una formación única?
¿Necesito un departamento de informática para esto?
¿Cómo es una formación con usted?
¿Se va a dejar en evidencia o vigilar a alguien de nuestro equipo?
¿Cumplo así con el RGPD, NIS2, la ISO 27001 o los requisitos del seguro?
¿Qué pasa cuando hay cambios de personal?
¿Recibo un justificante o un certificado?
¿Cubre también el fraude con IA y los deepfakes?
¿Son realmente gratuitos los centros escolares y las asociaciones?
¿Con qué rapidez puedo empezar?
¿No encuentra su pregunta?
Hágamela directamente. Solo necesita una dirección de correo si quiere recibir mi respuesta.
Socios, abogados y secretaría formados en una semana.
Dar de alta al equipo, activar el curso, y listo. Después, el justificante para la autoridad y la aseguradora queda en el archivo del despacho. La cuenta es gratuita; solo se paga al empezar.