Respuesta corta: una política de seguridad documental para el fax cabe en dos páginas: quién puede enviar y recibir, dónde viven los archivos y durante cuánto tiempo, qué registra el registro de transmisiones, cómo se protege el papel y cómo se forma al personal recién llegado. Ocho puntos bastan, validados por la dirección y revisados cada año. Este es el modelo, pensado para organizaciones donde el fax sigue siendo obligatorio.
Por qué el fax vuelve a las políticas de seguridad
Sanidad, sector jurídico, seguros, logística, contratación pública: en estos campos el fax sigue siendo un canal que exigen los socios, a veces la propia normativa. Los equipos de seguridad valoran en él una ventaja poco notada: el fax no pasa por el correo electrónico. Un documento enviado por telefax no puede llevar un adjunto malicioso ni un enlace fraudulento esperando un clic distraído — las dos puertas por las que entra el ransomware en las organizaciones. El canal esquiva además los filtros antispam, que bloquean en silencio mensajes legítimos con más frecuencia de lo que los paneles de control indican.
Ese alivio digital no exime de nada: el fax tiene riesgos propios, esta vez físicos. Una hoja clínica olvidada en la bandeja de una multifunción de acceso libre, un número marcado dos veces mal, un borrador tirado a la papelera ordinaria: fallos que ni el cifrado ni el antivirus corregirán jamás. De eso se ocupa precisamente una política de seguridad documental — el fax se trata como cualquier otro canal de la organización, con reglas propias.
Las reglas concretas: puesto, papel, borradores
Un puesto dedicado, no una máquina en el pasillo
La máquina vive en una zona de acceso controlado: una oficina de secretaría, no el hall de recepción ni la sala de descanso. Quien no está autorizado no entra; una multifunción reservada al fax vale más que una impresora compartida de la que el primero que pasa se lleva las páginas. Sin máquina, con un servicio en línea, la regla se traslada al puesto de trabajo: se envía desde una cuenta personal, nunca desde una sesión compartida sin identificación individual.
La bandeja se vacía, no se llena
Un fax recibido duerme como máximo una hora en la bandeja: ponga por escrito quién la revisa, con qué frecuencia y adónde van los documentos después. Un fax que llega por error no se lee ni se fotocopia: vuelve al remitente o se destruye según su procedimiento de incidentes.
Los borradores se destruyen el mismo día
Borradores de digitación, páginas de prueba, copias duplicadas, listados de envío obsoletos: todo sale de la oficina por la destructora de corte transversal colocada junto al puesto — nunca por la papelera ordinaria, nunca por el contenedor de papel del pasillo. El papel que sale del circuito nunca vuelve a ser borrador.
El capítulo digital del servicio en línea
La mayoría de las organizaciones sustituyen la máquina por un servicio de envío en línea; la política debe entonces describir la cadena digital, con cuatro exigencias:
- transporte cifrado: la transmisión va por HTTPS, del navegador al servidor;
- almacenamiento cifrado: los archivos quedan cifrados en los discos del proveedor;
- plazo de conservación: cuántos días sigue disponible el archivo tras el envío — y quién puede borrarlo antes;
- ubicación de los servidores: una organización europea preferirá un alojamiento dentro de la Unión, documentado por el proveedor.
Añada la regla de las cuentas: identificación personal, contraseña propia y doble factor donde el servicio lo ofrezca. Las medidas técnicas que se esperan de la propia transmisión se detallan en nuestra guía de seguridad de las telecopias; las obligaciones del responsable del tratamiento — base jurídica, registro, encargados — se repasan en nuestra página del fax y el RGPD.
Registrar: quién envió qué, y conservar la huella
El registro de transmisiones es la columna vertebral de la política. Cada envío figura con su hora exacta, el destinatario marcado, el volumen transmitido y el resultado de la entrega; el justificante correspondiente se archiva con el documento que prueba y sigue el mismo plazo de conservación. La persona responsable repasa el registro cada mes: un envío fuera del horario de apertura, un número ajeno al directorio de socios, un volumen inusual — cada anomalía merece una pregunta sencilla, hecha pronto.
El registro se protege a su vez: acceso restringido, exportación mensual archivada, ninguna supresión por parte de quien maneja el puesto.
Un modelo de política en ocho puntos
Cópialo, adáptalo y hazlo firmar:
- Alcance — flujos afectados, sedes, máquinas y servicios en línea cubiertos.
- Autorizaciones — quién puede enviar y recibir; una lista nominal y actualizada.
- Puesto y acceso — dónde está la máquina, quién entra en la zona, cómo se accede al servicio en línea.
- Papel — frecuencia de vaciado de la bandeja, destino de los originales, destrucción de los borradores el mismo día.
- Archivos — un único árbol de archivo, normas de nombres, plazos por familia de documentos, borrado tras el envío.
- Registro — qué anota el registro de transmisiones, cómo se guardan los justificantes, quién lo revisa y cada cuánto.
- Formación — un módulo de acogida para el personal nuevo, actualizado con cada cambio de la política.
- Revisión — lectura anual por la dirección, con actualización de plazos, accesos y lista de autorizados.
Formar al personal nuevo
La formación se hace a la llegada, no después del primer incidente. Treinta minutos en el puesto bastan: dónde está la máquina, quién puede enviar, cómo comprobar dos veces el número, qué hacer con un fax recibido por error, adónde van los borradores. Deje una hoja de recordatorio colgada en el puesto — si las reglas no caben ahí, no cabrán en ninguna parte. El responsable comprueba los primeros envíos de la persona recién llegada y anota la sesión en el registro: quién, cuándo, qué versión de la política. En cada revisión anual, la lista del personal formado vuelve a la mesa.
Dos páginas, ocho puntos, una firma al pie: eso separa a una organización que soporta sus faxes de otra que los domina.
Etiquetassecuritergpdorganisationdocumentsfax
