Compartir archivos de forma segura con externos: qué deben usar las empresas en lugar del correo
Contratos, nóminas y bases de clientes salen cada día como adjunto. Hay formas mejores, y más sencillas de lo que parece.
Compartir archivos de forma segura con externos es, en muchas empresas, el proceso más crítico que nadie llegó a diseñar. El asesor pide el resumen de nóminas, el abogado pide el contrato firmado, el nuevo proveedor pide la base de clientes para migrar un sistema. Y la respuesta siempre es la misma: adjuntar al correo y pulsar enviar. Funciona. Hasta el día en que no funciona.
El correo no se diseñó para transportar archivos confidenciales: el adjunto se copia en varios servidores, se queda indefinidamente en buzones que no controlas y no se puede revocar una vez enviado. La alternativa práctica para una pyme es compartir mediante enlace, desde el almacenamiento que ya pagas (Microsoft 365, Google Workspace) o desde un portal dedicado, con destinatario identificado, caducidad y registro de accesos. El adjunto queda reservado para lo que es público.
Por qué el adjunto de correo es el eslabón más débil
El correo resuelve el problema equivocado. Se creó para entregar mensajes, no para gestionar el acceso a información sensible a lo largo del tiempo. Entre servidores, la conexión suele ir cifrada, pero ese cifrado protege el trayecto, no el archivo. En cuanto llega, el documento queda en reposo en un buzón cuya seguridad no es tuya: sin autenticación fuerte obligatoria, sin caducidad y sin forma de saber quién lo ha abierto.
Merece la pena mirar el recorrido real de un adjunto después de salir de tu empresa.
Sale de tu bandeja de salida
Queda una copia permanente en elementos enviados y, normalmente, en el archivado del servidor de correo. Ya son dos copias antes siquiera de llegar a nadie.
Atraviesa infraestructura de terceros
Pasa por filtros antispam, pasarelas y servidores intermedios. Cada salto puede registrar, analizar o almacenar temporalmente el contenido.
Aterriza en un buzón que no controlas
Se queda en el portátil, en el móvil y en la copia de seguridad del destinatario. Si esa cuenta se ve comprometida meses después, tu archivo se va con ella.
Se reenvía
El destinatario lo comparte con un compañero, que lo comparte con un subcontratado. A partir de ahí desaparece cualquier noción de quién tiene el documento.
Y luego está el error más banal y más frecuente de todos: el autocompletado del cliente de correo elige el contacto equivocado. No hace falta un atacante para que haya una brecha de datos; basta un Enter demasiado rápido un viernes por la tarde.
Qué espera la ley de ti, en España y en Portugal
Ninguna norma dice «no uses adjuntos». Lo que la ley exige es que puedas demostrar que elegiste medidas adecuadas al riesgo. Y ahí es donde el adjunto de correo sale mal en la foto: cuesta justificar como medida adecuada un canal sin control de acceso, sin caducidad y sin registro.
Tres capas que se solapan
RGPD (ES y PT). El artículo 32 obliga a aplicar medidas técnicas y organizativas adecuadas al riesgo, y menciona expresamente el cifrado como ejemplo. Si un archivo acaba en la persona equivocada y hay riesgo para los afectados, hay notificación a la autoridad de control en 72 horas: AEPD en España, CNPD en Portugal.
Guías de las autoridades. La AEPD publicó en noviembre de 2025 una Guía de cifrado para autónomos y pymes construida sobre brechas reales notificadas a la Agencia: dispositivos perdidos, publicaciones no intencionadas y, muy señaladamente, envíos de correo al destinatario equivocado. INCIBE mantiene además material práctico para empresas sobre uso seguro del correo corporativo y cifrado de comunicaciones.
NIS2. En España, la Ley de Coordinación y Gobernanza de la Ciberseguridad —el anteproyecto aprobado por el Consejo de Ministros el 14 de enero de 2025— seguía en tramitación parlamentaria en julio de 2026, con expediente de infracción abierto por la Comisión Europea por el retraso. Mientras tanto sigue aplicándose el Real Decreto-ley 12/2018, y el ENS (Real Decreto 311/2022) rige para el sector público y sus proveedores. En Portugal la NIS2 ya está en vigor: el Decreto-Lei n.º 125/2025 se aplica desde el 3 de abril de 2026 y el CNCS publicó su reglamento de desarrollo en junio de 2026.
Fíjate en el efecto indirecto: aunque tu pyme no esté en el ámbito directo de la futura ley, si eres proveedor de una empresa que sí lo esté, empezarás a recibir cuestionarios sobre cómo proteges la información que compartes. Tener la respuesta preparada deja de ser cumplimiento y pasa a ser argumento comercial.
Alternativas al correo: qué sirve para qué
No existe un canal único para todo. Existe una correspondencia sensata entre la sensibilidad de lo que envías y el mecanismo que usas.
| Opción | Buena para | Qué vigilar |
|---|---|---|
| Adjunto simple | Documentos públicos o ya difundidos: folletos, propuestas genéricas, facturas sin datos sensibles. | Sin control de acceso, sin caducidad, sin revocación. No debería salir de ahí. |
| ZIP con contraseña | Envío puntual cuando el destinatario no tiene otra opción técnica. | La robustez depende de la herramienta y del formato: el cifrado clásico del ZIP es débil. Y la contraseña acaba casi siempre en el mismo correo, lo que anula la protección. |
| Servicios gratuitos de transferencia | Archivos grandes y no sensibles: vídeos, material gráfico de campaña. | Enlace a menudo abierto a quien lo tenga. Sin contrato empresarial, no sabes dónde quedan los datos ni durante cuánto tiempo. |
| Enlace compartido de Microsoft 365 o Google Workspace | El caso más habitual en una pyme: contratos, facturación, documentos de proyecto con externos. | Exige configuración. Por defecto, muchas organizaciones tienen enlaces «cualquiera con el vínculo» y sin caducidad. Aquí está el trabajo real. |
| Portal o sala de datos | Procesos recurrentes y sensibles: recursos humanos, salud, jurídico, due diligence. | Coste y adopción. Compensa cuando hay volumen u obligaciones sectoriales fuertes. |
| SFTP o transferencia gestionada | Intercambios automáticos y periódicos entre sistemas: ficheros contables, integraciones con proveedores. | Requiere mantenimiento y actualizaciones. Estas plataformas han sido objetivo preferente de ataques; no pueden quedar olvidadas. |
Cómo compartir archivos de forma segura con externos en tu empresa
No es un proyecto de meses. Para una empresa de 10 a 100 personas, esto se hace en cinco pasos y en este orden.
Clasifica en tres niveles, no en diez
Público, interno y confidencial. Con eso basta. Confidencial es todo lo que implique datos de clientes, empleados, salud, condiciones comerciales o credenciales. Si tu equipo no puede clasificar un documento en cinco segundos, el esquema es demasiado complicado.
Asigna un canal a cada nivel
Una regla que quepa en una línea y que cualquiera pueda repetir de memoria: lo público va por adjunto; lo interno y lo confidencial van por enlace compartido; lo confidencial con volumen u obligación sectorial va por portal. Sin regla escrita, cada persona inventa la suya, y así aparecen cuentas personales de almacenamiento en la nube transportando documentos de la empresa.
Corrige los valores por defecto
Es el paso con mayor retorno y el más olvidado. En el panel de administración de Microsoft 365 o Google Workspace, define como comportamiento predeterminado:
- Destinatarios concretos, no «cualquiera con el enlace».
- Caducidad en los enlaces externos: 7 o 30 días resuelve la mayoría de los casos.
- Verificación del destinatario mediante código enviado a su correo cuando no tiene cuenta.
- Solo lectura por defecto; la edición se concede caso por caso.
- Registro de accesos activo, para saber quién abrió qué y cuándo.
Cierra las puertas que quedaron abiertas
Antes de mirar hacia delante, mira hacia atrás. Exporta el informe de comparticiones externas activas y revisa lo que encuentres: enlaces públicos creados hace tres años, cuentas de invitado de proveedores que ya no trabajan contigo, carpetas compartidas con ex empleados. Convierte esa revisión en una tarea trimestral con responsable y fecha.
Escribe una página y forma veinte minutos
Una página con la regla, el canal a usar en cada caso y qué hacer cuando algo sale mal. Veinte minutos con el equipo enseñando la pantalla real, no una diapositiva. La tecnología sin hábito vuelve al adjunto en dos semanas.
Reglas de compartición para el equipo
- Los datos de clientes o empleados nunca van como adjunto
- Compartir por enlace, siempre a destinatarios identificados
- Poner caducidad a todos los enlaces externos
- La contraseña nunca por el mismo canal que el archivo
- Confirmar la dirección del destinatario antes de enviar
- Enviar solo lo necesario, no la carpeta entera
- Revisar las comparticiones externas activas cada trimestre
- Comunicar de inmediato cualquier envío erróneo
Preguntas frecuentes
¿Un ZIP con contraseña es suficiente para enviar datos de clientes?
Rara vez. La protección depende de la herramienta y del formato utilizados, y el cifrado clásico del ZIP se considera débil. Más importante todavía: en la práctica la contraseña viaja en el mismo correo o en uno posterior a la misma dirección, lo que elimina la protección. Si no queda otra, usa cifrado fuerte y transmite la contraseña por otro canal, por ejemplo por teléfono.
¿Puedo enviar documentos al cliente por WhatsApp?
Para confirmar que algo se ha recibido, sí. Para transportar documentos de empresa, no es aconsejable: el archivo queda en el móvil personal del destinatario y en el tuyo, sin inventario, sin control de acceso y sin forma de retirarlo. Es además el tipo de canal que hace muy difícil responder a la pregunta «¿dónde están nuestros datos?» cuando la formule un cliente o una auditoría.
¿Y si el cliente o el proveedor insiste en el adjunto?
Ocurre a menudo y se resuelve con una alternativa fácil, no con una lección. Envía el enlace con una frase corta explicando que el documento contiene datos protegidos y que el enlace caduca en X días. En la inmensa mayoría de los casos basta un clic al otro lado y el asunto queda cerrado.
¿Está mi pyme afectada por la NIS2 en España?
Depende del sector y del tamaño, y a julio de 2026 la ley de transposición seguía en tramitación en el Congreso, por lo que el listado definitivo de entidades esenciales e importantes aún no es exigible en su versión final. Mientras tanto se aplica el Real Decreto-ley 12/2018. Muchas pymes notan las exigencias antes por vía contractual, como proveedoras de entidades afectadas, que por vía normativa directa.
He enviado un archivo a la persona equivocada. ¿Qué hago ahora?
Actúa rápido y documenta. Intenta recuperar el mensaje o revocar el enlace, contacta con el destinatario para pedir su eliminación y registra el incidente internamente. Si hay datos personales implicados y riesgo para las personas afectadas, valora la notificación a la autoridad de control en 72 horas: AEPD en España, CNPD en Portugal. La documentación del incidente es obligatoria aunque concluyas que no procede notificar.
El canal es una decisión de negocio
Compartir archivos con externos parece un detalle de informática, pero es el punto exacto en el que la información más valiosa de la empresa sale de tu perímetro, muchas veces sin registro, sin plazo y sin retorno. La buena noticia es que corregirlo no exige inversión nueva: las herramientas que la mayoría de las pymes ya paga tienen todo lo necesario, solo que mal configurado. Una regla clara, unos valores por defecto corregidos y una revisión trimestral eliminan buena parte del riesgo en pocas semanas.
Ninguna medida elimina el riesgo por completo. Pero la diferencia entre un envío erróneo que se contiene en veinte minutos y otro que acaba en una notificación a la autoridad de control está casi siempre en estas decisiones sencillas, tomadas antes de hacer falta.
¿Sabes qué archivos de tu empresa están compartidos ahora mismo?
Hacemos el inventario de comparticiones externas activas, corregimos la configuración por defecto y dejamos la regla escrita y practicada con tu equipo.
Hablar con Valluris