Enviar o no enviar una muestra a un tercero

Antes de que algo salga del laboratorio hacia un tercero se contestan cuatro preguntas. De quién es: el dueño de la muestra o del caso decide, normalmente por contrato. Qué contiene: una huella o un dominio no llevan datos de nadie; una muestra completa puede llevar documentos del cliente, y un volcado casi siempre lleva datos de personas. Para qué la quieren y si ese fin coincide con lo que el dueño aceptó. Y con qué etiqueta la entregó el dueño, que fija hasta dónde puede llegar.

La buena intención no sustituye a ninguna de las cuatro. Un envío que ayuda a cien empresas pero que el dueño no permitió sigue siendo una fuga de información del cliente.

Abre el laboratorio y ejecuta SELECT * FROM peticiones, SELECT * FROM etiquetas y SELECT * FROM clausulas.

Las etiquetas siguen el protocolo de semáforo TLP de FIRST, el organismo internacional que agrupa a los equipos de respuesta a incidentes. En su versión 2.0, vigente desde agosto de 2022, tiene cinco etiquetas que van de «solo para quien la recibió» a «se puede publicar». La pone quien entrega la información, y quien la recibe la respeta.

A veces lo que se pide no lleva ningún dato de personas ni del cliente, solo dominios y huellas, y aun así no puede salir. La etiqueta no mide lo peligroso que es el contenido: mide hasta dónde aceptó el dueño que llegara. Si hace falta llevarlo más lejos, se pide al dueño que cambie la etiqueta o que autorice ese envío.

Un laboratorio que atiende a muchas empresas sabe cosas de todas, y cada una espera que lo suyo no llegue a las demás. Cuando un cliente pregunta por el caso de otro, el analista puede ayudarle con lo que es suyo: sus propios indicadores, su propio análisis, la comparación técnica de su muestra con lo que el laboratorio conoce, sin decir de dónde salió ese conocimiento.

Cuando algo sale, el registro de envíos tiene que decir con qué permiso salió. En un contrato eso es una cláusula concreta, no «el cliente estaba de acuerdo».