Ciberseguridad y protección de datos en Koha

Proteger un Koha no es solo evitar que entren: es proteger a las personas. Una biblioteca guarda de toda su comunidad el nombre, la dirección, el teléfono y —sobre todo— el historial de lectura, que revela ideología, salud u orientación. Es de lo más sensible que existe, y casi ninguna instalación lo trata como tal.

En este seminario recorremos las dos mitades del problema: la configuración dentro de Koha (preferencias del sistema, tareas programadas, permisos) y las medidas en el servidor (HTTPS, fail2ban, cortafuegos, copias). Todo con la versión de Koha que ya tienes: no hay que comprar nada.

Va dirigido a quien administra un Koha —responsables de sistemas, personal técnico de la biblioteca y responsables de protección de datos— y no exige conocimientos de administración de sistemas: cada medida se explica por lo que protege, no por cómo se teclea.

1. Por qué importa — datos personales, bots que saturan el OPAC (el caso real de GPTBot en 2026) y RGPD.
2. Autenticación y contraseñas — longitud, intentos fallidos, doble factor obligatorio para el personal, cuentas nominales y cuántos superlibrarian sobran en tu instalación.
3. Sesiones — caducidad, restricción por IP y el factor humano del mostrador compartido.
4. RGPD, el núcleo — consentimiento con prueba, anonimización del historial de lectura, minimización de datos, pseudonimización (estadísticas completas sin historial personal) y las purgas programadas.
5. Registros y auditoría — qué activar, y la paradoja de que los registros también son datos personales.
6. APIs y servicios expuestos — REST, autodevolución, OAI/Z39.50/SRU y el SIP2, que nunca debería estar en abierto.
7. Servidor y red — HTTPS, fail2ban, cortafuegos, copias cifradas fuera de la máquina y con restauración probada.
8. Checklist de auditoría de 14 puntos — para puntuar tu instalación el mismo día.