Aumento de litigios por problemas en la protección de datos y ciberseguridad
Se ha publicado recientemente en el BOE el nuevo Esquema Nacional de Seguridad (ENS), una certificación necesaria para toda empresa que trabaje con la Administración.
La nueva regulación se adapta a las diferentes leyes estatales y europeas e incide en el papel de los CISO. ¿Y dónde queda el papel del delegado de protección de datos (DPD)?
¿Qué es un CISO?
Es la persona encargada de la seguridad de los sistemas de la información. La ley obliga, en determinados casos, a tener esta figura en plantilla, siendo un activo muy valioso, que debe integrarse dentro de la estructura y organigrama de la empresa, a alto nivel.
Tiene que organizar la ciberseguridad de la compañía y es el responsable máximo del tema, así como el interlocutor con la Administración, incluidos los trámites cuando hay un percance.
No hay que olvidar que cualquier empresa, pequeña o grande, de cualquier sector, tiene una gran exposición de sus activos. Si estos no se protegen, puede llevar a la pérdida de partes valiosas de la empresa y, por supuesto, puede afectar a la continuidad del negocio.
¿Cuál es el problema?
La realidad del CISO no se corresponde con lo expuesto. ¿Cuenta con los recursos necesarios? ¿Se recorta su presupuesto desde áreas como dirección o finanzas, que poco saben de ciberseguridad? ¿Es un cabeza de turco? ¿Tiene que estar siempre en alerta? ¿Sufre burnout? Son muchos los problemas que puede tener un CISO, como podéis ver en este artículo publicado en nuestro blog. Quizá por todo ello, se permite que el CISO pueda ser externo a la empresa o incluso que forme parte de otra compañía de servicios de ciberseguridad.
Casos reales. ¿Es el CISO siempre el responsable?
Os explicamos a continuación un par de casos reales, de problemas con mayúsculas de dos empresas muy conocidas y con implantación global.
• CISO de SolarWinds.
SolarWinds es una empresa estadounidense con sede en Austin (Texas) y que desarrolla software para empresas. Unos piratas informáticos llevaron a cabo un ataque a la cadena de suministro a través de SolarWinds y violaron las redes de varios departamentos del gobierno de EE.UU., incluida la agencia a cargo del arsenal de armas nucleares del país. Todo eso como parte de una campaña mundial de ciberespionaje de meses de duración revelada en diciembre de 2020. Parece el caso más claro de “cabeza de turco”, por la resonancia que tuvo el caso, y porque le acusaron de negligencia. Resultado: lo demandaron por nada más y nada menos que 1.500 millones de dólares.
• CISO de UBER.
Este caso es diametralmente opuesto al anterior. Encubrió un posible pago de ransomware. Recordamos que pagar a ciberdelincuentes es delito. Y a este delito abría que añadir que si había sido negligente en su cargo, doble error.
Acabamos dejando claro el concepto de NEGLIGENCIA. Según la Real Academia Española es:
1. f. Descuido, falta de cuidado.
2. f. Falta de aplicación.
Conocer la legalidad
Como podéis ver, y siguiendo nuestro título de hoy, Aumento de litigios por problemas en la protección de datos y ciberseguridad las leyes cobran un protagonismo esencial. Por eso nos pusimos en contacto con uno de los despachos profesionales más especializado en Derecho Tecnológico: Tecnogados, con el que colaboramos asiduamente. Y les pedimos que nos explicaran su visión de estos temas. Y el resultado es este post compartido que estáis leyendo. Como venimos de casos reales, retoman el tema con un caso real vivido directamente.
En Tecnogados estuvimos muy atentos a la resolución de la Agencia Española de Protección de Datos, la nº E/09159/2020, respecto a la brecha de privacidad que sufrió la empresa Mapfre.
En dicha resolución, se puede leer la actuación de la compañía en relación al ataque que sufrió por la infección de un ransomware, y como la empresa una vez puesta la denuncia pertinente, comunico los hechos al INCIBE y CCN-CERT, así como publicó lo acaecido en su web y redes sociales.
De las actuaciones llevadas a cabo pudimos ver como la empresa, una vez detectado el virus, realizó una búsqueda en la web de VirusTotal y como en esa fecha el malware también era indetectable.
Mapfre también obtuvo las evidencias forenses necesarias para detectar el origen de la infección, con el fin de evitar posibles reinfecciones.
En relación a las medidas proactivas que tenía implementadas, consta que la compañía estaba suscrita a un código de conducta en materia de protección de datos y contaba con un plan de contingencia. El conjunto de actuaciones, como no pudo ser de otra manera, acabo con el archivo del expediente.
¿Y qué queremos haceros ver con todo esto? Pues que el trabajo en materia de ciberseguridad (CISO) va unido de la mano al del delegado de protección de datos (DPD). Donde el primero dice que medidas técnicas aplicar y, el segundo, que información proteger respecto a datos personales o potencialmente identificables.
Ambas figuras CISO y DPD también deberían tener una obligada colaboración, respecto a que medidas implementar en ciberseguridad y privacidad, desde el diseño y por defecto, donde la anticipación y la proactividad sean un valor para garantizar el cumplimiento normativo y así cumplir con el Reglamento Europeo de Protección de Datos, en relación a principios como la minimización de información para cumplir la finalidad del tratamiento o implementar medidas que permitan cumplir efectivamente el ciclo de vida del dato y el efectivo ejercicio del derecho de supresión del interesado.
Respecto al ENS y en relación al perfil de nuestros lectores, aquí cabría traer a colación que pasa con aquellas pymes que trabajan para la Administración, sobre todo en dos aspectos.
Primero, que requisitos tienen que cumplir estas empresas con relación al trabajo que llevan a cabo a entidades públicas y que medidas tiene que aplicar.
En este sentido, sería interesante que la Autoridad pertinente estandarizará procedimientos de cumplimiento para que cualquier proveedor de servicios de la Administración supiese que medidas tiene que aplicar.
Pero, en segundo lugar, también sería interesante para los entes públicos, el saber que requisitos tendrían que sacar en sus concursos, para que el candidato pueda garantizar un nivel óptimo de cumplimiento en materias como la ciberseguridad y la privacidad y que estos pudieran ser un factor determinante para la adjudicación del trabajo.
Por último, indicar que teniendo que ser el CISO y el DPD personas distintas dentro de la organización conforme al ENS, su labor, sin embargo, es totalmente complementaria donde, por un lado, uno aporta el conocimiento técnico y el otro garantiza el cumplimiento normativo.
Imagen principal: Pete Linforth en Pixabay
- Publicado en Ataques / Incidencias, CISO, Consultoría, Formación, Historia, Normativa, Noticias, Protección de datos, Seguridad
Antes de enviar el 2020 a la carpeta de eliminados (III)
Tercer capítulo de nuestro resumen del año 2020 que empezamos el 4 de enero con cinco productos estrella y unas cuantas entrevistas a sus protagonistas.
Proseguimos la semana pasada con 10 consejos para manteneros ciberatentos y hoy os queremos recordar que TECNOideas está en todas partes (¡o casi!) antes de enviar el 2020 a la carpeta de eliminados.
TECNOideas está en todas partes (¡o casi!)
Antes de enviar el 2020 a la carpeta de eliminados nos gustaría recordaros que TECNOideas ha estado en (casi) todas partes. A pesar de ser un año muy complicado con los congresos, conferencias y eventos varios, hemos participado en algunos de los más importantes.
1.- IntelCon by Ginseg
Del 27 al 31 de julio tuvo lugar este congreso online de ciberinteligencia organizado por la Comunidad Ginseg y cuyo objetivo es la difusión de conocimiento de calidad y consolidación de una comunidad enfocada en la ciberinteligencia. Os lo anunciamos AQUÍ y os lo recordamos unos pocos días antes también AQUÍ. TECNOideas participó como patrocinador del evento y apoyo a un producto en el que estamos colaborando en su desarrollo, para la herramienta OSINT definitiva del mundo latino: Orwell, una recopilación de herramientas enfocadas a la lengua y países hispanos.
Nuestros compañeros en este proyecto, Sergio Hernández y Antonio Juanilla -Specter- de HackMadrid%27 y HackBCN%27, hicieron una presentación y demostración online de este producto. No pudimos resistirnos y os hicimos un resumen de esta edición de Intelcon.
Podéis ver toda la información del congreso AQUÍ.
2.- Tizona
Quizá como una muestra más de la importancia de la ciberseguridad industrial, Tizona se ha hecho un hueco en el sector por centrarse en la industria y en el internet de las cosas y por la calidad de los ponentes. Entre sus patrocinadores se encuentra el Centro de Ciberseguridad Industrial.
Os hablamos de este congreso en un reportaje del mes de octubre, ya que el certamen, que fue online este año, se celebró los días 16 y 17 de este mes. Para conocer mejor este congreso y animaros a participar en la próxima edición, podéis clicar AQUÍ.
3.- HoneyCon
Desde que empezamos nuestra especialización en seguridad apostamos por tener una estrecha relación con el mundo hacker, de donde provenimos gran parte del equipo técnico. Por eso nos encanta HoneyCon, un congreso de seguridad informática que organiza HoneySec, una asociación sin ánimo de lucro que tiene su sede en Guadalajara. Y nos gusta tanto que quisimos aprovechar este evento para presentar nuestros nuevos vídeos profesionales, que podéis ver AQUÍ.
Además TECNOideas tuvo una presencia destacada, ya que nuestro compañero Jordi Ubach fue uno de los profesionales escogidos para dar una charla de ciberseguridad industrial. Su ponencia llevaba por título “ICS forensic, history telling sobre subestaciones eléctricas”. Os lo contamos todo en este artículo. Y tras la realización del evento, os explicamos las 24 intensas horas en HoneyCon 2020.
4.- World.Party 2020
Si antes os hablábamos del mundo hacker, ahora todavía más, porque la World.Party 2020 es una conferencia sobre el conocimiento hacker y la inteligencia colectiva de la asociación Hack%27, con HackMadrid y HackBarcelona. Fueron 10 días de noviembre en los que se debatieron muchos temas con ponentes de primera fila. Os lo contamos AQUÍ.
Nuestro compañero Jordi Ubach volvió a ser requerido y el domingo 29 de noviembre, día del cierre de la World.Party, ofreció una interesante charla que llevaba el título de “Forensic de alto voltaje“. Se trataba de explicar un caso real de un ataque y posterior análisis forense, a una subestación de subministro eléctrico en una planta de producción industrial. Y es que el último fin de semana del evento fue de lo más intenso. Quizá porque TECNOideas 2.0 patrocinó el evento con el concurso CTF, “capture the flag”. Se trata de un concurso donde hay que superar diferentes pruebas de hacking en un escenario controlado por la organización. Os contamos la traca final de la World.Party 2020 AQUÍ.
5.- c0r0n4con
En diciembre volvimos a ser protagonistas, con esta CON en la que participaron grandes especialistas en ciberseguridad y que tuvo una vertiente benéfica con un objetivo claro: recaudar fondos para la Cruz Roja Española con el fin de mitigar los efectos de la Covid-19.
Fuimos protagonistas porque de nuevo se solicitó la presencia de Jordi Ubach, quien tuvo una doble intervención.
También participó nuestro colaborador Juan Carlos Fernández, CEO del bufete especialista en LegalTech, Tecnogados, que tuvo una charla con el título “Teletrabajo: ¿puede mi jefe espiarme y despedirme?” Os lo contamos AQUÍ.
Venga, ¡animaros!
Como podéis ver, este mundillo quizá no sea del todo ciberseguro, pero lo que está claro es que “Eppur si muove”, si nos permitís la licencia de citar las palabras que la tradición dice que pronunció Galileo Galilei tras abjurar de la visión heliocéntrica del mundo ante la Inquisición. “Y sin embargo, se mueve”, como la ciberseguridad.
Ahora ya conocéis de primera mano unos cuantos eventos de nuestro sector y debéis tener claro que TECNOideas está en todas partes (¡o casi!). Pero aún os lo queremos poner más fácil. Por ello estamos preparando un “pequeño” calendario de eventos que pondremos en un apartado de nuestra web. Y decimos “pequeño” porque hay innumerables citas a lo largo del año, pero, con el debido respeto, otra cosa es que estén dedicadas realmente a la ciberseguridad con mayúsculas. Ese es nuestro reto, convocaros a las citas imprescindibles.
- Publicado en Evento, General, Noticias, Seguridad, Sobre TECNOideas