Si crees que un ataque de ransomware es lo peor que le puede pasar a tu organización, lamento decirte que eso es solo el principio.
No me malinterpretes: un ataque es terrible. Pero tras un ataque, te encuentras en una situación similar a la de una gacela herida y los depredadores empiezan a rodearte. Aunque quizá no seas responsable del ataque en sí, si gestionas mal la Recovery, los requisitos normativos y la comunicación, podrías enfrentarte a multas y demandas. Y por si fuera poco: los atacantes, los competidores e incluso los posibles compradores y activistas podrían aprovechar la oportunidad para abalanzarse sobre ti.
Por eso, en mi calidad de directora jurídica y de cumplimiento normativo y de miembro independiente del consejo de administración, considero que es necesario contar con un plan de protección de datos contrastado y probado mucho antes de que tus datos se vean comprometidos. Para ayudarte en este proceso, a continuación te indico cuatro pasos que yo seguiría a la hora de evaluar y responder ante un ataque:
N.º 1: Protege tu perímetro. Ante el primer indicio de un ataque, debes cerrar la puerta de un portazo y detener la hemorragia. CrowdStrike estimó recientemente que la ventana de ataque es de 84 minutos. Ese es el tiempo del que dispones antes de que los datos queden inutilizados, sean sustraídos o destruidos. No hay tiempo para deliberar y, en el momento en que haya que cerrar todos los puntos de entrada y acceso a tu empresa, un ataque de ransomware no puede ser la primera ocasión en la que reúnas al equipo multifuncional formado por los departamentos de TI, Seguridad, Asuntos Jurídicos y otros. Debes funcionar como una máquina bien engrasada y actuar con rapidez. Ensaya esto como si fuera un simulacro. Averigua qué activos tienes, a cuáles tienen acceso, y prepárate para cerrarlo todo.
#2 Evaluar los daños. Una vez que el perímetro esté seguro, debes evaluar los daños. ¿Qué datos se han visto expuestos o han sido sustraídos? ¿Qué daños se han producido? ¿Cuál es tu obligación contractual en cuanto al mantenimiento y la protección de los datos de los clientes o usuarios? ¿Cómo te afecta esto en lo que respecta a la normativa del sector, estatal, federal e internacional? Se avecinan más requisitos de divulgación y, tal y como señaló recientemente PwC en su encuesta «Global Digital Trust Insights 2023», «solo el 9 % de los encuestados se muestra muy seguro de poder cumplir eficazmente todos los requisitos de divulgación». Cuanto antes se implique tu equipo en el proceso de planificación, evaluación y corrección, mejor.
#3 ¿Fuiste víctima o hubo negligencia por tu parte? ¿Dejaste el perímetro desprotegido? ¿Tenías controles de acceso o de seguridad deficientes? ¿Cuentas con un plan de protección de datos? ¿Cuándo fue tu último ejercicio de simulación o tus últimas pruebas del sistema? ¿Se aplicaban los controles adecuados para prevenir (o detectar rápidamente) el ataque? ¿Ofreces formación en concienciación sobre ciberseguridad a los empleados para que aprendan a identificar los intentos de phishing? Los clientes esperan que, cuando te faciliten sus datos, los protejas. Contar con un plan o una solución de protección de datos es el precio que hay que pagar por hacer negocios. Sin ello, no eres una víctima.
N.º 4: Comunícate. Comunícate. Comunícate. Sé transparente con tus partes interesadas clave. La rapidez con la que se divulga la información puede suponer un delicado equilibrio, ya que aún se está evaluando el impacto, identificando la causa raíz y aplicando medidas correctivas. Evidentemente, tu director general y los altos directivos deben saberlo lo antes posible, y deberás informar a tu consejo de administración. Pero las personas más importantes con las que debes comunicarte son aquellas afectadas por la violación de seguridad, como tus clientes, socios o empleados. Debes notificárselo lo antes posible.
En resumen: los atacantes están al acecho, cada día son más astutos y el tiempo no juega a tu favor. Estas medidas te ayudarán a detectar un ataque y a recuperarte más rápidamente, y te darán la seguridad de que has tomado medidas responsables y bien fundamentadas para proteger tus datos.
