Si crees que un ataque de ransomware es lo peor que le puede pasar a tu organización, lamento decirte que eso es solo el principio.
No me malinterpretes: un ataque es terrible. Pero tras un ataque, te encuentras en una situación similar a la de una gacela herida y los depredadores empiezan a rodearte. Aunque quizá no seas responsable del ataque en sí, si gestionas mal la Recovery, los requisitos normativos y la comunicación, podrías enfrentarte amultas y demandas. Y por si fuera poco: los atacantes, los competidores e incluso los posibles compradores y activistas podrían aprovechar la oportunidad para abalanzarse sobre ti.
Por eso, en mi calidad de directora jurídica y de cumplimiento normativo y de miembro independiente del consejo de administración, considero que es necesario contar con un plan de protección de datos contrastado y probado mucho antes de que tus datos se vean comprometidos. Para ayudarte en este proceso, a continuación te indico cuatro pasos que yo seguiría a la hora de evaluar y responder ante un ataque:
N.º 1: Protege tu perímetro. Ante el primer indicio de un ataque, tienes que cerrar la puerta de un portazo y detener la hemorragia.CrowdStrike estimó recientementeque la ventana de ataque es de 84 minutos. Ese es el tiempo del que dispones antes de que los datos queden inutilizados, sean sustraídos o destruidos. No hay tiempo para debatir y, en el momento en que tengas que cerrar todos los puntos de entrada y acceso a tu empresa, un ataque de ransomware no puede ser la primera ocasión en la que reúnas al equipo multidisciplinar formado por los departamentos de TI, Seguridad, Asuntos Jurídicos y otros. Debes funcionar como una máquina bien engrasada y actuar con rapidez. Ensaya esto como si fuera un simulacro. Conoce qué activos tienes, a qué tienen acceso, y prepárate para cerrarlo todo.
#2 Evalúa los daños. Una vez que el perímetro esté asegurado, debes evaluar los daños. ¿Qué datos se han visto expuestos o han sido sustraídos? ¿Qué daños se han producido? ¿Cuál es tu obligación contractual en cuanto al mantenimiento y la protección de los datos de los clientes o usuarios? ¿Cómo te afecta esto en lo que respecta a la normativa sectorial, estatal, federal e internacional? Se avecinan más requisitos de divulgación y, como ha señalado recientemente PwC, su«Global Digital Trust Insights 2023», «solo el 9 % de los encuestados se muestra muy seguro de poder cumplir eficazmente todos los requisitos de divulgación». Cuanto antes se implique tu equipo en el proceso de planificación, evaluación y corrección, mejor.
#3 ¿Fuiste víctima o hubo negligencia por tu parte? ¿Dejaste el perímetro desprotegido? ¿Tenías controles de acceso o de seguridad deficientes? ¿Cuentas con un plan de protección de datos? ¿Cuándo fue tu último simulacro o prueba de sistemas? ¿Se aplicaban los controles adecuados para prevenir (o detectar rápidamente) el ataque? ¿Ofreces formación en concienciación sobre ciberseguridad a los empleados para que sepan identificar los intentos de phishing? Los clientes esperan que, cuando te faciliten sus datos, tú los protejas. Contar con un plan o una solución de protección de datos es el precio que hay que pagar por hacer negocios. Sin ello, no eres una víctima.
N.º 4: Comunícate. Comunícate. Comunícate. Sé transparente con tus partes interesadas clave. La rapidez con la que se da a conocer la información puede suponer un delicado equilibrio, ya que aún se está evaluando el impacto, identificando la causa raíz y aplicando medidas correctivas. Evidentemente, tu director general y los altos directivos deben estar al corriente lo antes posible, y deberás informar a tu consejo de administración. Pero las personas más importantes con las que debes comunicarte son aquellas afectadas por la violación de seguridad, como tus clientes, socios o empleados. Debes notificárselo lo antes posible.
En resumen: los atacantes están al acecho, cada día son más astutos y el tiempo no juega a tu favor. Estas medidas te ayudarán a detectar un ataque y a recuperarte más rápidamente, y te darán la seguridad de que has tomado medidas responsables y bien fundamentadas para proteger tus datos.
