Como parte de una serie de tres artículos con motivo del Día de la Protección de Datos de 2023 (véanse los artículos adjuntos de Jakub Lewandowski y Thomas Bryant), Bill Mew sostiene que existe un verdadero problema de aplicación de la normativa: la situación es como el «Lejano Oeste».
Las políticas, los marcos normativos y las normas solo resultan útiles si se cumplen, del mismo modo que las normativas y las leyes carecen de sentido si no se hacen cumplir. El problema en el ámbito de la protección de datos y la ciberseguridad es que, allí donde deberían aplicarse las normas, a menudo se ignoran, y allí donde se han promulgado leyes, es necesario reforzar su cumplimiento.
Los CISO (directores de seguridad de la información) tienen una tarea ingrata. El personal suele mostrarse reacio a cumplir las medidas de ciberhigiene que el CISO intenta imponer, pero cuando su falta de disciplina da lugar a una filtración, estos compañeros se apresuran a echarle la culpa al CISO. Además, aunque hay que cumplir normativas costosas y complejas, así como normas estrictas sobre la notificación de filtraciones, las autoridades, lejos de ayudar a gestionar cualquier incidente o a capturar a los verdaderos delincuentes, se limitan a utilizar los informes para imponer multas.
Desajuste funcional y cultural
Si se les preguntara, la mayoría de los empleados estarían de acuerdo en que las amenazas cibernéticas son un problema importante, pero en su trabajo diario se centran en indicadores de rendimiento orientados a los ingresos o al beneficio, como el ROI (retorno de la inversión). Estos son los indicadores con los que se mide su rendimiento individual y el de su unidad, y en los que se basan las políticas de incentivos de toda la empresa.
El CISO, por su parte, se centra en el rendimiento del riesgo (ROR). Teniendo en cuenta el presupuesto asignado y la tolerancia al riesgo de la organización, el CISO se centra en maximizar la seguridad y minimizar el riesgo.
La discrepancia entre la orientación hacia el ROR del CISO y la orientación hacia el ROI de prácticamente todos los demás puede poner al CISO en conflicto con el resto del equipo directivo. No solo puede acabar aislado (lo que yo denomino «CISOlation»), sino que también puede convertirse en chivo expiatorio cuando las cosas salen mal, incluso cuando se ignoran las advertencias.
Incentivos normativos perversos
En un artículo relacionado, Jakub Lewandowski [ENLACE] ha analizado la avalancha de nuevas leyes sobre privacidad y ciberseguridad que, según se prevé, supondrán una carga normativa considerable. El problema es que una normativa sin aplicación no solo carece de sentido, sino que resulta contraproducente. Al fin y al cabo, solo las empresas responsables cumplirán estas normas y, para ellas, esto supone un coste o un «impuesto de cumplimiento». Por su parte, las empresas irresponsables suelen optar por no respetar las normas. Si creen que el riesgo de que se apliquen las sanciones es escaso o nulo, esto se convierte en una fuente de ventaja competitiva que les permite ahorrar costes y está libre de riesgos.
El incumplimiento de la normativa está muy extendido y proviene de las altas esferas, como demuestran los frecuentes titulares sobre incidentes relacionados con los datos que sufren las grandes empresas tecnológicas o las multas que se les imponen. Dichas multas no parecen tener un efecto disuasorio, sino que las grandes empresas tecnológicas y muchas otras que han tenido la mala suerte de sufrir un incidente relacionado con los datos las consideran un coste adicional de su actividad empresarial.
Una vez más, las empresas responsables que hicieron todo lo posible por adoptar medidas razonables, pero que, lamentablemente, no pudieron evitar errores o ataques, corren el riesgo de ser multadas en cuanto notifiquen el incidente al regulador local. Por su parte, las empresas irresponsables que optan por incumplir la normativa simplemente evitarán notificar los incidentes e intentarán encubrirlos para eludir las multas. Las multas se han convertido, por lo tanto, más bien en un indicador rezagado de la mala suerte de las empresas responsables que en un indicador de la conducta indebida de las irresponsables.
Historial de inacción reguladora
La mayoría de las empresas de «Big Tech», atraídas por un régimen fiscal favorable, han optado por establecer su sede europea en Irlanda. Por lo tanto, el organismo regulador local, la DPC de Irlanda, es responsable de garantizar que cumplan con el RGPD y otras normativas similares. Ya sea por una financiación insuficiente, por la reticencia a crear problemas o, simplemente, porque se ve superada en recursos y en capacidad de presión por las empresas de «Big Tech», se ha considerado que la DPC de Irlanda ha sido ineficaz a la hora de exigirles responsabilidades.
En un caso destacado, las medidas que no adoptó contra Facebook se resolvieron finalmente en el Tribunal Superior Europeo en virtud de las sentencias «Schrems I» y «Schrems II». Al seguir sin tomar medidas ni aplicar estas sentencias, la DPC de Irlanda fue sancionada por el Parlamento Europeo en una votación de 451 a 1. Cuando nuevas presiones por parte de los reguladores del resto de Europa la obligaron a actuar tras un retraso de dos años, la multa que impuso a Facebook fue tan baja que tuvo que ser incrementada (diez veces) ante la insistencia de los demás reguladores.
La Defensora del Pueblo de la UE, Emily O’Reilly, acabó abriendo una investigación sobre la supervisión que lleva a cabo la Comisión Europea respecto a la aplicación de las normas de protección de datos en Irlanda. Ocho meses después, el Consejo Irlandés de Libertades Civiles (ICCL) criticó a la UE por su continua incapacidad para supervisar adecuadamente la aplicación del RGPD en Irlanda, mientras «los derechos fundamentales de todos los europeos penden de un hilo». En la actualidad se están dando pasos para retirar a Irlanda su responsabilidad en la regulación de las grandes empresas tecnológicas y centralizar, en su lugar, dicha aplicación.
Una actuación policial global ineficaz
Mientras tanto, el número y la complejidad de los ciberataques están aumentando de forma exponencial, al igual que el coste de su resolución. El Foro Económico Mundial (FEM) no solo ha instado recientemente a un uso más generalizado de los «simulacros de ciberseguridad» para poner a prueba la ciberseguridad y la capacidad de respuesta ante incidentes, sino que también defiende la necesidad de establecer normas globales para combatir la ciberdelincuencia.
Se estima que los daños causados por todas las formas de ciberdelincuencia, incluidos los costes de Recovery y reparación, ascendieron a 3 billones de dólares en 2015 y a 6 billones de dólares en 2021, y podrían alcanzar los 10,5 billones de dólares anuales para 2025.
El seguro cibernético no es la solución. El rápido aumento de las primas lo pone fuera del alcance de la mayoría de los compradores, pero incluso aquellos que pueden permitírselo suelen considerar que no merece la pena. Al mismo tiempo, no cabe esperar que el seguro cibernético cubra problemas sistémicos y, en cualquier caso, tiene el efecto perverso de agravar aún más los problemas graves.
Aunque casi todos los países han suscrito los acuerdos de las Naciones Unidas para combatir la delincuencia, incluida la ciberdelincuencia, algunos hacen la vista gorda y, en cambio, ofrecen refugios seguros desde los que operan los ciberdelincuentes. Si bien la mayor parte de la ciberdelincuencia tiene su origen en países como Rusia, Irán o Corea del Norte, estas actividades no se limitan a estas naciones rebeldes, sino que también se producen más cerca de casa. Además, países como China llevan a cabo importantes operaciones de espionaje, y Estados Unidos es responsable de gran parte de la vigilancia masiva a escala mundial, lo cual contraviene el RGPD y un sinfín de otras leyes.
Debemos empezar por la obligación de notificar las filtraciones de datos y los robos cibernéticos. Esta medida ya se ha puesto en marcha en EE. UU. con la Ley de Notificación de Incidentes Cibernéticos en Infraestructuras Críticas de 2022 y en la UE con la Directiva sobre la seguridad de las redes y los sistemas de información de 2018. No obstante, también existe una gran cantidad de otras normativas que obligan a los servicios de pago de telecomunicaciones, a los fabricantes de dispositivos médicos y a los proveedores de infraestructuras críticas a notificar las filtraciones.
Una vez que dispongamos de datos más precisos sobre el problema, podremos centrarnos en mejorar la eficiencia y la eficacia de la investigación, la persecución y la resolución judicial a nivel internacional. La Oficina de las Naciones Unidas contra la Droga y el Delito está promoviendo un Programa contra la Delincuencia Cibernética cuyos objetivos son los siguientes:
- Mayor eficiencia y eficacia en la investigación, el enjuiciamiento y la resolución judicial de los delitos informáticos, especialmente la explotación y el abuso sexual de menores en Internet, dentro de un marco sólido de derechos humanos.
- Una respuesta eficiente y eficaz a largo plazo por parte de todo el Gobierno frente a la ciberdelincuencia, que incluya la coordinación nacional, la recopilación de datos y marcos jurídicos eficaces, y que conduzca a una respuesta sostenible y a una mayor disuasión.
- Se ha reforzado la comunicación a nivel nacional e internacional entre el Gobierno, las fuerzas del orden y el sector privado, al tiempo que se ha incrementado la concienciación de la ciudadanía sobre los riesgos de la ciberdelincuencia.
Son objetivos loables. Sin embargo, aún estamos muy lejos de que las víctimas de delitos puedan llamar a la policía —ya sea a nivel local, nacional o internacional— con la esperanza de recibir ayuda práctica o de que se haga justicia. La realidad es que, en lo que respecta a los delitos informáticos, a menos que cuentes con especialistas en respuesta a incidentes del sector privado, estás solo ante el peligro.
- El personal rara vez aplica correctamente las medidas de ciberseguridad
- Las autoridades reguladoras no actúan de forma proactiva a la hora de detectar y combatir los incumplimientos.
- Los delincuentes están ganando en confianza, intensidad y sofisticación.
- La policía no puede actuar contra los delincuentes que operan desde refugios seguros
- Y los CISO son el chivo expiatorio por defecto cuando las cosas salen mal
En este entorno al estilo del «Salvaje Oeste», no hay ninguna caballería que venga al rescate, por lo que se espera que estés debidamente equipado y preparado para defenderte. Sigue los consejos del artículo de Thomas Bryant y aprende cómo afrontar mejor la situación. No hay nada que pueda sustituir a una ciberseguridad y una respuesta ante incidentes bien gestionadas.
