Las Brechas de Seguridad y Medidas para Minimizarlas

Las brechas de seguridad son errores o fallos de funcionamiento en los sistemas de información que, sin duda, es preocupante, desde el punto de vista de la protección de los datos.

Diariamente muchas empresas alrededor del mundo se ven afectadas por brechas de seguridad, con consecuencias graves.

El Reglamento General de Protección de Datos (RGPD) define las violaciones de seguridad de datos personales como “toda violación de la seguridad que ocasione destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos.”

Por otro lado, para actuar ante las brechas de seguridad, lo primero es saber qué es y ser capaz de detectarlas e identificarlas.

Brechas de seguridad: incidente de origen accidental o intencionado

Se trata de errores, fallos o violaciones que, producidos en o contra un sistema informático, derivan en la destrucción, pérdida o alteración de datos personales.

Este incidente puede tener un origen accidental o intencionado y afectar a datos almacenados o en formato papel.

Debido a la evolución de los sistemas informáticos y a la aparición de diversas ciberamenazas, muchos virus y personas pueden dañar o atacar, dichos sistemas, con diferentes propósitos.

Y aunque muchas organizaciones han mejorado notablemente la seguridad, esto no quita que sean inmunes a errores o ataques.

Con la aplicación del RGPD surge la obligación de notificar las brechas, a menos que dicha violación constituya un riesgo para los derechos y las libertades de las personas físicas.

Una vez detectada la brecha, hay que analizarla muy bien para determinar la peligrosidad y el impacto en los individuos.

Para ello, es esencial que un equipo multidisciplinario se encargue, es decir, la entidad responsable del tratamiento, el Departamento de IT y otros potenciales interesados y, por supuesto, el Delegado de Protección de Datos, si la empresa tiene dicha figura.

Artículo 33 del RGPD

En el Reglamento General de Protección de Datos (RGPD), vigente desde mayo de 2018, se establece que el responsable del tratamiento debe notificar la brecha de seguridad a la autoridad de control.

Y esto se hace cuando el hecho implique un riesgo. La notificación debe realizarse dentro de las 72 horas desde que se constató la violación.

En España, la autoridad de control es la Agencia Española de Protección de Datos.

Tipos de brechas de seguridad

Las brechas de seguridad se caracterizan por vectores que buscan acceder a sistemas o datos protegidos.

En este sentido, los expertos aseguran que los tipos de ataques utilizados para realizar infracciones son:

• Denegación de servicio distribuida (DDoS): los atacantes toman el control de varios dispositivos para formar una botnet y luego lo utilizan para inundar un sistema de destino con tráfico, abrumando su ancho de banda y recursos del sistema.
• Ingeniería social: los ciberdelincuentes manipulan a los usuarios, engañándolos para que expongan sus datos. Un método de ataque común es el phishing, que consiste en enviar correos electrónicos o mensajes falsos, para que el usuario responda con información privada, haga clic en un enlace a un sitio malicioso o descargue un archivo adjunto dañino.
• Malware y ransomware: Se trata de infectar sistemas o puntos finales conectados con software malicioso, conocido como malware quer puede inyectarse mediante ingeniería social, explotando vulnerabilidades o aprovechando una autenticación débil. El malware se puede utilizar para comprometer un sistema o atacar con ransomware.
• Amenazas persistentes avanzadas (APT): Los piratas informáticos ejecutan un ataque y lo dirigen contra una organización específica durante semanas o meses y puede incluir una combinación de varias técnicas avanzadas.

 

¿Cuánto cuesta a una empresa este incidente?

Cuando se habla de brechas de seguridad, se suele analizar solo las consecuencias en equipos e información, pero casi nunca en las repercusiones económicas. Y valla que son bastante costosos.

IBM publicó recientemente un informe al respecto. En él, cuantifican los costes reales de las brechas de seguridad.

Para el estudio, los investigadores analizaron 524 infracciones que ocurrieron entre agosto de 2019 y abril de 2020, en organizaciones de todos los tamaños, en 17 geografías y 17 industrias.

Los asociados a una violación de datos solo e este año 2020 son, en promedio, unos 3,28 millones de euros.

Según el documento, las brechas de seguridad más costosas son las que afectan a empresas del sector de la salud, en promedio, de 6,7 millones de dólares.

En segundo lugar se encuentra el sector educativo, con 5,52 millones de euros; el farmacéutico, financiero y de comunicaciones, con 4,07 millones, 3,99 millones y 3,31 millones de euros respectivamente.

Y el sector público, con 1,27 millones de euros.

¿Qué hacer si detectas brechas de seguridad?

• Averiguar el origen: Identificar un incidente de seguridad puede hacerse a través de fuentes internas (dentro de la empresa) y externas (comunicación con proveedores, clientes, usuarios u otros).

Este primer paso permitirá identificar la naturaleza, clase, tipo y el nivel de riesgo al que se enfrenta la empresa.

• Clasificar los incidentes de seguridad: Esto te permitirá conocer el origen y los tipos de amenaza, perfil de usuarios y sistemas afectados, impacto del incidente, requerimientos legales.

Clasificado el incidente se deberá poner en marcha el proceso de respuesta, considerando las siguientes medidas:

• Contención: Toma de decisiones inmediatas en función de desarrollar una resolución del incidente.
• Solución / Erradicación: Permite identificar y mitigar todas las vulnerabilidades como por ejemplo eliminar un malware o desactivar cuentas de usuario vulneradas.
• Recuperación: Solucionada la brecha de seguridad y verificada la eficacia de las medidas adoptadas, se confirma el funcionamiento normal de las actividades y evita nuevos incidentes. Se implementan controles periódicos para hacer un seguimiento pormenorizado de los procesos.
• Notificar: cuando afecten a datos personales y supongan un alto riesgo para los derechos y libertades de las personas físicas, de conformidad con lo dispuesto en el artículo 33 RGPD. La notificación deberá realizarse a través del formulario publicado en la web de la AEPD.
• Elaborar un informe final: debe contener toda la información, plazos de actuación y medidas adoptadas para proceder al cierre de la brecha de seguridad.
• Mantener un registro de los incidentes: registrar los datos personales y el tipo de incidente, descripción del mismo, gravedad, estado y medidas adoptadas para su resolución.

 

Medidas para minimizar las brechas de seguridad

La mayoría de los incidentes de seguridad no corresponden a ciberataques sofisticados y en muchos casos podrían evitarse aplicando medidas básicas como las que se describen a continuación:

Contraseñas seguras y factor de autenticación

Establece una política de contraseñas para acceder a los sistemas. Evita almacenarlas en sistemas sin cifrar, actualízalas de forma periódica y no las reutilices.

También puedes hacer uso de un segundo factor, que implica una prueba adicional para realizar la identificación, como un elemento biométrico, código pseudoaleatorio o de un solo uso establecido para cada usuario.

Realiza periódicamente copias de seguridad

Las copias de seguridad son fundamentales para recuperarse de incidentes y se deben establece de forma minuciosa y a través de una política elaborada por la misma organización.

Actualiza los sistemas

Se trata de una medida efectiva, puesto que los fabricantes están continuamente aplicando parches y mejoras a medida que detectan los problemas.

También se recomienda actualizar los programas que utilizas en dispositivos, de forma periódica y documentada.

Cifrados de dispositivos

Se recomienda, como medida adicional, que los dispositivos, que se puedan extraviar o ser objeto de robo, estén cifrados.

Aplica para teléfonos móviles, tabletas, memorias USB, discos duros externos y copias de seguridad.

Conclusión: Define una política de seguridad

Nadie está totalmente a salvo de sufrir algún ataque informático o un fallo de seguridad. En todo caso, hay que adoptar las medidas técnicas y organizativas necesarias para reducirlas al máximo.

También hay que tener una política de seguridad definida y un protocolo que dé respuesta ante incidentes.

Las empresas deben ser conscientes de que los ciberdelincuentes actúan con impunidad cuando no se les detecta a tiempo.

Que falle la seguridad o que se pueda producir una brecha no sólo se puede dar en la información que guardas en servidores sino también en archivos borrados. Por ello en materia de eliminación hay que tener unos procedimientos seguros.

Por otro lado, hay que tener en cuenta que además de las pérdidas económicas que puede generar el extravío de información, también se pone en riesgo el negocio y se ocasiona un daño serio a la imagen del mismo.