Prevenir las violaciones de datos
A las empresas se les confía mucha información personal cada día: se transmiten direcciones, datos personales y financieros, confiando en que estén bien protegidos y se mantengan seguros. Sin embargo, en el otro lado, el «oscuro», también hay un gran interés precisamente por estos datos. Los ataques a la infraestructura informática de las empresas son inevitables, y las violaciones de datos suelen ser el resultado.
Pero, ¿qué se entiende por violación de datos? Por un lado, es jurídicamente correcto remitirse a la definición del artículo 4 nº 12 del RGPD, que define la violación de datos como una «violación de datos personales».
«Violación de los datos personales»: una violación de la seguridad que provoque la destrucción, la pérdida, la alteración o la divulgación no autorizada de datos personales transmitidos, almacenados o tratados de otro modo, o el acceso a los mismos, ya sea accidental o ilícito.»
Del mismo modo, un incidente de seguridad se define desde la perspectiva de la seguridad de la información. Cualquier evento adverso que comprometa la confidencialidad, la disponibilidad y/o la integridad de los datos personales o de otro tipo, de la información, de los procesos empresariales, de los servicios informáticos, de los sistemas informáticos, de las aplicaciones informáticas y de la infraestructura informática constituye un incidente de seguridad.
En términos muy simplificados, esto significa que cualquier intrusión y/o acceso a las redes de la empresa en las que se almacenan datos personales (de clientes o empleados) por parte de usuarios no autorizados o ciberdelincuentes debe evaluarse como una violación de datos. En este caso, no importa si los datos se han filtrado o no. Los datos objetivo de estos ataques son, por ejemplo:
- Direcciones de correo electrónico
- Contraseñas
- Direcciones
- Nombres completos
- Fechas de nacimiento
- Tarjetas de crédito y débito
- Datos oficiales (por ejemplo, números de la seguridad social), etc.
El Reglamento General de Protección de Datos (RGPD) obliga a las empresas a responsabilizarse aquí del tratamiento de los datos personales. Adoptar medidas de seguridad preventivas y precauciones de protección de datos para evitar violaciones de datos es una tarea evidente de las empresas, o más exactamente: del responsable del tratamiento.
¿Qué consecuencias puede tener una violación de datos?
A menudo los responsables, las empresas, ni siquiera son conscientes del ataque y del alcance del incidente en un primer momento. Pero ya sabemos: «La ignorancia no es excusa». Si se cumplen los requisitos del artículo 33 del RGPD, las violaciones de datos deben notificarse a la autoridad de control competente.
En el peor de los casos, las violaciones de datos pueden dar lugar a multas extremadamente altas en términos del artículo 83 del RGPD.
Identifique las vulnerabilidades antes de que lo hagan otros.
En 2021, bastante más del 80% de las empresas en España se vieron afectadas por al menos un ciberataque con consecuencias a veces devastadoras (Informe de Defensa de Ciberamenazas). Por ello, es importante no cejar en los esfuerzos por aumentar la seguridad informática. Hay que planificar y aplicar estratégicamente medidas integrales para no dar ninguna oportunidad a los «hackers». Las pruebas de penetración pueden desempeñar un papel importante en este sentido.
Utilizando los métodos de los hackers criminales, pero de forma controlada y sin explotar las vulnerabilidades encontradas, el objetivo es mostrar a la empresa los posibles puntos débiles y de ataque antes de que puedan ser explotados por los ciberdelincuentes. Los riesgos para la empresa y la evaluación del esfuerzo para remediarlos se presentan en un informe final de los pentesters. Los costes de una violación de datos, así como las posibilidades de mitigación del riesgo, son mostrados, por ejemplo, por IBM en su Informe sobre violaciones de datos 2021.
Las conclusiones y la información contenida en un informe de pentest son enormemente útiles para adaptar la estrategia de seguridad en consecuencia y armarse de la mejor manera posible contra los peligros de un ciberataque y la violación de datos que es sinónimo de ello. El equipo de TI tiene así la oportunidad de revisar los procesos y comportamientos y adaptarlos si es necesario. Además, las pruebas de penetración pueden utilizarse para identificar y «practicar» los ataques de los hackers con el fin de defenderse eficazmente contra ellos en caso de ciberataque.
Con esta medida tan eficaz, usted da un gran paso adelante en la lucha contra las violaciones de datos provocadas por los ciberataques, cumple con sus obligaciones legales y puede afrontar posibles ataques con mucha más tranquilidad.
