Para prevenir y mitigar estos riesgos, es necesario contar con un conjunto de normas de uso interno que regulen el comportamiento y las responsabilidades de todos los miembros de la organización en relación con la seguridad de la información.

Estas normas deben abarcar los siguientes aspectos:

– La clasificación de la información según su nivel de confidencialidad y sensibilidad, y las medidas de protección adecuadas para cada tipo de dato.
– El uso seguro y responsable de los dispositivos, equipos y redes corporativas, así como de las aplicaciones y servicios externos que se utilicen para el desarrollo de la actividad empresarial.
– La concienciación y formación continua de los empleados sobre los riesgos y las buenas prácticas en materia de ciberseguridad, así como la creación de una cultura de seguridad en la organización.
– La gestión de los recursos humanos, desde el proceso de selección hasta la salida o cambio de puesto, para garantizar que se cumplan las normas de uso interno y se respeten los derechos y obligaciones de los trabajadores.
– La relación con los proveedores y terceros que accedan o manejen información o recursos de la empresa, estableciendo acuerdos y cláusulas contractuales que aseguren el cumplimiento de las normas de uso interno y las normativas legales vigentes.
– La continuidad del negocio ante posibles incidentes o emergencias que afecten a la seguridad de la información, mediante la elaboración y actualización periódica de un plan director de seguridad que contemple las acciones preventivas, correctivas y recuperativas necesarias.
– El cumplimiento legal de las normativas nacionales e internacionales que regulan la protección de datos personales, la seguridad de las redes y sistemas de información, el comercio electrónico, la propiedad intelectual y otros aspectos relacionados con la ciberseguridad.

Las normas de uso interno son una herramienta fundamental para garantizar la ciberseguridad en mi empresa, pero no son suficientes por sí solas. Es imprescindible que se implementen y se revisen con regularidad, que se adapten a las necesidades y características específicas de cada organización, y que se complementen con otras medidas técnicas, organizativas y legales que refuercen la seguridad de la información.

La entrada Cómo pueden garantizar las normas de uso interno la ciberseguridad en mi empresa (I) se publicó primero en Adaptación RGPD.

La notificación de la mencionada brecha debe realizarse en un plazo máximo de 72 horas desde que se tiene constancia de la misma, salvo que se pueda demostrar que ésta no supone un riesgo para los interesados. La notificación debe incluir información sobre la naturaleza, las causas, las consecuencias y las medidas adoptadas o previstas para solucionar la brecha y mitigar sus efectos . La notificación debe realizarse mediante el formulario electrónico habilitado por la autoridad de control competente.

Además de notificar a la autoridad de control, el responsable del tratamiento tiene la obligación de comunicar la brecha a los interesados cuando ésta suponga un alto riesgo para sus derechos y libertades, salvo que se den algunas excepciones previstas en el RGPD. La comunicación debe realizarse sin dilación y de forma clara y sencilla, explicando la naturaleza de la brecha y las recomendaciones para protegerse de sus posibles efectos negativos.

La notificación y la comunicación de las brechas de seguridad tienen como finalidad proteger los derechos y libertades de los interesados, garantizar la seguridad jurídica de los responsables y crear un entorno más resiliente basado en el conocimiento de las vulnerabilidades en los tratamientos.

La entrada La importancia de notificar una brecha de seguridad a la autoridad de control se publicó primero en Adaptación RGPD.

Uno de los aspectos clave para una respuesta efectiva a un ciberataque es la obtención y el análisis de las pruebas digitales que permitan identificar el origen, el alcance, el impacto y el responsable del ataque. Esto se conoce como análisis forense digital, y consiste en la aplicación de técnicas científicas y metodológicas para examinar los datos almacenados o transmitidos por dispositivos electrónicos.

El análisis forense digital tiene como objetivos principales:

– Preservar la integridad y la cadena de custodia de las pruebas digitales.
– Extraer e interpretar la información relevante para el caso.
– Reconstruir los hechos y las acciones realizadas por el atacante o la víctima.
– Generar un informe técnico y legal que sustente las conclusiones y las recomendaciones.

Para obtener la prueba de un ciberataque y realizar el análisis forense digital se deben seguir una serie de pasos que se pueden resumir en:

– Preparación: consiste en definir el alcance, los objetivos, los recursos y las herramientas necesarias para el análisis. También implica establecer los protocolos de comunicación, coordinación y documentación del proceso.
– Identificación: consiste en localizar y aislar los dispositivos, los sistemas y las redes afectados por el ciberataque. También implica determinar el tipo, la categoría y la prioridad de las pruebas digitales a recoger.
– Preservación: consiste en proteger las pruebas digitales de cualquier alteración, pérdida o destrucción. También implica realizar copias de seguridad o imágenes forenses de los dispositivos o sistemas comprometidos.
– Extracción: consiste en acceder y recuperar los datos relevantes para el caso de las pruebas digitales. También implica aplicar técnicas de descifrado, descompresión o recuperación de datos borrados o dañados.
– Análisis: consiste en examinar e interpretar los datos extraídos para identificar patrones, anomalías, evidencias o indicios que permitan reconstruir los hechos y las acciones relacionadas con el ciberataque. También implica correlacionar y contrastar la información obtenida con otras fuentes o pruebas.
– Presentación: consiste en elaborar un informe técnico y legal que resuma los hallazgos, las conclusiones y las recomendaciones del análisis forense digital. También implica comunicar y explicar los resultados a las partes interesadas o involucradas en el caso.

El análisis forense digital es una disciplina compleja y multidisciplinaria que requiere de conocimientos técnicos, jurídicos y éticos. Además, debe realizarse siguiendo unos estándares de calidad, rigor y transparencia que garanticen la validez y la admisibilidad de las pruebas digitales ante un tribunal o una autoridad competente. Por eso, es recomendable contar con profesionales especializados y certificados en este campo para obtener la prueba de un ciberataque y realizar el análisis forense digital, para determinar tanto la autoría del ataque, como la comunicación de la brecha de seguridad a fin de informar a la autoridad competente.

Si crees que has sido víctima de un delito informático y necesitas saber qué ha ocurrido, porqué e intentar descubrir quién lo ha cometido, solicítanos presupuesto sin compromiso en Adapta RGPD

La entrada Pruebas de un ciberataque con el análisis forense digital se publicó primero en Adaptación RGPD.

La entrada Chat GPT: qué es y qué riesgos supone para la Ciberseguridad se publicó primero en Adaptación RGPD.

Fuente: AEPD

La entrada Brechas de datos personales: entornos de desarrollo y preproducción se publicó primero en Adaptación RGPD.

En esta guía se dan las indicaciones necesarias al responsable del tratamiento para notificar, en su caso, a la autoridad de control competente, las brechas de seguridad.

Si el incidente de seguridad, no afecta a datos personales o a tratamientos de datos personales, no se trataría de una brecha de datos. Tampoco se consideran brechas, cuando el tratamiento se lleve a cabo por personas físicas en el ámbito doméstico.

No es obligatorio notificar todas las brechas. El RGPD prevé una excepción cuando el responsable pueda garantizar que es improbable que la brecha de datos personales entrañe un riesgo.

Por otro lado, en la guía se hace referencia a que si lo que se pretende es denunciar por la posible vulneración de la normativa de un empleado, o tercero, el canal utilizado es el de presentación de reclamaciones.

El responsable del tratamiento es quién debe notificar a la autoridad de control. Aunque, este puede autorizar a una persona física, o representante. El encargado de tratamiento que ha sido objeto de la brecha, también podrá notificar a la autoridad de control siempre y cuando así venga establecido en el contrato.

En la sede electrónica encontramos el formulario en línea que permite hacer las notificaciones telemáticas.

IMPORTANTE

En todo tratamiento hay que determinar el riesgo que para los derechos y libertades puede suponer que se materialice una brecha de datos personales.

La entrada Guía para la notificación de brechas de datos personales a la autoridad de control (I) se publicó primero en Adaptación RGPD.

La confidencialidad se refiere a que la información solo sea accesible al personal, entidades o sistemas autorizados para su acceso. Como ejemplo de esta falta de confidencialidad sería la divulgación no autorizada a través de las redes sociales de información confidencial, o el acceso por parte de un empleado a la información crítica de la empresa sin permiso asignado.

La disponibilidad de la información se refiere a que esta siempre esté accesible cuando la vayamos a utilizar. Como ejemplo de esta falta de disponibilidad, cuando existe un ataque de denegación de servicio y no podemos acceder a la información.

 Y, por último, la integridad de la información supone que la información sea correcta y no sufra modificaciones no controlados o errores. Como ejemplo, podría ser la alteración de forma fraudulenta de los ficheros del sistema informático mediante la explotación de una vulnerabilidad.

IMPORTANTE

Se deben evaluar estas tres dimensiones de la información en los activos de información que emplea la empresa para implantar las medidas adecuadas.

La entrada Los pilares de la Seguridad de la Información: confidencialidad, disponibilidad e integridad se publicó primero en Adaptación RGPD.

Poner en marcha el plan de respuesta de incidentes es otra de las recomendaciones que nos ayudará a minimizar los daños. En el plan de respuesta se habrán delimitado las pautas que se deben seguir, una de ellas, es la recogida de evidencias para una posible denuncia.

Estas son las cinco acciones que seguiremos para conseguir recuperar la actividad:

– Aislar el equipo de la red; con ello evitaremos que el ciberataque se propague a otros dispositivos.

– Cambiar todas las contraseñas; éstas han de ser robustas y únicas para cada servicio. Una vez eliminado el ransomware hay que volver a cambiarlas.

– Clonar el disco duro; se podrá mantener el dispositivo original para recuperar los datos sobre el clon. Se puede extraer el disco duro afectado y conservarlo como prueba.

– Desinfección del disco clonado; se tiene que utilizar un antivirus o antimalware actualizado.

– Recuperar y restaurar los equipos con el software original cuando sea posible, sino se arrancaría en modo seguro para poder recuperar la copia de seguridad.

IMPORTANTE

En esta página puedes encontrar herramientas de ayuda para descifrar el equipo www.nomoreransom.org

La entrada Acciones para evitar pérdidas cuando sufrimos un incidente de seguridad se publicó primero en Adaptación RGPD.

Los puntos definidos a continuación, se adaptarán al escenario específico dependiendo de la gravedad del incidente y del contexto.

1ª Fase Inicial: El momento posterior a la detección del incidente es clave para reducir el impacto. Se debe informar internamente de la situación a todo el personal y dar a conocer el protocolo de actuación.

2ª Fase de lanzamiento: El gabinete de crisis, o en su caso, personal propio o externo, inicia el protocolo interno de gestión del incidente realizando acciones coordinadas.

3ª Fase de auditoría: Realización de una auditoría interna y externa para determinar el alcance de la publicación de la información extraída entre otros.

4ª Fase de evaluación: Actuar con agilidad y establecer una planificación detallada de las principales tareas para cortar la filtración y evitar nuevas fugas de información.

5ª Fase de mitigación: Aplicar todas las tareas del plan e informar a las autoridades competentes y principales afectados.

6ª Fase de seguimiento: Valorar y auditar los resultados del plan de acción.

IMPORTANTE

Uno de los principales retos de la empresa es la detección temprana de las fugas de información y controlar la situación con la mayor rapidez.

La entrada Gestión de una fuga de información (II) se publicó primero en Adaptación RGPD.

Estas fugas de información pueden ser involuntarias y no intencionadas, cuando, por ejemplo, se envía un correo a múltiples destinatarios sin copia oculta, o bien se pierde un dispositivo móvil o USB con información confidencial sin cifrar. Las fugas se consideran deliberadas cuando es un ciberdelincuente el que consigue acceder a los sistemas de la empresa, o bien, el conocido como insider, cuando se trata de un exempleado que pretende generar una pérdida de reputación.

¿Cuáles son los escenarios principales donde se dan estas fugas? La información se puede extraer de las siguientes formas:

• Dispositivos móviles y de almacenamiento externo.
• Correo electrónico
• Redes inalámbricas no confiables
• Aplicaciones en la nube o herramientas colaborativas
• Redes sociales
• Malware; troyanos, spyware, keyloggers
• Credenciales de acceso inseguras

IMPORTANTE
En el caso de ser víctima de una fuga de información o cualquier otra amenaza es recomendable interponer una denuncia ante las Fuerzas y Cuerpos de Seguridad del Estado.

La entrada Tipos de fuga de información y los escenarios posibles (I) se publicó primero en Adaptación RGPD.