Ciberdelinqüència i dades: fins a quin punt ens hauria de preocupar?
Ciberatac i dades. Quines lliçons hem d'aprendre
El virus WannaCrypt es va propagar divendres de forma indiscriminada, començant pel Regne Unit i Espanya i arribant a llocs web a tot el món. Això ho va fer utilitzant fragments de dades robades de la NSA als EUA.
El president i director jurídic de Microsoft, Brad Smith, va assenyalar les lliçons que hem de donar per apreses de l?atac que ha afectat empreses i serveis governamentals de tot el món.
Aquest atac proporciona un altre exemple més de per què les vulnerabilitats dels governs són un problema. Aquest és un patró emergent el 2017. Hem vist vulnerabilitats emmagatzemades per la CIA aparèixer a Wiki Leaks i ara aquesta vulnerabilitat robada de la NSA ha afectat clients de tot el món”, ha assenyalat.
Aquest atac representa un enllaç desconcertant entre les dues formes més greus d'amenaces de ciberseguretat al món actual: l'acció de l'Estatnació i l'acció criminal organitzada. Per això, els governs del món han de tractar aquest atac com una crida datenció.
Al febrer, Microsoft va plantejar crear-ne una “Convenció Digital de Ginebra, precisament per protegir el món d'aquestes amenaces, incloent-hi la necessitat que els governs informin de les seves vulnerabilitats els proveïdors, en lloc d'emmagatzemar-les, vendre-les o explotar-les.
“En poques paraules, les armes cibernètiques són l'equivalent digital a emmagatzemar un arsenal nuclear i mantenir-lo en una caixa forta (o mantenir un virus mortal a la nevera de l'oficina)”, ha dit rotundament Smith.
Què implica un ciberatac per a les Empreses Espanyoles?
Encara que un ciberatac o un “segrest de dades” (com es diu en alguns cercles, per haver de pagar un muntant de diners a canvi de l'alliberament dels arxius) pot suposar sempre una feina per les empreses, si aquestes compleixen rigorosament amb les mesures de seguretat que imposa la Llei Orgànica de Protecció de Dades i la seva normativa de desenvolupament, quantitat que demanen els ciberatacants.
La protecció de les dades com a prevenció a ciberatacs
La LOPD (Llei Orgànica de Protecció de Dades) obliga totes les organitzacions, empreses i institucions a garantir la seguretat de les dades de caràcter personal que tracten i emmagatzemen als seus sistemes d'informació, i classifica aquestes dades en tres nivells de seguretat. Bàsic, Mitjà i Alt.
Per a cada nivell s'imposen una sèrie d'obligacions en matèria de Backup des de la realització del Backup, passant per garantir la restauració de les dades al moment anterior de produir-se la pèrdua, fins a l'obligació de disposar d'un Backup externalitzat.
Per a les dades de nivell bàsic (qualsevol tipus de dada, fins i tot les de facturació, per la qual cosa afecta qualsevol activitat, associació, o professió liberal), serà obligatori fer còpies de seguretat almenys una vegada a la setmana (art. 94.1 Reglament 1720/2007). Aquestes còpies, a més, han de garantir la restauració de les dades al moment just anterior a la pèrdua (art. 94.1 Reglament 1720/2007).
Si, a més, l'empresa disposa de dades de nivell alt (dades especialment protegides, com la salut, la formació, la selecció de personal, els recursos humans, la vida sexual) sempre s'ha de disposar d'una còpia externa, és a dir, fora de les instal·lacions de l'empresa (art. 102 Reglament 1720/2007).
Però, a més, la normativa i la mateixa Agència de Protecció de Dades estimen que l'empresari haurà de prendre totes les mesures necessàries per garantir la seguretat de les dades. Això implica que si a la nostra empresa es generen cada dia (o cada hora) multitud de noves dades, les còpies s'hauran de fer amb més o menys freqüència. A més, haurem de buscar un sistema perquè aquestes dades es vagin sincronitzant en algun suport (físic o al núvol), que no es pugui veure afectat per un atac cibernètic.
I el Reglament de la UE què diu?
Per si això fos poc, l'entrada en vigor del Reglament General de Protecció de Dades (UE), el compliment del qual serà exigible a partir del 25 de maig del 2018, amplia les obligacions d'implantació de mesures de seguretat per a totes les empreses europees, els autònoms i l'Administració Pública entre d'altres. Aquestes mesures inclouen l'obligació d'implementar xifrats i sistemes de 2FA fins i tot sobre dades considerades de nivell bàsic quan el risc ho exigeix. Altres subjectes també obligats són els ubicats fora de la Unió Europea que dirigeixin els seus serveis a usuaris de països membres o que rebin dades personals des d'Europa.
Per tant, si la nostra empresa està correctament adaptada a la LOPD, i especialment al nou reglament, no hauria de tenir mai a pagar per recuperar els fitxers en cas d'un ciberatac, ja que podria recuperar les dades emmagatzemades en qualsevol moment.
Ciberatac i dades són dues cares d'una mateixa moneda. Per evitar un ensurt i prevenir de mals majors pots assessorar-te de les obligacions i les necessitats que puguis tenir en la protecció de les dades personals de la teva empresa AQUI.
Departament de Litigis Civils i Comercials
Departament d'Insolvència
Noves tecnologies
Recuperació de deutes i pagaments endarrerits