En 1986, Estados Unidos promulgó una ley conocida como Ley de Fraude y Abuso Informático (CFAA, por sus siglas en inglés) para hacer frente al aumento de los delitos informáticos. La CFAA penaliza muchos delitos informáticos, como la piratería, el acceso no autorizado a ordenadores y redes informáticas, y el uso de ordenadores para cometer fraude o acceder a información de seguridad nacional.

Conforme los delitos informáticos han ido evolucionando, la ley se ha ido modificando para incluir actividades ilegales más recientes, como el tráfico de contraseñas y códigos de acceso, la distribución de códigos maliciosos y los ataques de denegación de servicio. Países de todo el mundo han seguido su ejemplo, promulgando leyes y reglamentos para proteger los sistemas informáticos y la información personal de los ciberataques.

A pesar de las leyes y de las amenazas de acciones legales, el número de organizaciones criminales y de delincuentes informáticos solitarios se ha disparado, y los expertos en seguridad calculan que se produce un ataque cada 11 segundos. Las empresas que ofrecen servicios esenciales, productos financieros o infraestructuras críticas, como Colonial Pipeline, Capital One, y CNA Financial Corp, son demasiado grandes y públicas como para no denunciar públicamente los ciberincidentes, pero alrededor del 85% de los ciberdelitos no se denuncian, según el Departamento de Justicia de Estados Unidos.

Esto sucede por multitud de razones. Algunas empresas pueden no ser conscientes deque han sido atacadas. Otras, como Uber, encubren los incidentes a sabiendas, creyendo que pagar el rescate les costará menos que todos los gastos asociados a una investigación y a la reacción pública. Puede que teman los daños a su reputación, la pérdida de confianza de clientes e inversores y las acciones legales si se demuestra su negligencia, o puede que piensen que mantener el incidente en secreto evitará exponer secretos comerciales.

Aunque reconocer un ciberincidente puede ayudar a prevenir daños mayores, identificar el origen del ataque y proporcionar a los expertos en seguridad ideas sobre cómo prevenir futuros ataques, muchas empresas optan por no hacerlo. Esta situación ha llevado a numerosos países a decidir que deben aplicar normativas adicionales.

Cómo cumplir la normativa

En todo el mundo, las normas en materia de ciberseguridad comparten similitudes, pero también existen diferencias cruciales. Por ejemplo, el RGPD se aplica a las empresas que manejan datos personales de ciudadanos de la UE, independientemente de la ubicación de las empresas, mientras que la CCPA solo se aplica a las empresas que realizan negocios en California. Algunas normas abarcan todos los datos personales, mientras que otras solo protegen la información personal utilizada con fines comerciales.

Independientemente de los diferentes marcos y leyes vigentes, las empresas y los proveedores de servicios deben seguir cumpliendo la legislación y pueden hacerlo de forma responsable centrándose en una serie de estrategias y procesos clave.

Conocer la normativa

La ignorancia no es una excusa que acepte ningún gobierno, inversor o cliente. Las empresas deben invertir tiempo y recursos en familiarizarse con la normativa de su lugar de residencia y con cualquier otra relativa a la ubicación de sus clientes. Las organizaciones también pueden tener que cumplir marcos de seguridad específicos del sector, como la ley estadounidense HIPAA para el sector sanitario o NERC-CIP para los sectores de servicios públicos y energía.

Para las empresas con menos recursos, trabajar con consultores de seguridad y abogados puede ser la mejor manera de comprender plenamente estos marcos regulatorios y sus repercusiones en la infraestructura y la protección de datos.

Llevar a cabo una auditoria

Una auditoría puede proporcionar información valiosa sobre los riesgos y la estrategia de seguridad de una empresa al identificar vulnerabilidades y puntos débiles en la seguridad de sus redes y aplicaciones, en la protección de datos y en los controles de acceso. También puede ayudar a evaluar el cumplimiento de la legislación y la normativa en materia de ciberseguridad, así como los planes de respuesta a incidentes y la capacidad de la empresa para detectar ciberincidentes, responder a ellos y recuperarse.

La auditoría debería tener como resultado recomendaciones prácticas, tales como qué herramientas deberían incorporarse y qué controles de seguridad, políticas y procedimientos deberían implantarse o perfeccionarse para reforzar la seguridad y reducir el riesgo.

Seleccionar las herramientas y los procesos adecuados

Dado que la normativa no depende de ninguna tecnología concreta, las empresas pueden elegir los proveedores de soluciones que prefieran. Todas las empresas deben utilizarfirewalls, antivirus y software antimalware. Los sistemas de información de seguridad y gestión de eventos (SIEM) pueden ser increíblemente útiles, ya que supervisan el tráfico de red y los datos de los registros, detectan incidentes de seguridad y automatizan la respuesta a las amenazas.

Una de las soluciones de cumplimiento más valiosas es un centro de operaciones de seguridad (SOC) gestionado que combine herramientas tecnológicas con procesos de buenas prácticas y un equipo de analistas, buscadores de amenazas y otros especialistas en seguridad. Los SOC cubren todos los ángulos de la seguridad proporcionando vigilancia continua 24 horas al día, 7 días a la semana, detección de amenazas, servicios forenses digitales y de respuesta a incidentes, análisis de registros, gestión de vulnerabilidades e inteligencia sobre amenazas. Los SOC también incluyen supervisión del cumplimiento, gestión de vulnerabilidades, inteligencia sobre amenazas e informes, todo lo cual ayuda a las empresas a evitar sanciones, proteger proactivamente los sistemas y demostrar su compromiso con la ciberseguridad.

Dependiendo de la normativa del sector, las empresas también pueden recurrir a pruebas de detección de vulnerabilidades y de penetración, sistemas de prevención de pérdida de datos (DLP), sistemas de control de acceso y gestión de identidades, y tecnologías de cifrado para garantizar el cumplimiento de la normativa.

Una Visión General de las Regulaciones Actuales de Ciberseguridad y Protección de Datos

Aunque el cuadro siguiente no es exhaustivo, debería proporcionar algunas ideas y orientaciones a las empresas.

En términos simples, un SOC supervisa los datos de registro, manteniendo el cumplimiento de las organizaciones bajo control. En función de los requisitos normativos, cada organización debe configurar los registros para cumplir las normas. Una vez configurados y enviados a un SIEM, un SOC supervisa y escribe reglas para detectar las actividades que no cumplen los requisitos normativos.

Conclusión

Estos son solo algunos ejemplos de las numerosas normativas que deben cumplir las empresas en el panorama digital actual. Comprender las disposiciones clave e implantar las medidas de protección adecuadas, como establecer normas mínimas de seguridad y exigir que se informe de los incidentes, forma ahora parte de los requisitos más recientes de los reguladores de todo el mundo que buscan minimizar el impacto de los ciberataques.

Constantemente se redactan y aprueban nuevas normativas, como CIRCIA en Estados Unidos. Además, hay muchos países, como Singapur, que están empezando a animar a las empresas a contratar únicamente a proveedores de servicios de ciberseguridad autorizados porque entienden que contar con la ayuda de un proveedor de servicios para mantener a las empresas al día en materia de cumplimiento simplifica el proceso y garantiza que las organizaciones estén al corriente de los últimos cambios en la normativa.