驴Qu茅 hacer? Respuesta a la infracci贸n
Hace a帽os, una empresa pod铆a planificar la protecci贸n de su negocio. El departamento de TI reforzaba la seguridad del sistema y, en la mayor铆a de los casos, exist铆a una garant铆a razonable de que la empresa estaba relativamente a salvo. Las cosas han cambiado a medida que la tecnolog铆a ha avanzado. Este avance ha tenido un precio. El
El r谩pido avance tecnol贸gico no ha propiciado un entorno propicio para la aplicaci贸n de medidas de seguridad. Esta falta de medidas de seguridad ha dado lugar a diversos problemas. Esto se ha puesto de manifiesto en numerosas filtraciones de datos. Es evidente que este problema ha cobrado mayor importancia a medida que las filtraciones se han vuelto m谩s frecuentes y las empresas facilitan una mayor cantidad de datos susceptibles de ser sustra铆dos.
En caso de una filtraci贸n, lo primero que hay que hacer es verificar que dicha filtraci贸n se haya producido efectivamente. Si as铆 fuera, la empresa debe analizar qu茅 datos se han visto afectados. No todas las filtraciones deben notificarse. Si se tratara de datos de car谩cter confidencial de un consumidor, ser铆a necesario notificarlo. El umbral de notificaci贸n se alcanzar铆a si los datos incluyeran n煤meros de la Seguridad Social, n煤meros de permiso de conducir, n煤meros de cuentas bancarias, contrase帽as y otra informaci贸n de identificaci贸n personal.
Es posible que la empresa tambi茅n est茅 obligada a notificar a las partes afectadas en un plazo determinado. Este plazo var铆a a nivel estatal y federal, dependiendo del asunto y de la jurisdicci贸n. Muchos estados, en lugar de fijar una duraci贸n concreta para este plazo, se limitan a indicar que debe realizarse en un plazo 芦razonable禄. Por lo general, se considera que este plazo es de 45 d铆as. Si la informaci贸n est谩 sujeta a la HIPAA, es posible que exista un plazo espec铆fico para la notificaci贸n.
Una vez establecido y acordado el calendario, hay que redactar la notificaci贸n propiamente dicha. Esto tambi茅n depende de la jurisdicci贸n. Algunos estados tienen requisitos que deben cumplirse. Por ejemplo, la ley de notificaci贸n de Rhode Island establece seis requisitos que deben cumplirse. Es posible que haya que utilizar una plantilla o un modelo de carta.
Estos incidentes no van a disminuir ni en frecuencia ni en gravedad. Dado que los atacantes han convertido esto en un negocio, ha demostrado ser una fuente de ingresos y una herramienta de ataque muy utilizada.
Acerca de Charles Parker II
Charles Parker II lleva m谩s de una d茅cada trabajando en el 谩mbito de la seguridad de la informaci贸n, realizando pruebas de penetraci贸n y evaluaciones de vulnerabilidades, prestando asesoramiento a peque帽as y medianas empresas para mitigar y resolver sus problemas, y elaborando pol铆ticas y procedimientos de TI y seguridad de la informaci贸n. La trayectoria profesional del Sr. Parker abarca su labor en los sectores bancario, sanitario, automovil铆stico y de selecci贸n de personal.
El Sr. Parker se ha matriculado y ha obtenido los t铆tulos de MBA, MSA, JD y LLM, y se encuentra en la fase final del doctorado en Seguridad y Protecci贸n de la Informaci贸n (ABD) por la Universidad de Capella. Entre las 谩reas de inter茅s del Sr. Parker se encuentran la criptograf铆a, los antivirus y los sistemas SCADA.
