---

La ciberseguridad es una materia en constante cambio dentro del sector legal

En un tema tan amplio y evolutivo como la ciberseguridad, es natural que la orientación y los principios de liderazgo tengan una gama igualmente amplia. En lugar de buscar una voz para opinar sobre un tema tan cargado, en su lugar escucharemos una mezcla ecléctica de opiniones que son realmente representativas de los roles multifacéticos que los abogados (y no abogados). Entonces, con estos parámetros en mente, aquí hay cuatro tomas diferentes de lo que los abogados deberían considerar al pensar en un riesgo que, en las últimas dos décadas, ha reformado fundamentalmente no solo el panorama empresarial global tal como lo conocemos, sino también todos los anteriores concepciones sobre el riesgo comercial, el liderazgo y el papel de un abogado en relación.

Artículo completo

Ciberseguridad, derecho y liderazgo: cuatro perspectivas únicas

Tomar la iniciativa en la gestión de riesgos de amenazas cibernéticas

Como líder en ciberseguros, tenemos un asiento de primera fila para los riesgos en evolución que enfrenta nuestro asegurado cada día. Durante la última década, hemos visto el aumento y la caída de varias causas de pérdida y compromisos de vulnerabilidades específicas de la industria. Más recientemente, también hemos sido testigos del uso criminal de malware y técnicas de ingeniería social para explotar un riesgo común para cualquier organización, el elemento humano.

Una revisión de nuestra frecuencia y severidad de pérdida cibernética muestra cómo todas las organizaciones en cualquier clase de negocio tienen mucho en juego en estos días. El riesgo cibernético, que alguna vez se percibió como un problema solo para grandes corporaciones susceptibles a ataques dirigidos desplegados por piratas informáticos sofisticados, ahora debería ser una prioridad para las empresas de todos los tamaños.

El riesgo cibernético, ahora debería ser una prioridad para las empresas de todos los tamaños.

La buena noticia es que un número cada vez mayor de líderes corporativos ha aumentado la conciencia de que el riesgo cibernético es una preocupación definitoria, que requiere responsabilidad a nivel de la Junta. Las organizaciones que pueden mitigar las pérdidas financieras y el daño a la reputación son aquellas que tienen líderes que están involucrados en la supervisión de la gestión de riesgos cibernéticos y que enfocan a la empresa en la preparación para incumplimientos. Este es un largo camino desde los días en que las amenazas cibernéticas se consideraban un problema para el departamento de TI a resolver.

Nuestra experiencia muestra que el liderazgo corporativo, que reconoce que un posible incidente puede estar a la vuelta de la esquina, estará mejor preparado para minimizar su exposición. Desde una perspectiva de liderazgo, el primer paso para proteger a una organización del robo de datos es apoyar un programa integral de evaluación de riesgos, de modo que cuando una amenaza cibernética inevitable llame a su puerta, su gente esté preparada.

Desde una perspectiva de liderazgo, el primer paso para proteger a una organización del robo de datos es apoyar un programa integral de evaluación de riesgos

Las primeras pérdidas cibernéticas surgieron de dispositivos portátiles no encriptados, como computadoras portátiles y cintas de respaldo, particularmente en el espacio de la atención médica. Si bien no estaba claro que los delincuentes realmente estuvieran monetizando los datos de estas pérdidas, la respuesta a la violación y los costos de los procedimientos reglamentarios demostraron ser significativos. Una vez que estas pérdidas llamaron la atención de los reguladores de atención médica y los costos acumulados, los liderazgos en las entidades de atención médica comenzaron a reservar recursos e hicieron de la encriptación de datos una prioridad. Afortunadamente, después de eso, esas pérdidas comenzaron a desaparecer de la vista.

Los ciberdelincuentes que buscan ganancias financieras son oportunistas. Su comportamiento está determinado por el riesgo versus la recompensa. Una vez que una ventana en particular comienza a cerrarse, tienden a seguir adelante. A finales de 2014, los minoristas de marcas reconocidas comenzaron a sufrir numerosas violaciones de datos, donde los estafadores accedieron a los sistemas de punto de venta con malware de raspado de memoria. Aparentemente, cada semana a lo largo de 2015, otro minorista sufrió una violación importante de la tarjeta y los delincuentes monetizaron los números de tarjetas robadas en la web oscura. Fiel a la forma, después de que los líderes de la industria minorista comenzaron a priorizar la implementación del cifrado de extremo a extremo en el punto de venta, los ciberdelincuentes volvieron su atención a otros lugares.

Con el aumento del costo de la atención médica, los delincuentes comenzaron a apuntar a organizaciones de atención administrada y grandes sistemas hospitalarios, robando valiosos registros de salud del paciente. Los datos de atención médica se hicieron cada vez más valiosos en el mercado negro, donde se podían comprar medicamentos recetados caros. Los compradores de datos de atención médica utilizaron las credenciales de otra persona para buscar atención médica. Los registros de salud generalmente contienen datos, que se pueden usar con fines de robo de identidad, incluidos los números de seguro social y, por lo tanto, se consideran más valiosos que los números de tarjetas de crédito. Un mayor enfoque en las evaluaciones de riesgo de la empresa puso de relieve qué vulnerabilidades debían fortalecerse. Después de una serie de infracciones de atención administrada que se dispararon en 2015 y 2016, los delincuentes nuevamente parecían seguir adelante.

Si bien las infracciones minoristas y de atención médica siguen ocupando los titulares, hemos visto una nueva ola de pérdidas como resultado del compromiso del correo electrónico comercial y los esquemas de rescate, donde los delincuentes implementan esquemas de phishing para aprovecharse de nuestra inclinación por hacer clic en enlaces y archivos adjuntos.

En un compromiso de correo electrónico comercial, los delincuentes envían estafas de phishing con enlaces a lo que parece un sitio legítimo y le pide al usuario que proporcione sus credenciales. Una vez que se toma el control de la cuenta de correo electrónico, el criminal puede inducir a otros a transferir fondos a la cuenta financiera incorrecta o transferir información corporativa o personal confidencial. Concedido el acceso no autorizado, el criminal también puede examinar los archivos, obteniendo acceso a datos personales, lo que les permite adaptar otros correos electrónicos de phishing para un mayor efecto. Esto no solo puede resultar en transferencias electrónicas fraudulentas, sino que la organización comprometida puede incurrir en costos forenses sustanciales para determinar si se ha accedido a información personal confidencial y si existe una obligación de notificación.

En la misma línea, el rescate ha aumentado como una causa de pérdida en 2018 y 2019, con muchos eventos desplegados por delincuentes no calificados que usan un rescate como plataforma de servicio. Los atacantes persiguen organizaciones de todos los tamaños y en diversas industrias, lanzando una amplia red con cantidades de demanda de rescate que aumentan a seis cifras en algunos casos. Una vez en un sistema, los delincuentes restringen el acceso a las computadoras infectadas, encriptan los archivos en un disco duro y luego exigen el pago a cambio de las claves de descifrado.

Una vez más, está claro que las organizaciones centradas en la preparación y la conciencia de la seguridad pueden minimizar el impacto o prevenir estos incidentes. Las mejores prácticas comunes para frustrar los compromisos de correo electrónico de negocios incluyen:

• Implementación de autenticación multifactor para acceso remoto
• Limitaciones en el número de empleados con autoridad para presentar o aprobar transferencias electrónicas
• Protocolos estandarizados para la confirmación de solicitudes de transferencia de fondos; y
• Capacitación sólida sobre conciencia de seguridad para todos los empleados.

Las amenazas de ransomware pueden mitigarse mediante la segmentación adecuada de las copias de seguridad para evitar que el malware se propague e infecte. Si la organización puede volver a funcionar con éxito, puede evitar pagar el rescate. Otras mejores prácticas para evitar pérdidas de rescate incluyen:

• Entrenamiento de conciencia de phishing;
• Bloqueo de protocolo de escritorio remoto;
• Endurecimiento del puerto con autenticación multifactor; y
• Adherencia diligente a la gestión de parches y actualizaciones antivirus.

Las amenazas cibernéticas continuarán evolucionando, y aunque no existe una bala mágica para la gestión de riesgos de seguridad cibernética, los líderes corporativos que prestan atención y respaldan la implementación de las mejores prácticas tendrán una mejor oportunidad de ver a los delincuentes encontrar la debilidad de otra organización para explotar.

Cuatro consejos de liderazgo en ciberseguridad para abogados 

Los abogados y clientes de Ransom Ware paralizan por igual. Los hackers se infiltran en las organizaciones para obtener ganancias económicas, políticas o militares. Los requisitos de cumplimiento cambian constantemente y varían según la industria, la jurisdicción y otros factores. El panorama actual de la ciberseguridad es complejo, incipiente y evoluciona rápidamente.

El panorama actual de la ciberseguridad es complejo, incipiente y evoluciona rápidamente.

En estos mares agitados, un liderazgo fuerte es crítico. Los abogados desempeñan un doble papel en la ciberseguridad: primero, como asesores de clientes, que pueden tener preguntas sobre ciberseguridad o experimentar una violación de datos; y segundo, como parte del "firewall humano" dentro de sus propias organizaciones. Aquí hay cuatro consejos de liderazgo en ciberseguridad que todo abogado puede emplear.

Los abogados juegan un doble papel en la ciberseguridad: primero, como asesores de clientes; y segundo, como parte del "firewall humano" dentro de sus propias organizaciones

1. Asegure sus propias comunicaciones

La información es el alma de la industria legal. Los abogados envían y reciben constantemente grandes volúmenes de datos, a través de correos electrónicos, mensajes de voz y texto. A menudo, estos datos permanecen en cuentas en la nube o en dispositivos móviles a largo plazo, por lo que es de fácil acceso, pero esta comodidad también puede hacerlo más vulnerable a los piratas informáticos.

Lo más importante que puede hacer para proteger sus comunicaciones es usar la autenticación multifactor para proteger sus cuentas en línea

Lo más importante que puede hacer para proteger sus comunicaciones es utilizar la autenticación multifactor para proteger sus cuentas en línea. En ciberseguridad, la autenticación se refiere al proceso de verificación de su identidad. Hay tres formas generales de autenticar a las personas:

• Algo que sabes (por ejemplo, una contraseña).
• Algo que tienes (por ejemplo, una llave).
• Algo que eres (por ejemplo, una huella digital).

La autenticación multifactorial significa que usted verifica su identidad usando dos o más métodos juntos. Por ejemplo, cuando inicia sesión, puede ingresar su contraseña y un código de una aplicación en su teléfono. De esta manera, los delincuentes no pueden ingresar a su cuenta con solo una contraseña robada. Muchos servicios populares de correo electrónico y nube admiten la autenticación de dos factores.

2. Soporte de opciones seguras para clientes / colegas

Los clientes y los colegas deben intercambiar información con usted de forma rápida y sencilla. Considere cuidadosamente las opciones que admite. El correo electrónico sin cifrado no se considera una forma segura de enviar información a través de Internet, ya que puede ser interceptado en tránsito. Al igual que una postal que pasa por correo, los correos electrónicos viajan a través de computadoras intermediarias en su viaje desde el origen hasta el destino. Cualquier persona con acceso a una computadora a lo largo de la ruta puede leer el contenido de un correo electrónico sin cifrar.

Considere ofrecer opciones seguras, como un servicio de intercambio de archivos de buena reputación y / o un servicio de correo electrónico seguro. Los colegas y clientes que son sensibles a los riesgos apreciarán que apoye las comunicaciones seguras, y será un buen modelo a seguir para otros abogados.

3. Reconoce tus límites

La ciberseguridad es compleja y cambia rápidamente. Nuevas amenazas surgen constantemente; cambio de mejores prácticas; Las leyes evolucionan y se multiplican. Incluso los especialistas en ciberseguridad que trabajan arduamente para mantenerse a la vanguardia no pueden mantenerse al día con todos los cambios.

Los abogados generalmente son vistos como la fuente de conocimiento, pero cuando se trata de ciberseguridad, debemos redefinir nuestras reacciones. Un buen liderazgo en un espacio tan acelerado no se trata de saberlo todo, sino de conocer sus límites. Siéntase cómodo al reconocer cuando no conoce las respuestas y cree su red de expertos para que tenga a la persona adecuada en marcación rápida cuando surjan preguntas.

4. Manejar los errores con gracia

Puede enviar un correo electrónico a la persona equivocada. Su organización podría ser hackeada. Puede asesorar a un cliente sobre una nueva regulación de seguridad cibernética, solo para descubrir más tarde que se equivocó. Los errores suceden, especialmente en una industria tan compleja. Cómo manejas los errores es igual de importante.

Los errores suceden, especialmente en una industria tan compleja

Si cree que puede haber cometido un error, primero, confírmelo. "No presione el botón de pánico a menos que el cielo se esté cayendo", escribe Randall Ryder de  Lawyerist.com . "Investiga, analiza y confirma que realmente te equivocaste".

Una vez que haya confirmado su error, evalúe el alcance del daño y elabore un plan para comunicarse con todos los afectados. La confianza es lo más importante que tiene con los clientes y colegas, y la forma en que se acerca a las partes interesadas en momentos de estrés hace una gran diferencia.

Es posible que haya sufrido una violación de datos o que haya brindado accidentalmente consejos incorrectos. Sea abierto y honesto, y sus relaciones permanecerán intactas.

Cada desafío es una oportunidad, y esto es tan cierto para la ciberseguridad como lo es en otras áreas. Desde piratas informáticos hasta malware y regulaciones complejas y emergentes, la ciberseguridad presenta una miríada de desafíos y oportunidades para el liderazgo. Al adoptar estos cuatro consejos: asegurar sus propias comunicaciones, ofrecer opciones seguras para otros, reconocer sus límites y manejar los errores con gracia, los abogados pueden proporcionar el liderazgo que tanto necesitan nuestros clientes, colegas y nuestras comunidades.

Limitaciones y oportunidades: ciberseguridad y abogados

El liderazgo efectivo en el dominio de la ciberseguridad es un concepto algo complicado para los abogados. Para empezar, la mayoría de los abogados hacen la transición o pasan a la ciberseguridad después de desarrollar experiencia relevante en otras áreas de práctica legal, en lugar de convertirse en abogados después de trabajar inicialmente en TI o seguridad. Por lo tanto, desde el principio, los abogados pueden estar con frecuencia en desventaja técnica al asesorar a los CIO y CISO, tanto en calidad de cliente interno como externo.

Del mismo modo, independientemente del entorno (práctica interna o privada), los abogados generalmente necesitan hacer malabares con las consideraciones de privacidad y ciberseguridad en su trabajo. En la práctica privada, este doble enfoque generalmente está dictado por las necesidades económicas, es decir, no hay suficiente trabajo facturable del cliente para centrarse únicamente en la seguridad cibernética, aunque esa dinámica está cambiando para algunas empresas a medida que las necesidades de respuesta a incidentes del cliente aumentan a raíz de los ataques de rescate rampante . Sin embargo, el doble enfoque en la privacidad y la ciberseguridad también es una necesidad dada la intersección de ambas disciplinas en torno a la seguridad de los datos, y especialmente en un entorno regulatorio de privacidad global donde la posibilidad de multas o sanciones severas por incumplimiento negligente pesa mucho en muchas empresas.

Los abogados generalmente necesitan hacer malabares con las consideraciones de privacidad y ciberseguridad en su trabajo

Entonces, con estas realidades en mente, ¿cómo puede un abogado navegar de manera óptima liderando no solo un equipo interno de seguridad cibernética, sino que también puede ser visto como una voz autorizada e informada en un área de riesgo dinámico, por líderes corporativos, clientes y pares de alto nivel?

Para empezar, concéntrese en ser un asesor de riesgos y un solucionador de problemas. No es necesario que sea un asistente técnico, aunque algunos conocimientos generales sobre los principios básicos de seguridad de la información ciertamente ayudan. Comprenda cómo el riesgo cibernético se correlaciona con otros riesgos corporativos clave, y especialmente cómo los activos centrales de la organización, ya sean datos, servicios o productos, son vulnerables. Involúcrese con colegas y proveedores externos para determinar mejor el impacto financiero de tales eventos, y asesore sobre las soluciones disponibles que pueden ayudar a limitar los daños relacionados. Dichas soluciones pueden incluir cuantificar el impacto de una violación de datos a gran escala o un evento de pérdida operativa (o, alternativamente, la pérdida operativa de un proveedor clave), así como adquirir un seguro cibernético para gestionar el impacto financiero. En tales discusiones,

A continuación, siempre priorice y esté en constante aprendizaje y modo de escucha. Con demasiada frecuencia, el aprendizaje se deja de lado a favor de clientes más urgentes o prioridades urgentes, lo cual es comprensible. Sin embargo, dada la rapidez con que evolucionan las amenazas cibernéticas, es de vital importancia mantenerse al tanto de las nuevas amenazas, tendencias y soluciones. Dicha información no solo es esencial para las necesidades de servicio de sus clientes, sino también para proteger de manera óptima su propio negocio.

Del mismo modo, la ciberseguridad es una disciplina única en la que no existe necesariamente una correlación entre la experiencia y el rendimiento académico o basado en pruebas. A diferencia del mundo legal o de consultoría, donde los principales profesionales con frecuencia provienen de los principales programas de MBA y JD, lo que a menudo es más importante en el dominio cibernético es la experiencia con la preparación previa al incidente y las recomendaciones de mejores prácticas, conocimientos técnicos (prueba de lápiz, "azul equipo (resolución de problemas y defensa), y todos los aspectos de respuesta a incidentes. Por lo tanto, independientemente de su experiencia previa o de dónde asistió a la facultad de derecho, trate de escuchar y aprender de sus clientes o colegas tanto como sea posible, ya que será la forma más fácil de aumentar su comprensión de la ciberseguridad y mantener sus habilidades afiladas.

Finalmente, los abogados deben ser dueños del rol de intérprete / asesor regulatorio. Este es un ajuste natural dentro del alcance de las responsabilidades legales más tradicionales, especialmente porque los abogados con frecuencia asesoran a clientes internos y externos sobre todo tipo de desarrollos regulatorios. Pero la seguridad cibernética es el área donde la perspectiva y la capacitación de un abogado pueden ser particularmente invaluables, especialmente cuando se combinan con experiencia regulatoria específica de la industria u otra donde las preocupaciones de seguridad cibernética aumentan (como con instituciones financieras, energía y servicios públicos, y la mayoría de los otros proveedores de infraestructura crítica) ) A la luz de normas de privacidad más estrictas, tanto en los EE. UU. Como a nivel mundial,

El riesgo cibernético organizacional puede ser desalentador e impredecible, pero al igual que con otros riesgos comerciales, un abogado puede proporcionar una guía efectiva tanto interna como externamente en medio de tanta incertidumbre.

En nuestro entorno actual, donde garantizar la seguridad y el uso autorizado de los datos es cada vez más importante, haciendo hincapié en la gestión de riesgos empresariales, escuchando y aprendiendo activamente, y manteniendo el ritmo de los desarrollos regulatorios, los abogados pueden continuar desempeñando un papel fundamental de liderazgo en torno a la ciberseguridad. Después de todo, el riesgo cibernético organizacional puede ser desalentador e impredecible, pero al igual que con otros riesgos comerciales, un abogado puede proporcionar una guía efectiva tanto interna como externamente en medio de tal incertidumbre.

Conclusión

Tomar la iniciativa en la gestión de riesgos de amenazas cibernéticas

El riesgo cibernético debe ser una prioridad para las empresas de todos los tamaños y todo tipo de organizaciones. El robo de registros de salud de pacientes en grandes hospitales, ataques de "phishing" de correo electrónico o "ramson" son buenos ejemplos de la importancia de la conciencia de seguridad. Los atacantes demandan cantidades que aumentan a seis cifras en algunos casos. 

Las organizaciones pueden minimizar el impacto o prevenir tales incidentes. Por ejemplo, las amenazas de rescate pueden mitigarse mediante la segmentación adecuada de las copias de seguridad para evitar que el malware se propague e infecte.

Además, un número creciente de líderes corporativos ha aumentado la conciencia de que el riesgo cibernético es una preocupación definitoria que requiere responsabilidad a nivel de la Junta. Los abogados juegan un doble papel en la ciberseguridad: primero, como asesores de clientes y segundo, como parte del "firewall humano" dentro de sus propias organizaciones.