---

Los ciberataques son una cuestión que los despachos de abogados han de priorizar en la actualidad

La seguridad de la información es uno de los principales retos de hoy en día. Todas las empresas están preocupadas. El concepto de que algunos son demasiado pequeños para ser hackeados es, en el mejor de los casos, un concepto erróneo y, en el peor, una mala práctica. La seguridad comienza con la conciencia de los riesgos y la probabilidad de que ocurra. Un despacho de abogados debe comprender dónde es vulnerable y asegurarse de que puede repeler los ataques hasta un determinado nivel de sofisticación. Debe entender quién puede ser una amenaza y cuáles son sus motivaciones. Debe tener conocimiento del valor de los datos y de cómo los ciberdelincuentes se benefician de ellos. Debería saber cómo detectar intrusiones y cómo responder.

Este artículo detalla cómo funciona la seguridad de la información y cómo un despacho de abogados puede organizarse para defenderse de los ataques. También revisa algunos conceptos clave de la seguridad de la información. Gracias al Sr. Thando Toto, experto en seguridad en la nube, por haber revisado este artículo.

Artículo completo

Cómo proteger a tu firma de los ciberataques

"En 2020, el impulso de la Cuarta Revolución Industrial hacia la conectividad ubicua y la digitalización continuará. Pero a medida que las nuevas conexiones y tecnologías apoyen el progreso socioeconómico, los ciberataques y los riesgos para y derivados de estas innovaciones aumentarán en frecuencia e impacto". [1]

Esta declaración refleja bien por qué la importancia de la ciberseguridad va a aumentar. También explica por qué los llamamientos a favor de una mayor seguridad resuenan en los medios de comunicación de todo el mundo, en diversas formas y foros. La predicción es que el desarrollo de las tecnologías de banda ancha, especialmente la 5G, hará que el aumento de la creación de datos sea aún mayor, ya que los dispositivos cotidianos estarán cada vez más conectados a Internet [2].

Actualmente algunas de las principales amenazas para el 2020 son [3]:

1. Deepfakes

2. Tecnología de voz Deepfake

3. Identidades sintéticas

4. 4. Ciberataques con IA

5. Ataques a la IA durante su fase de aprendizaje

6. Desinformación en los medios sociales

7. Los desafíos de seguridad de 5G

8. Avances en las computadoras cuánticas

9. Ciberataques de vehículos

10. El levantamiento de nubes

11. Seguridad en las elecciones

12. Privacidad de los datos

13. Infracciones en hospitales y centros médicos

Si algunos de estos tipos de ataques no significan nada para usted, esto es parte de la razón por la que son peligrosos.

En 2013, la Asociación Americana de Abogados ('ABA') publicó un manual de ciberseguridad para abogados. El libro está ahora en su segunda edición. La ABA describe la situación de la siguiente manera [4]:

"Desde la publicación de la primera edición en 2013, las violaciones de la seguridad cibernética en los depachos de abogados han aparecido en los titulares de las noticias y los clientes están haciendo preguntas sobre los programas de seguridad de los abogados y los despachos. Desde la masiva violación de Panama Papers que llevó a la disolución del despacho Mossack Fonseca en abril de 2016 hasta los ataques WannaCry y Petya Ransomware, este último que llevó a la interrupción de varios días de trabajo en DLA Piper en junio de 2017, es imperativo que los abogados entiendan el riesgo potencial de las débiles prácticas de seguridad de la información para sus prácticas y sus clientes".

Los abogados son objetivos. Y, a menudo, son más fáciles de piratear que sus clientes.

Hay oferta y demanda. Entender los perfiles de los ciberatacantes y los motivos de los ciberataques es el primer paso que hay que tomar cuando se considera la protección de tu organización.

"¿Quién es probable que ataque?" es una pregunta importante que debe responderse cuando se elabora una política de seguridad de la información para tu organización. Actualmente, se identifican los siguientes perfiles [5]:

• Crimen organizado.
• Persona enojada.
• Hacktivista.
• Script kiddie.
• Competidor.
• Estado nacional.

Estos perfiles tienen diferentes razones para atacar:

• El crimen organizado típicamente ataca por dinero [6].
• Los atacantes de personas enfadadas pueden ser clientes insatisfechos, ex-empleados insatisfechos o simplemente alguien que quiere venganza.
• Los hacktivistas atacan para destruir, por motivos racistas, para interrumpir los servicios y para la influencia política.
• Los Script Kiddies normalmente quieren probar sus habilidades, buscan diversión / emoción / entrenamiento / experimentación o para presumir.
• Los competidores hackean para obtener una ventaja competitiva.

Y los actores estatales hackean por motivos políticos o de guerra cibernética, como la destrucción, la difusión de la desinformación, la influencia en la política y el espionaje.

Según Emisoft [7], los datos robados deben ser primero estructurados y organizados en una base de datos. El objetivo es identificar información valiosa, como por ejemplo:

• Credenciales de acceso.
• Información financiera.
• Información de identidad (nombre, correo electrónico, teléfono, número de seguro social...).
• Datos legales Una vez creada la base de datos de los datos robados, pueden monetizarse de varias maneras [8].

Utilizarlos ellos mismos, por ejemplo para hacer compras no autorizadas, solicitar préstamos o tarjetas de crédito, pagar deudas o hacerse pasar por usted para pedir dinero a sus contactos. [9]

• Vendiendo toda la base de datos [10]. Hay precios de mercado negro para las credenciales, dependiendo de lo que la credencial da acceso.
• Usando tu firma como plataforma para lanzar un ataque a los clientes de tu firma o a terceros, usando la credibilidad de tu firma para evitar la defensa de la víctima.
• Vender información de identificación personal (PII) [11] en los mercados de la web oscura (la parte de internet que los motores de búsqueda no pueden encontrar):

El precio de mercado de la PII es relativamente elástico en respuesta a la oferta y suele estar determinado por lo siguiente: Duración (cuánto tiempo pueden los ciberdelincuentes abusar del PII antes de que se convierta en inválido), Frescura (Edad del PII y nivel de abuso previo), Cantidad (Cuanto más PII está disponible, más barato es el precio) y el potencial retorno de la inversión [12].

Mantener el rescate de datos para extorsionarte, y luego vender tus datos en el mercado negro de todos modos, una vez que ya no puedes ser extorsionado [13]. 

Hay varios elementos a considerar para una seguridad eficiente, desde comprender los riesgos hasta mantenerse al límite, desde realizar mini-auditorías regulares hasta asegurar la mejora continua de la seguridad.

Una evaluación de riesgos "ayuda a las organizaciones a identificar, analizar y evaluar las debilidades de sus procesos de seguridad de la información. [14]”

Según Irwin, "la evaluación de riesgos es esencial para ese proceso, ayudando a las organizaciones:

- A comprender los escenarios específicos en los que sus datos podrían verse comprometidos;

- Evaluar el daño que cada escenario podría causar; y

- Determinar la probabilidad de que se produzcan estos escenarios".

Asegurar la ayuda de un experto en seguridad de la información ayudará enormemente a conseguir estos resultados de forma coherente con los objetivos de seguridad de tu organización.

La seguridad de la información no es, en sí misma, costosa. Los criterios clave que puede utilizar para evaluar el costo probable de tu seguridad son:

• ¿Qué tan sensibles son sus datos y los de sus clientes?
• ¿Cuán grande es la amenaza a esos datos?
• ¿Qué probabilidad hay de que un ataque tenga éxito?
• ¿Qué tan dañina podría ser una posible violación de datos?
• ¿Qué tan adversa o favorable al riesgo es tu empresa?

La evaluación de riesgos tiene por objeto ayudar a tu organización a determinar el nivel de seguridad que necesita.

Por ejemplo, si tu empresa es una típica firma de 2 a 5 abogados con clientes habituales que se enfrentan a las típicas impugnaciones legales cotidianas, puede que te parezca bien simplemente seguir los requisitos básicos de seguridad de la información, como mantener tu equipo actualizado, concienciar sobre las amenazas de phishing y la seguridad del correo electrónico, tener contraseñas seguras y mantenerlas seguras, etc. [15].

En cualquier caso, todo sistema de seguridad debería comenzar con la aplicación de los controles básicos descritos anteriormente. La mayoría de los organismos nacionales de privacidad de datos/seguridad de la información tendrán una lista de controles básicos para asegurar que usted cumpla con las reglas mínimas de seguridad.

Estas reglas deben ser seguidas sin importar su tamaño. Si tu empresa es más grande, emplea más personal, obtiene servicios de varios proveedores y asesora a clientes de alto poder adquisitivo o PEP, requerirá un mayor nivel de seguridad para su configuración inicial.

El nivel de seguridad estará obviamente limitado por el presupuesto disponible que se le pueda asignar.

Ningún sistema de seguridad es inexpugnable. Por lo tanto, el objetivo de tu empresa es llegar a un compromiso entre la fuerza de su seguridad y su coste.

El aumento de la seguridad no sólo tendrá un impacto en el coste, sino también en la forma de trabajar de tu empresa. Por ejemplo, un nivel de seguridad "paranoico" podría significar que un asociado tendría que obtener la aprobación de todas y cada una de las solicitudes de acceso a documentos, lo cual es sencillamente poco práctico.

Sin embargo, este nivel "paranoico" es excesivo para casi todos los despachos de abogados. Por lo tanto, tu despacho siempre tendrá que encontrar el nivel de seguridad adecuado, un compromiso entre el riesgo que está dispuesto a aceptar y el presupuesto que está dispuesto a asignar.

Como se mencionó en la introducción de este artículo, las amenazas continúan evolucionando diariamente.

"Mientras que un atacante sólo tiene que encontrar y explotar una vulnerabilidad, los encargados de la defensa contra los ataques tienen que gestionar todas las vulnerabilidades posibles". [16]

El software que utilizamos se actualiza regularmente para mejorar las funcionalidades y el diseño, pero también para corregir las vulnerabilidades. Asimismo, el código utilizado para crear el software también se actualiza regularmente y por lo tanto también tiene el potencial de crear nuevas vulnerabilidades:

"Las vulnerabilidades son introducidas regularmente por la implementación de nuevos servicios y productos (...)". [17]

Otro ejemplo que justifica un examen de la seguridad de la empresa es la aceptación de un cliente expuesto que puede causar un fuerte aumento de la probabilidad de un ataque o el impacto de una violación de datos.

• Mayor probabilidad de violación: si tu organización acaba de aceptar defender a una persona políticamente expuesta (PEP) [18] en un caso de blanqueo de dinero, es posible que se enfrente a nuevas amenazas de nuevos perfiles de atacantes. Esto aumenta la probabilidad de un ataque.
• Mayor impacto de la violación: también puede tener clientes ordinarios cuyos datos, si se filtran, podrían tener un considerable impacto perjudicial en sus vidas. La víctima de actos violentos filmados puede sufrir un daño adicional y muy sustancial si el video se filtra y circula. Esto aumenta el impacto de una violación de la seguridad.

Por consiguiente, los abogados siempre deben evaluar si la aceptación de nuevos datos aumenta la probabilidad de un ataque o el impacto de una violación y adaptar su seguridad según corresponda.

Aclarar la sensibilidad de la información con el cliente es, en mi opinión, crucial: sólo el cliente puede establecer su tolerancia a una violación de datos.

Ayudará a tu empresa a estar equipada para detectar intrusiones. Por ejemplo:

• ¿Cómo sabes que, en este momento, un hacker no está monitoreando la actividad de tu firma de abogados?
• ¿Cómo sabes que, en este momento, un hacker no está extrayendo los datos de los clientes de tu despacho?
• ¿Qué pistas buscaría si quisiera saber si un hacker se ha infiltrado en los ordenadores de tu despacho?
• ¿Qué procesos tiene tu empresa que le permitan detectar que un colega o un proveedor de servicios está extrayendo datos de clientes?

Hay muchos medios para detectar las intrusiones. Presentaré uno de ellos a modo de ilustración: el honeypot. Los honeypots de seguridad sirven para atraer a los atacantes:

"Los honeypots son un cebo de la red digital y utilizan el engaño para atraer a los intrusos, distrayéndolos así de los sistemas de producción reales. Un honeypot con varias capas puede ralentizar un ataque, aumentando la posibilidad de [detección], y (...) contrarrestar la intrusión antes de que tenga éxito" [19].

Como explican Baykara y Das [20], los principales propósitos de los honeypots son:

• "Adquirir una mayor comprensión de las amenazas y vulnerabilidades poco comunes.
• Para actuar como un sistema de trampas de montaje, donde atrae la atención de los atacantes.
• Para detectar actividades maliciosas en la red.
• Formar una protección para los sistemas reales ocultándolos, y si algún ataque se produce, llegaría a los honeypots.
• Para descubrir nuevos tipos y métodos de ataque (zero-day)". [21]

De conformidad con los principios antes mencionados, el método seleccionado debe ser adecuado para la detección de ataques relacionados con las amenazas que ha identificado en tu evaluación de riesgos y en consonancia con tu presupuesto.

Dicho esto, la mayoría de las intrusiones en los despachos de abogados se producirán como resultado de 3 puntos de entrada principales:

- Un miembro del equipo permite al atacante entrar (correo electrónico de phishing, corrupción,...)

- Perdido / robado equipo informático, smartphone...

- El proveedor de servicios informáticos está pirateado.

Por lo tanto, un despacho de abogados debe empezar por aplicar las normas básicas de seguridad de la información -higiene de la seguridad- establecidas por su agencia de seguridad nacional.

En la seguridad de la información, se da por sentado que todos los sistemas serán violados o, al menos, pueden ser violados. Dada esta sensación de inevitabilidad, ¿qué norma debería aplicar un juez para determinar si el despacho de abogados es responsable de una determinada violación de datos?

Ethan S. Burger, profesor adjunto del Washington College of Law, informó en 2016 que Citibank había "criticado a muchos de los mayores despachos de abogados por su renuencia a discutir o incluso a reconocer [públicamente] las infracciones que dieron lugar a la divulgación de los datos personales confidenciales de sus clientes, empleados y contrapartes, lo que ha frustrado a las fuerzas del orden y a los clientes corporativos durante varios años". Esa frustración surgió en un informe interno del centro de ciberinteligencia de Citigroup que advirtió a los empleados de los bancos de la amenaza de ataques a las redes y sitios web de los grandes despachos de abogados [22].

Burger identifica los siguientes motivos para las demandas por mala praxis, en caso de una violación de datos en un despachos de abogados [23]: 

1. "Fallo en la protección de los datos confidenciales y personales de sus clientes;

2.  No supervisar a los miembros de los despachos de abogados, sus empleados y los contratistas responsables de la seguridad cibernética;

3. Reclamaciones en las que sus clientes pueden resultar perjudicados en asuntos penales, litigiosos, administrativos o transaccionales actuales (y posiblemente pasados); y

4. Fraude o fraude constructivo, así como la tergiversación por parte de los despachos de abogados del nivel de cuidado que observan al realizar trabajos para clientes actuales y antiguos".

También sostengo que el daño a los datos de los clientes también podría dar lugar a una reclamación.

En mi opinión, una reclamación por violación de datos puede caracterizarse como una evaluación inadecuada de los riesgos o un incumplimiento de la seguridad requerida por una evaluación adecuada de los riesgos.

Las siguientes preguntas pueden ayudar al juez en este examen:

• ¿La empresa había realizado una evaluación de riesgos?
• ¿Era esa evaluación de riesgos realista y reflejaba el riesgo real de ese despacho y era coherente con el riesgo del cliente?
• ¿Se revisó esa evaluación de riesgos regularmente y se mantuvo actualizada?
• ¿Se aplicaron medidas de seguridad coherentes con la evaluación de riesgos?
• ¿Se revisaron y actualizaron periódicamente esas medidas de seguridad?
• ¿Aceptó la empresa datos que su seguridad no estaba diseñada o no podía proteger, o no actualizó su evaluación de riesgos y aumentó su seguridad después de aceptar datos más delicados? 
• ¿Qué medidas se aplicaron de inmediato para poner fin al ataque y evitar que se produjeran nuevas filtraciones de ese ataque?
• ¿Qué grado de sofisticación tenía el ataque que dio lugar a la violación?
• ¿Debería la seguridad de la empresa haber evitado este ataque? En caso afirmativo, ¿por qué no evitó el ataque?

En cuanto al despacho de abogados, en mi opinión, su defensa consiste en demostrar que su nivel de seguridad era apropiado para los riesgos que había identificado y que el ataque estaba más allá de lo que su nivel de seguridad podía defender. Esta defensa sólo puede funcionar si el despacho ha implementado un sistema de seguridad de la información eficaz basado en una evaluación de riesgos adecuada.

En cuanto al cliente, la empresa siempre debe ser capaz de explicar el nivel de seguridad que aplica. Esto le permite al cliente determinar si ese nivel de seguridad es consistente con sus propios requerimientos.

Conclusión

Como conclusión, el hackeo de Equifax puede servir como ejemplo [24]. En particular, la OIC determinó que Equifax ltd (Reino Unido) había violado el principio 7 de protección de datos (Anexo 1 de la Ley de protección de datos de 1998) de la siguiente manera:

"Equifax Ltd. no realizó una evaluación o evaluaciones de riesgo adecuadas de las disposiciones de seguridad establecidas por Equifax Inc. [EE.UU.] antes de transferirle los datos y/o después de la transferencia;

Equifax Ltd no se aseguró de que existieran medidas de seguridad adecuadas y/o no notificó ni se ocupó de que Equifax Inc. no hubiera adoptado tales medidas, entre otras cosas:

No cifrar adecuadamente todos los datos personales de su sistema; No proteger adecuadamente las contraseñas de los usuarios; No abordar las vulnerabilidades conocidas de la tecnología de la información, incluidas las que se habían identificado y notificado a nivel superior, identificando y aplicando rápidamente los parches adecuados a todos los sistemas o partes vulnerables del sistema; No disponer de software totalmente actualizado; No realizar exploraciones del sistema suficientes y/o con suficiente regularidad, y/o utilizar herramientas de exploración inadecuadas; No garantizar la segregación adecuada de la red; Permitir que las cuentas tengan más permisos de los necesarios; Almacenar las contraseñas de las cuentas de servicio en texto plano dentro de los archivos y permitir que el personal acceda a dichos archivos; y (...). ” [25]

En la seguridad de la información, la responsabilidad de una infracción debe analizarse siempre en comparación con las circunstancias, tal como se establece en la evaluación del riesgo. En resumen, si el nivel de seguridad de tu empresa es apropiado en relación con su evaluación de riesgos, y si la seguridad funcionaba correctamente en el momento de una infracción, no debería haber ninguna responsabilidad.

En mi opinión, es muy aconsejable, por razones de evidencia, documentar los eventos y procesos relacionados con la seguridad, de manera que el despacho de abogados tenga las pruebas necesarias listas en caso de una violación.