---

Los despachos de abogados luchan constantemente por sus clientes y defienden sus intereses.

Sin embargo, a veces olvidan que siempre están en riesgo: el riesgo de la ciberseguridad. 

Los despachos de abogados se enfrentan a muchos retos de ciberseguridad, pero salvaguardar la información confidencial de sus clientes es el objetivo principal.

Como el mayor activo de un bufete es la confianza de sus clientes, las empresas deben tomarse en serio la ciberseguridad. No hacerlo puede dar lugar a una violación de los datos de los clientes, daños a la reputación, multas costosas o incluso un bloqueo completo del negocio debido al ransomware.

 Según la encuesta anual de despachos de abogados de PwC para 2020, los tres principales profesionales de la empresa para los próximos doce meses siguen siendo los mismos que el año pasado: 

● Mejorar el uso de la tecnología.

● Estandarizar y centralizar los procesos de negocio.

● Mejorar la oferta de servicios jurídicos.

Además, durante la pandemia, la tendencia más destacada fue la reducción del riesgo cibernético, ya que se situó como la segunda mayor amenaza para los despachos de abogados durante la COVID-19.

Al mismo tiempo, el cuadro de mando de ciberseguridad para bufetes de abogados de Logicforce 2021 ha descubierto que las políticas de TI y ciberseguridad no cubren todas las áreas prioritarias. Sólo el 35% de los despachos de abogados realiza pruebas de penetración por parte de terceros para examinar sus defensas y buscar activamente las configuraciones de seguridad débiles. Además, muy pocos despachos (5%) realizan formación con la cadencia recomendada, lo que debería mejorar.

El primer paso para proteger un despacho de abogados de las filtraciones de datos y del ransomware es implementar un programa integral de concienciación sobre ciberseguridad.

Proteger la infraestructura de un bufete de abogados contra las violaciones de datos y los ciberataques y asegurar los datos sensibles almacenados en los dispositivos de trabajo de los empleados es el objetivo principal del sistema de gestión de la ciberseguridad de un despacho de abogados y el objetivo principal de su programa de concienciación en materia de seguridad.

1. Caso de hecho

Pruebas de penetración de alcance total y formación de concienciación sobre la seguridad para el bufete de abogados.

Visión general de la firma:

El bufete de abogados, que es un cliente de BSG, es uno de los bufetes de abogados ucranianos centrados en la industria e innovación con más de 50 empleados. La firma es altamente recomendada para proyectos transaccionales, regulatorios y de resolución de disputas y es nombrada entre las 30 firmas de abogados más innovadoras de Europa. 

El bufete presta sus servicios principalmente a las empresas del mercado medio y a las grandes empresas, y su práctica abarca las siguientes áreas:

● Antimonopolio y Competencia

● Banca y Finanzas

● Quiebra y Reestructuración

● Mercados de Capitales

● Corporativo y Comercial

● Resolución de disputas

● Relaciones con el Gobierno

● Propiedad intelectual

● Comercio Internacional

● Trabajo y Empleo

● Fusiones y adquisiciones

● Clientes privados

● Bienes inmuebles y construcción

● Fiscalidad y Aduanas

2. Objetivos 

Junto con los profesionales de los bufetes de abogados, el equipo de BSG ha definido los principales objetivos y retos del proyecto. 

Los bufetes de abogados, por naturaleza, operan en un entorno de alto riesgo que navega entre el malware, el phishing, el ciberespionaje y los desafíos de la violación de datos.  

Hemos encontrado que el bufete de abogados necesita un nuevo comienzo de su programa de ciberseguridad: 

● Una prueba de penetración de alcance completo utilizando canales de ataque de red y de ingeniería social;

● Una formación de concienciación sobre ciberseguridad para todos los empleados y la alta dirección. 

El objetivo principal era implementar los principios de concienciación sobre seguridad en sus operaciones diarias.

3. Enfoque y ejecución 

Los profesionales de seguridad de BSG llevaron a cabo una sesión de Modelado de Amenazas para indicar las posibles amenazas y escenarios de ataque relevantes para el cliente. 

El modelo de amenazas resultante ha dado forma a las actividades del proyecto. Como resultado de la prueba de penetración, el equipo de BSG pudo alcanzar el objetivo final de la evaluación: obtener acceso remoto a la infraestructura del despacho con los mayores privilegios posibles.

El éxito del proyecto quedó demostrado con la prueba de obtener acceso a los ordenadores portátiles de los altos directivos y leer e intervenir en su correspondencia electrónica.

BSG ha elaborado un informe con todos los hallazgos y las correspondientes recomendaciones. Junto con el plan de corrección de todas las vulnerabilidades de seguridad encontradas, el informe contenía las siguientes recomendaciones generales:

● Realizar pruebas de penetración periódicas: evaluaciones de seguridad de la red externa e interna y de ingeniería social al menos una vez al año.

● Llevar a cabo una formación de concienciación en materia de seguridad para todos los empleados del bufete para prevenir los escenarios de ataque que el equipo de BSG pudo simular con éxito durante el pentest.

● Implementar un conjunto de controles de seguridad informática corporativos fundamentales para identificar y reaccionar rápidamente ante incidentes de seguridad.

4. Conclusión y retroalimentación

Los profesionales de BSG ayudaron al despacho de abogados a encontrar y corregir decenas de vulnerabilidades de seguridad de riesgo en la infraestructura y los procesos de negocio. Una vez completado el plan de remediación, BSG realizó una nueva prueba de todos los hallazgos iniciales de forma gratuita y actualizó el informe de pentest con los resultados de la nueva prueba.

Como seguimiento de la evaluación de seguridad, BSG ha impartido una completa formación de concienciación en materia de seguridad a todos los empleados del bufete y les ha ayudado a aprender a identificar y prevenir los modernos ataques de ciberseguridad.

La prueba de penetración y la formación de concienciación ayudaron al despacho de abogados a aumentar su preparación en materia de ciberseguridad, a mejorar la eficacia de sus contramedidas de ciberseguridad, a eliminar los puntos débiles de seguridad identificados y a evitar los posibles incidentes de seguridad que pudieran derivarse de estos problemas.