gdpr

Preparados… listos… GDPR! (for dummies)

A pocos meses de que GDPR o “General Data Protection Regulation” arranque de forma oficial, la cruda realidad es que una gran cantidad de empresas todavía no están preparadas o (lo que es peor) desconocen aquello en lo que les afecta.

Y no, aquí no hablamos de algo que se pueda ignorar hasta que venga una multa para empezar a mirarlo, las leyes de protección de datos se han hecho mayores y vienen con mucha fuerza… dispuestas a dar guerra. ¿De verdad piensas que no hay que tomarlas en serio?

A lo largo de este artículo, de forma sencilla, voy a tratar de explicarte lo más importante que debes saber sobre la nueva GDPR, ¿estás listo?

Un poco (muy poco) de historia

Nada menos que cuatro años ha durado la preparación de esta ley que fue aprobada por el Parlamento Europeo el 14 de Abril del 2.016. La fecha oficial de entrada en vigor (esto márcalo en el calendario con rojo) es el 25 de Mayo del 2.018. A partir de esa fecha, aquellas organizaciones que no cumplan con sus requisitos se podrán enfrentar a elevadas multas que se definen como un 4% de la facturación con un máximo de 20 millones.

De forma muy resumida, podemos decir que el (en Español) Reglamento General de Protección de Datos se ha diseñado para unir las características de las diferentes leyes de protección de datos existentes en Europa. El claro objetivo es proteger la privacidad de todos los ciudadanos de la Unión Europea con el mismo nivel de detalle.

De forma muy sencilla, ¿en qué consiste GDPR?

Aunque el texto es largo y complejo, no debes tener miedo o pensar en GDPR como un ogro que viene a poner multas sin más. Al contrario, es una gran oportunidad para concienciar e involucrar a todas las partes de la empresa en una cultura de seguridad que tanta falta hace tanto ahora como (mucho más) en el futuro cercano.

Podemos reducir todo a cuatro sencillas reglas:

1 – La información:

Conoce de forma clara la información que almacenas y el motivo por el que lo haces. También será necesaria la existencia de un responsable de dicha información y unos métodos claros y seguros de almacenamiento.

Se acabó almacenar datos personales que no necesitamos por si en un futuro me hacen falta. Se acabó no saber dónde los tengo o si se cifran de alguna forma. Ahora las respuestas a todo esto deben ser dadas de forma clara por el responsable de la información.

2 – El cifrado:

Cifra, cifra y cifra (es un tema personal, encriptar no me gusta). A estas alturas no nos podemos permitir almacenar información sensible si no está cifrada. No cometas ese error y cifra todo aquello que no quieras que se sepa en el caso de que una hipotética fuga de información ocurra en tu empresa.

3 – La cultura de seguridad:

La seguridad no es algo que se aplica al final de los procesos como una capa de pintura. GDPR nos pide a gritos que se establezca de forma general una cultura de seguridad en todos los niveles de las organizaciones.

Sólo si vamos de la mano con los procesos, procedimientos y controles de seguridad podremos avanzar como compañía en un mundo (cada vez más) lleno de amenazas digitales.

4 – Los incidentes:

Prepárate para caer, te van a atacar, te van a entrar y se va a saber. Olvídate de las multas, puede que la multa sea calderilla frente al destrozo en imagen que te puede hacer una intrusión. ¿Recuerdas el caso de Yahoo con su venta a Horizon en la que el precio de compra bajó 350 millones tras una gran fuga de información? No hace falta que explique qué duele más, si 350 millones de pérdida o 20 millones de multa, ¿verdad?

Además, el nuevo reglamento te va a obligar a comunicar el incidente en un máximo de 72 horas así que se va a saber sí o sí.

Aprovecha la oportunidad y prepara un plan de contingencia y continuidad de negocio. Emplea tus recursos no sólo en prevenir, también en detectar y en corregir.

¿Y al usuario cómo le afecta esto?

Aunque no lo va a notar de forma agresiva, va a notar ligeros cambios destinados a ofrecerle:

  • El derecho a la información y la transparencia.
  • El derecho de acceso y rectificación.
  • El derecho a borrar (‘derecho al olvido’).
  • El derecho a restringir el procesamiento.
  • El derecho a la portabilidad de datos.
  • El derecho a oponerse.

¿Más o menos claro?

Por supuesto, si quieres más detalle, puedes acceder al portal oficial y a cientos de recursos sobre el tema en internet.

Espero haberte ayudado a comprender mejor este gran cambio. Recuerda que, si tienes alguna duda, puedes dejar un comentario y te responderé lo mejor que pueda.

Saludos!

IDGSecurity

SecurityInside Live: IDGSecurity 2018

El proceso de transformación digital que están abordando las empresas y la sociedad, de forma generalizada, obliga a operar en un entorno diferente y, aunque es cierta la gran oportunidad que se abre tanto en el mundo de los negocios como en la sociedad, hay que ser conscientes de los riesgos. La Ciberseguridad se ha posicionado como el eje de cualquier proyecto de transformación y en la mayor preocupación tanto de CEO, como de CIO y CISO. Ya no se trata solo de proteger sino de ser proactivos y ser capaces de detectar y responder a los ataques de la forma más inmediata posible.

Leer más

SecurityInside Live: CyberCamp 2017

CyberCamp es el gran evento de ciberseguridad que INCIBE organiza anualmente con el objetivo de identificar, atraer, gestionar y en definitiva, ayudar a la generación de talento en ciberseguridad que sea trasladable al sector privado, en sintonía con sus demandas. Esta iniciativa es uno de los cometidos que el Plan de Confianza en el ámbito Digital, englobado dentro de la Agenda Digital de España, encomienda a INCIBE.

CyberCamp 2017 se celebra en el Palacio de Exposiciones y Congresos de Santander, del 30 de noviembre al 3 de diciembre de 2017. El principal objetivo de CyberCamp es identificar, atraer e impulsar a todos aquellos que tengan talento en materia de ciberseguridad:

  • Identificar trayectorias profesionales de los jóvenes talentos.
  • Llegar a las familias, a través de actividades técnicas, de concienciación y difusión de la ciberseguridad para todos.
  • Despertar e impulsar el talento en ciberseguridad mediante talleres y retos técnicos.

Si no puedes asistir, no te preocupes ya que emiten los Talleres y Conferencias en directo a través de videostreaming:

 

Leer más

Ransomware (¿seguro que tu empresa no está en peligro?)

Lamentablemente, nos estamos acostumbrando a ver noticias constantes de ciberataques desde hace ya demasiado tiempo. Parece que la gente tomó conciencia del problema tras el ataque hace unos meses del ransomware WannaCry gracias a su alta repercusión sobre Telefónica, los centros NHS del Reino Unido y otras organizaciones de todo el mundo (de hecho, las ofertas de empleo se triplicaron en la bandeja de entrada de LinkedIn…).

Es evidente que la amenaza planteada por los ciberdelincuentes está en constante evolución, ya que casi a diario se lanzan nuevos tipos de malware cada vez más inteligentes. De hecho, desde entonces hemos visto múltiples ataques a gran escala en Europa, paralizando los sistemas de información sin discreción.

Todo el espectro de pymes y grandes empresas han sido víctimas de los brotes de WannaCry, de hecho hemos visto como empresas de toda Europa fueron atacadas por un ataque ransomware conocido como “Bad Rabbit”.

¿Pero esto pasa mucho?

Es habitual pensar que son las empresas más grandes con marcas conocidas las que están más expuestas a estos ataques, ya que poseen una gran cantidad de datos, lo que podría ser un objetivo claro para los ciberdelincuentes. Pero en realidad las empresas más pequeñas son más vulnerables a los ciberataques, ya que no cuentan con los recursos, tecnología y formación necesarios para prevenirlos.

El informe sobre el estado global de seguridad de la información de PwC indica que las empresas tienen que desembolsar un promedio de 980.000 € cada año como resultado de violaciones de seguridad cibernética.

Con menos recursos, muchas PYMES corren el riesgo de fracasar si no hacen más para protegerse.

Para hacernos una idea, una encuesta de violaciones de seguridad de la empresa EY indicaba que una cuarta parte de las empresas se ven afectadas por una violación de la seguridad cibernética cada mes. No debemos tomarlo como un dato exacto, pero debería servir como una señal de advertencia para las empresas tanto grandes como pequeñas.

¿Cómo me protejo?

A las PYMES no les queda más remedio que aumentar el presupuesto de defensa de seguridad cibernética, pero mientras eso ocurre, al menos deberían pensar en:

  • Asegurarse de haber instalado software antivirus y antimalware en todos los dispositivos de la organización.
  • Adquirir software de forma legal y, por supuesto, asegurarse de instalar regularmente cada actualización.
  • Teniendo en cuenta que la gran mayoría de los ciberataques son el resultado de un error humano, asegurarse de capacitar a su personal sobre cómo evitar que el negocio sea vulnerable a los ataques.
  • Echar un vistazo a los consejos de SecurityInside.info para PYMES sin dinero.

La mejor opción es emplear expertos

Las empresas que no lo tengan, deberían considerar la contratación de profesionales que tengan la experiencia para defenderse de estos ataques. Hay un número creciente de empresas a las que pueden subcontratar, en caso de que no tengan los fondos para contratar a un Responsable de Seguridad.

En cualquier caso, está claro que el problema está ahí y ha venido para quedarse. Como empresa o PYME no puedes quedarte esperando, el momento de actuar es ahora.

La webcam no deja de mirarme… ¿la tapo?

A pesar de que a día de hoy existe todavía gente que no cree en estas cosas, el espionaje vía webcam es un hecho que ocurre a diario. Atrás quedaron las películas de suspense o los mitos urbanos donde se asustaba a los usuarios de pc para que hicieran un uso responsable de éstos. La webcam no es sólo una herramienta de la que tú dispones, sino que puede ser interceptada, robada o controlada por alguien que accede ilegalmente a tu ordenador. Y, casi aún más importante, también en tu móvil.

Y es que el espionaje no existe sólo en las teorías conspiratorias que hablan sobre Gobiernos que observan a su población. Hace años ya conocimos la noticia de que se usaba el espionaje por webcam para recabar información sobre los usuarios del portal Yahoo en el Reino Unido.

El espionaje va mucho más allá en la actualidad. Ahora, cualquier persona que quiera sacar información puede tener una razón más que suficiente para intentar hacerse con el control de tu cámara. Podrá ser una persona de tu entorno que busca chantajearte, un acosador que quiere observarte o sencillamente un personaje anónimo de internet que pretende conseguir dinero a cambio de información confidencial.

Todo esto toma especial relevancia cuando hablamos de chantaje a menores. Yo soy padre, me preocupa mucho este problema y quiero poner las medidas necesarias para cuando mi enana mayor quiera ser parte activa de las redes sociales.

Pero, ¿cómo sé si me están espiando por mi webcam?

Aunque no es la única manera, puedes poner atención a estos consejos:

  • Luz webcam encendida. No hace falta ser un genio con ésta: si la webcam tiene la luz encendida y tú no estás usándola, ya sabes que hay alguien más que sí lo está haciendo. Pero ojo, algunos ciberdelincuentes saben saltarse ese paso y podrán espiarte por tu webcam sin que la luz se encienda.
  • Mensajes sospechosos, aunque existe la posibilidad de que te espíen sin más, lo normal es que quien lo hace intente sacar algo a cambio. Si no la conoces, te invito a leer la historia de Taylor Cooper a quien chantajearon a través de Facebook, engañándole para que mostrara imágenes íntimas por la webcam. Poco después, se encontró con que dichas imágenes circulaban por Youtube y le pedían mucho dinero si no quería que llegaran a su familia.

La privacidad en internet es un tema complicado, todos tenemos que tener cuidado con las cosas que mostramos en una conversación privada, porque algún día podrían dejar de serlo.

Entonces, ¿cómo evito que me espíen por la Webcam?

  • Escoge un buen antivirus. La exploración que suelen ofrecer para buscar software sospechoso podría advertirte de que alguien está entrando en tu ordenador para espiarte por la webcam, para espiar tu actividad, …
  • Desconecta la webcam. Evidentemente, si está integrada en tu ordenador esta opción no es la más adecuada, y si no lo está podrás pensar que es un fastidio tener que desconectarla cada vez que la usas. El que debe valorar el riesgo es el propio usuario, y por tanto, la elección también es suya. Algunas aplicaciones te permitirán bloquear tu webcam si está integrada en tu ordenador.
  • Tapa la webcam. Ésta es la forma más sencilla de protegerte. Si usas una webcam externa, gírala hacia la pared o tápala con algún objeto, y si está integrada en tu ordenador una simple pegatina bastará para taparla. Así, en caso de que alguien finalmente acceda remotamente a tu ordenador, sólo conseguirá ver una buena pantalla en negro.

Que los ciberdelincuentes están ahí es algo que deberíamos aceptar como inevitable y por tanto deberíamos encarar nuestras acciones a que no nos conviertan en víctimas de chantajes o robos de información. De esta forma, conseguiremos hacer un uso responsable de nuestra webcam, navegando por internet con la tranquilidad de quien se sabe en puerto seguro.