Brechas de seguridad: Ransomware y gestión del riesgo

Desde la AEPD nos advierten de que están aprovechando la situación sanitaria vivida con el COVID – 19 para utilizar una ciberamenaza llamada ransomware con gran impacto sobre los datos personales que actúa secuestrando la información mediante el cifrado los datos o los sistemas en lo que residen los datos, y solicitando un rescate para recuperar los datos.

Esto implica que además de no poder disponer de los datos secuestrados, también afecte al servicio prestado al tratar esa información, lo que puede ocasionar perjuicios en el ejercicio de derechos y libertades de los ciudadanos.

Cabe mencionar que a veces un ransomware es la consecuencia de otros incidentes que no han sido descubiertos, como intrusiones en el sistema a través de phishing, o mediante ingeniería social, por ello es necesario establecer medidas adecuadas para evitarlo, y en caso de darse, minimizar su alcance.

Lo más conveniente es implementar medidas concretas, tanto de forma preventiva, como planes de contingencia para mitigar las consecuencias de dichos ataques. Es necesario tomar conciencia sobre el riesgo de estos ataques, aplicando medidas técnicas y organizativas apropiadas, orientadas en intentar evitar su materialización, tener capacidad para su detección temprana y evaluar rápidamente las consecuencias, y por último minimizar el impacto sobre los derechos y libertades de las personas cuyos datos personales se hayan visto afectados.

Para poder minimizar el impacto, se han de llevar a cabo planes de continuidad con capacidad de resiliencia. De esta forma, además de afrontar los riesgos técnicos, también podremos estar en disposición de afrontar todo tipo de eventualidades que puedan surgir en el contexto del tratamiento globalizado.

Estos planes de continuidad, han de permitir dar una respuesta ágil y precisa en un entorno altamente interdependiente, dinámico y cambiante, sujeto a riesgos legales, políticos, del mercado, geoestratégicos y técnicos.

Los pasos que hay que seguir en caso de sufrir un ataque ransomware son los siguientes:

• Denunciar ante las Fuerzas y Cuerpos de Seguridad del Estado por si fuera constitutivo de delito.
• No pagar el chantaje a los cibercriminales, que normalmente solicitan en criptomonedas.
• Guardar la información que ha sido cifrada por si en el futuro se pueden desarrollar herramientas que permitan descifrar la información, aunque existen iniciativas como el proyecto No More Ransom que en algunas ocasiones nos ayuda a recuperar los datos cifrados.

Es importante que el Responsable de Tratamiento tenga el control sobre los sistemas en los que realiza tratamiento de datos personales, para permitirle determinar con agilidad estos parámetros y valorar el nivel de riesgo para los derechos y libertades de las personas, la capacidad para determinar este nivel de riesgo es clave para poder dar cumplimiento a los requisitos de responsabilidad proactiva establecidas en el RGPD, que como ya hemos mencionado en anteriores entradas del blog, consistiría en la obligación de notificar las brechas de seguridad a la autoridad de control dentro de las 72 horas siguientes a que se conozca y la obligación de comunicar tal brecha a los afectados en caso de que haya un riesgo alto para sus derechos y libertades.