Como parte de una serie de tres artículos con motivo del Día de la Protección de Datos de 2023 (véanse los artículos adjuntos deJakub LewandowskiyThomas Bryant), Bill Mew sostiene que existe un verdadero problema de aplicación de la normativa: la situación es como el «Lejano Oeste».
Las políticas, los marcos normativos y las normas solo resultan útiles si se cumplen, del mismo modo que las normativas y las leyes carecen de sentido si no se hacen cumplir. El problema en el ámbito de la protección de datos y la ciberseguridad es que, allí donde deberían aplicarse las normas, a menudo se ignoran, y allí donde se han promulgado leyes, es necesario reforzar su cumplimiento.
Los CISO (directores de seguridad de la información) tienen una tarea ingrata. El personal suele mostrarse reacio a cumplir las medidas de ciberhigiene que el CISO intenta imponer, pero cuando su falta de disciplina da lugar a una filtración, estos compañeros se apresuran a echarle la culpa al CISO. Además, aunque hay que cumplir normativas costosas y complejas, así como normas estrictas sobre la notificación de filtraciones, las autoridades, lejos de ayudar a gestionar cualquier incidente o a capturar a los verdaderos delincuentes, se limitan a utilizar los informes para determinar la imposición de multas.
Functional, Cultural Mismatch
Si se les preguntara, la mayoría de los empleados estarían de acuerdo en que las amenazas cibernéticas son un problema importante, pero en su trabajo diario se centran en indicadores de rendimiento centrados en los ingresos o en el beneficio, como el ROI (retorno de la inversión). Estos son los indicadores con los que se mide su rendimiento individual y el de su unidad, y en los que se basan las políticas de incentivos de toda la empresa.
El CISO, por su parte, se centra en el rendimiento del riesgo (ROR). Teniendo en cuenta el presupuesto asignado y la tolerancia al riesgo de la organización, el CISO se centra en maximizar la seguridad y minimizar el riesgo.
La discrepancia entre la orientación hacia el ROR del CISO y la orientación hacia el ROI de prácticamente todos los demás puede poner al CISO en conflicto con el resto del equipo directivo. No solo puede acabar aislado (lo que yo denomino «CISOlation»), sino que también puede convertirse en chivo expiatorio cuando las cosas salen mal, incluso cuando se ignoran las advertencias.
Perverse regulatory incentives
In an accompanying article, Jakub Lewandowski [LINK] has explored the raft of new privacy and cybersecurity laws expected to add to a considerable regulatory burden. The problem is thatuna normativa sin aplicación no solo carece de sentido, sino que resulta contraproducente. Al fin y al cabo, solo las empresas responsables cumplirán estas normas y, para ellas, esto supone un coste o un «impuesto de cumplimiento». Por su parte, las empresas irresponsables suelen optar por no respetar las normas. Si creen que el riesgo de que se apliquen las sanciones es escaso o nulo, esto se convierte en una fuente de ventaja competitiva que les permite ahorrar costes y está libre de riesgos.
El incumplimiento de la normativa está muy extendido y proviene de las altas esferas, como demuestran los frecuentes titulares sobre incidentes relacionados con los datos que sufren las grandes empresas tecnológicas o las multas que se les imponen. Dichas multas no parecen surtir efecto disuasorio, sino que las grandes empresas tecnológicas y muchas otras que han tenido la mala suerte de sufrir un incidente relacionado con los datos las consideran un coste adicional de su actividad empresarial.
Again, responsible firms that did their best to take reasonable measures but were unfortunately unable to prevent mistakes or attacks run the risk of being fined once they notify the local regulator. Meanwhile, irresponsible ones who choose not to comply will simply avoid reporting incidents and attempt to cover them up instead to avoid fines. Fines have, therefore, become more of aindicador rezagado de la mala suerte de las empresas responsablesrather than of misbehaviour by irresponsible ones.
Record of Regulatory Inaction
La mayoría de las empresas de «Big Tech», atraídas por un régimen fiscal favorable, han optado por establecer su sede europea en Irlanda. Por lo tanto, el organismo regulador local, la DPC de Irlanda, es responsable de garantizar que cumplan con el RGPD y otras normativas similares. Ya sea por una financiación insuficiente, por la reticencia a crear problemas o, simplemente, porque se ve superada en recursos y en capacidad de presión por las empresas de «Big Tech», se ha considerado que la DPC de Irlanda ha sido ineficaz a la hora de exigirles responsabilidades.
In one notable case, measures it failed to take against Facebook were eventually resolved in the European High Court under the Schrems I and Schrems II rulings. When it still failed to take action and apply these rulings, DPC Ireland was sanctioned by the European Parliament in avotación de 451 a 1. Cuando nuevas presiones por parte de los reguladores del resto de Europa la obligaron a actuar tras un retraso de dos años, la multa que impuso a Facebook fue tan baja que tuvo que ser incrementada (diez veces) ante la insistencia de los demás reguladores.
The EU Ombudsman Emily O’Reilly eventuallyabriendo una investigacióninto the European Commission’s monitoring of how data protection rules are applied in Ireland. Eight months later, theConsejo Irlandés de Libertades Civiles (ICCL) criticó a la UEfor its continued failure to properly monitor Ireland’s GDPR enforcement while “the fundamental rights of all Europeans hang in the balance.” There are now moves afoot to strip Ireland of its responsibility for regulating the BigTech firms and centralise such enforcement instead.
Ineffective Global Policing
Meanwhile, the number and sophistication of cyber-attacks are increasing exponentially, as is the cost of remediation. The World Economic Forum (WEF) has recently not only called for more widespread use ofcybersecurity ‘fire drills’to test cybersecurity and incident response capabilities but is also championing theneed for global rulesto crack down on cybercrime.
Se estima que los daños causados por todas las formas de ciberdelincuencia, incluidos los costes de Recovery y reparación, ascendieron a 3 billones de dólares en 2015 y a 6 billones de dólares en 2021, y podrían alcanzar los 10,5 billones de dólares anuales para 2025.
Cyber insuranceisn’t the answer. Rapidly increasing premiums mean that it is out of reach to most buyers, but even those who can afford it often find it’snot worth it.At the same time, cyber insurance cannot be expected to cover systemic problems, and in any case, it has the perverse effect ofpotentially making bad problems even worse.
While almost all nations have signed up for United Nations agreements on combatting crime, includingla ciberdelincuencia, algunos hacen la vista gorda y, en cambio, ofrecen refugios seguros desde los que operan los ciberdelincuentes. Si bien la mayor parte de la ciberdelincuencia tiene su origen en países como Rusia, Irán o Corea del Norte, estas actividades no se limitan a estas naciones rebeldes, sino que también se producen más cerca de casa. Además, países como China llevan a cabo importantes operaciones de espionaje, y Estados Unidos es responsable de gran parte de la vigilancia masiva a escala mundial, lo cual contraviene el RGPD y un sinfín de otras leyes.
We need to start with mandatory data breaches and cyber theft reporting. This has begun in the US with 2022’sCyber Incident Reporting for Critical Infrastructure Actand in the EU with 2018’sDirective on Security Network and Information Systems. Still, there are also ahost of other regulationsthat mandate telecom payment services, medical device manufacturers, and critical infrastructure providers to report breaches.
Once we have better data on the problem, we can focus on improving international investigation, prosecution, and adjudication efficiency and effectiveness. TheOficina de las Naciones Unidas contra la Droga y el Delitois promoting a Cybercrime Programme which has the following aims:
- Mayor eficiencia y eficacia en la investigación, el enjuiciamiento y la resolución judicial de los delitos informáticos, especialmente la explotación y el abuso sexual de menores en Internet, dentro de un marco sólido de derechos humanos.
- Una respuesta eficiente y eficaz a largo plazo por parte de todo el Gobierno frente a la ciberdelincuencia, que incluya la coordinación nacional, la recopilación de datos y marcos jurídicos eficaces, y que conduzca a una respuesta sostenible y a una mayor disuasión.
- Se ha reforzado la comunicación a nivel nacional e internacional entre el Gobierno, las fuerzas del orden y el sector privado, al tiempo que se ha incrementado la concienciación de la ciudadanía sobre los riesgos de la ciberdelincuencia.
Son objetivos loables. Sin embargo, aún estamos muy lejos de que las víctimas de delitos puedan llamar a la policía —ya sea a nivel local, nacional o internacional— con la esperanza de recibir ayuda práctica o que se haga justicia. La realidad es que, en lo que respecta a los delitos informáticos, salvo que cuentes con especialistas en respuesta a incidentes del sector privado, estás solo ante el peligro.
- El personal rara vez aplica correctamente las medidas de ciberseguridad
- Las autoridades reguladoras no actúan de forma proactiva a la hora de detectar y combatir los incumplimientos.
- Los delincuentes están ganando en confianza, intensidad y sofisticación.
- La policía no puede actuar contra los delincuentes que operan desde refugios seguros
- Y los CISO son el chivo expiatorio por defecto cuando las cosas salen mal
In this ‘Wild West’ environment, there isn’t any cavalry going to the rescue, so you are expected to be adequately armed and ready to defend yourself. Take hints fromThomas Bryant’s article and learn how to deal with it best. There isno substitute for getting your cybersecurityand incident response right.
