Ciberataques y RGPD: prevención y gestión de incidentes de seguridad

¿Qué es un ciberataque?

Un ciberataque es una acción dirigida contra sistemas, redes, dispositivos, cuentas o servicios digitales con finalidades que pueden incluir acceder sin autorización, obtener información, alterar sistemas, interrumpir servicios, extorsionar a una organización o utilizar sus recursos de forma ilegítima.

Puede afectar a:

• ordenadores;

• servidores;

• dispositivos móviles;

• cuentas de correo electrónico;

• servicios cloud;

• aplicaciones;

• páginas web;

• redes;

• sistemas de copias de seguridad;

• bases de datos;

• credenciales;

• y otros activos tecnológicos.

Sin embargo, el RGPD entra específicamente en juego cuando el incidente afecta o puede afectar a datos personales sometidos a su ámbito de aplicación.

Por ello, el análisis jurídico de un ciberataque no puede realizarse únicamente desde una perspectiva informática.

Ciberataque, incidente de seguridad y brecha de datos personales no son exactamente lo mismo

Distinguir estos conceptos resulta esencial.

Ciberataque

Es una acción maliciosa contra sistemas, redes, dispositivos o información.

Por ejemplo, alguien intenta acceder repetidamente a un servidor utilizando contraseñas obtenidas de filtraciones anteriores.

El ataque puede ser bloqueado y no llegar a comprometer ningún dato.

Incidente de seguridad

Es un acontecimiento que afecta o puede afectar a la seguridad de sistemas o información.

Puede tener un origen malicioso, accidental o técnico.

Por ejemplo, una configuración incorrecta, el fallo de un servidor o el borrado accidental de información pueden constituir incidentes sin que exista necesariamente un atacante.

Brecha de datos personales

Desde la perspectiva del RGPD, existe una brecha de datos personales cuando una violación de seguridad ocasiona la destrucción, pérdida o alteración accidental o ilícita de datos personales, o su comunicación o acceso no autorizados.

Por tanto, una brecha puede producirse como consecuencia de un ciberataque, pero también por errores humanos, pérdidas de dispositivos, envíos incorrectos, configuraciones inadecuadas u otros incidentes.

Un intento de ataque no implica necesariamente una brecha de datos personales

Imaginemos que un sistema detecta miles de intentos automáticos de acceso a una cuenta y los bloquea correctamente.

Ha existido una actividad maliciosa.

Sin embargo, si el atacante no ha conseguido acceder a los sistemas ni afectar a los datos personales, no podemos afirmar automáticamente que exista una brecha de datos personales.

Ahora imaginemos que las credenciales sí son comprometidas y el atacante accede a una base de datos de clientes.

En ese caso debemos investigar qué información ha podido consultar, extraer, modificar o eliminar y valorar las consecuencias.

La diferencia es importante porque las obligaciones derivadas del RGPD dependerán de los hechos realmente producidos.

Ransomware y protección de datos

El ransomware es un tipo de software malicioso utilizado para impedir el acceso a sistemas o información, normalmente mediante cifrado, con el objetivo habitual de exigir posteriormente un rescate.

Un ataque de ransomware puede afectar a la disponibilidad de los datos.

Pero algunos ataques también pueden implicar:

• acceso no autorizado;

• extracción de información;

• eliminación de datos;

• modificación de información;

• compromiso de credenciales;

• o divulgación posterior de los datos obtenidos.

Por eso no debe analizarse únicamente si los archivos han quedado cifrados.

Debe investigarse qué ha ocurrido antes, durante y después del ataque.

¿Un ransomware obliga siempre a notificar a la AEPD?

No automáticamente.

Primero debe determinarse si se ha producido una brecha de datos personales y evaluar el riesgo que puede representar para los derechos y libertades de las personas.

La pérdida temporal de disponibilidad puede constituir una brecha de datos personales cuando afecta a información personal.

Sin embargo, las circunstancias concretas son determinantes.

Debe analizarse, entre otros factores:

• qué datos se han visto afectados;

• cuántas personas pueden estar afectadas;

• durante cuánto tiempo han estado indisponibles;

• si existían copias de seguridad;

• si ha habido exfiltración;

• si existe evidencia de acceso;

• si los datos estaban cifrados;

• si se han alterado;

• y qué consecuencias pueden sufrir las personas.

La decisión sobre notificación debe basarse en ese análisis.

Phishing y robo de credenciales

El phishing intenta engañar a una persona para que revele información, acceda a una página fraudulenta, abra un archivo malicioso o realice alguna acción beneficiosa para el atacante.

Uno de sus objetivos habituales es obtener credenciales.

Por ejemplo, un trabajador puede recibir un correo que aparentemente procede de Microsoft 365, Google, un banco, una empresa de mensajería o incluso otro miembro de la organización.

El usuario introduce su contraseña en una página falsa y el atacante obtiene acceso a la cuenta.

Desde el punto de vista de protección de datos, debemos averiguar qué ha ocurrido después.

¿El atacante llegó a acceder?

¿Durante cuánto tiempo?

¿A qué información?

¿Se descargaron mensajes?

¿Existían documentos adjuntos con datos personales?

¿Se modificaron reglas del correo?

¿Se enviaron mensajes desde la cuenta comprometida?

¿Se utilizaron las credenciales para acceder a otros sistemas?

Un correo de phishing recibido y bloqueado no equivale automáticamente a una brecha.

Un acceso efectivo utilizando credenciales robadas puede ser una situación completamente diferente.

Malware y software malicioso

El término malware engloba diferentes tipos de software diseñado para realizar acciones maliciosas.

Puede utilizarse para:

• obtener credenciales;

• controlar equipos;

• registrar pulsaciones;

• extraer archivos;

• modificar información;

• instalar otras herramientas;

• espiar comunicaciones;

• o facilitar accesos posteriores.

Cuando se detecta malware en un dispositivo que trata datos personales es necesario analizar su comportamiento y determinar qué información podría haberse visto comprometida.

La mera presencia de malware no permite conocer automáticamente el alcance de una posible brecha.

La investigación técnica resulta esencial.

Robo y reutilización de contraseñas

Las credenciales continúan siendo un elemento crítico de la seguridad.

Los atacantes pueden intentar obtenerlas mediante:

• phishing;

• malware;

• filtraciones de otros servicios;

• ataques automatizados;

• ingeniería social;

• contraseñas reutilizadas;

• o exposición accidental.

Una contraseña comprometida puede permitir acceder a correo electrónico, aplicaciones empresariales, servicios cloud, paneles administrativos o bases de datos.

Por ello, la gestión de identidades y accesos forma parte de las medidas que deben analizarse en función del riesgo.

El uso de autenticación multifactor puede reducir determinados riesgos relacionados con el robo de contraseñas, aunque ninguna medida aislada elimina por completo la posibilidad de sufrir un incidente.

Ingeniería social

No todos los ataques comienzan explotando una vulnerabilidad informática.

En muchos casos el objetivo inicial es una persona.

El atacante puede hacerse pasar por:

• un proveedor;

• un cliente;

• un directivo;

• un técnico informático;

• una entidad bancaria;

• una administración;

• o un compañero.

Puede solicitar información, credenciales, cambios de cuenta bancaria, instalación de programas o acceso remoto.

La protección frente a estas técnicas requiere combinar controles técnicos con medidas organizativas y formación.

La Formación RGPD para Empresas puede formar parte de una estrategia más amplia de concienciación y prevención.

Accesos no autorizados a servicios cloud

Muchas organizaciones almacenan información en servicios externos.

Correo electrónico, almacenamiento de archivos, CRM, ERP, copias de seguridad, plataformas de colaboración y aplicaciones empresariales pueden encontrarse en la nube.

Cuando una cuenta cloud es comprometida, el atacante puede tener acceso a una cantidad considerable de información sin necesidad de entrar físicamente en las instalaciones.

Por ello resulta importante analizar:

• autenticación;

• permisos;

• cuentas administrativas;

• registros de acceso;

• sesiones activas;

• dispositivos autorizados;

• aplicaciones conectadas;

• y procedimientos de baja de usuarios.

También debe analizarse el papel del proveedor y las condiciones en las que trata los datos personales.

Los ciberataques pueden afectar a la confidencialidad, integridad y disponibilidad

Un incidente puede producir diferentes efectos sobre los datos.

Confidencialidad

Se produce cuando personas no autorizadas acceden a información.

Por ejemplo, un atacante obtiene una base de datos de clientes.

Integridad

Se ve afectada cuando los datos son modificados de forma accidental o ilícita.

Por ejemplo, un atacante altera información contenida en un sistema.

Disponibilidad

Se ve comprometida cuando la organización no puede acceder a los datos cuando los necesita.

Un ransomware que cifra una base de datos puede producir este tipo de consecuencia.

Un mismo incidente puede afectar simultáneamente a varias dimensiones.

El RGPD no exige impedir absolutamente todos los ciberataques

Ningún sistema puede considerarse inmune a cualquier ataque posible.

El RGPD adopta un enfoque basado en el riesgo.

Las medidas deben determinarse teniendo en cuenta factores como:

• el estado de la técnica;

• los costes de aplicación;

• la naturaleza del tratamiento;

• su alcance;

• el contexto;

• sus fines;

• y los riesgos para los derechos y libertades de las personas.

Esto significa que no existe una lista idéntica de herramientas de ciberseguridad obligatoria para todas las organizaciones.

Las medidas deben ser apropiadas para el riesgo.

Puedes ampliar esta cuestión en Medidas Técnicas y Organizativas RGPD .

La prevención comienza con el análisis de riesgos

Antes de decidir qué medidas aplicar es necesario conocer qué se está protegiendo.

Una organización debería identificar:

• qué datos personales trata;

• dónde se encuentran;

• qué sistemas los procesan;

• quién tiene acceso;

• qué proveedores intervienen;

• qué amenazas pueden afectarlos;

• qué consecuencias podrían producirse;

• y qué medidas existen actualmente.

Este proceso permite tomar decisiones de seguridad proporcionadas.

Por ello, la prevención de incidentes está estrechamente relacionada con el Análisis de Riesgos RGPD .

Actualizaciones y gestión de vulnerabilidades

Los sistemas desactualizados pueden contener vulnerabilidades conocidas.

La organización debe establecer procedimientos adecuados para mantener actualizados, cuando corresponda:

• sistemas operativos;

• aplicaciones;

• navegadores;

• servidores;

• dispositivos;

• firmware;

• plugins;

• herramientas de seguridad;

• y otros componentes tecnológicos.

No se trata simplemente de activar actualizaciones automáticas en todos los sistemas sin analizar su impacto.

La gestión debe adaptarse a la infraestructura y criticidad de cada entorno.

Control de accesos

Cada persona debería disponer de los accesos necesarios para desarrollar sus funciones.

Los permisos excesivos pueden incrementar las consecuencias de una cuenta comprometida.

Entre las cuestiones que pueden analizarse se encuentran:

• cuentas individuales;

• privilegios administrativos;

• permisos sobre carpetas;

• accesos a aplicaciones;

• accesos remotos;

• altas y bajas;

• cuentas inactivas;

• autenticación;

• y revisión de permisos.

El principio general es reducir accesos innecesarios y mantener control sobre quién puede consultar o modificar información.

Autenticación multifactor

La autenticación multifactor añade una capa adicional de protección al acceso mediante contraseña.

Puede ser especialmente relevante para:

• correo electrónico;

• servicios cloud;

• accesos remotos;

• paneles administrativos;

• sistemas críticos;

• y cuentas con privilegios elevados.

Su necesidad y configuración debe valorarse atendiendo al riesgo y a las características del sistema.

No debe presentarse como una solución capaz de impedir cualquier ataque.

Copias de seguridad y recuperación

Las copias de seguridad son fundamentales para la recuperación frente a determinados incidentes.

Sin embargo, una copia de seguridad no evita por sí sola:

• el robo de información;

• el acceso no autorizado;

• la filtración de datos;

• la alteración previa de archivos;

• ni el compromiso de credenciales.

Una estrategia de copias debe analizar aspectos como:

• frecuencia;

• información incluida;

• ubicación;

• aislamiento;

• protección;

• acceso;

• retención;

• y capacidad real de restauración.

Disponer de copias que nunca han sido verificadas puede generar una falsa sensación de seguridad.

Segmentación y protección de redes

En determinados entornos puede ser conveniente separar sistemas o dispositivos para reducir la capacidad de propagación de un ataque.

También pueden utilizarse, cuando resulten apropiados:

• cortafuegos;

• filtrado;

• sistemas de detección;

• protección de endpoints;

• VPN;

• segmentación;

• monitorización;

• y otras medidas.

La selección depende de la infraestructura y los riesgos existentes.

No existe una arquitectura idéntica para todas las empresas.

Proveedores y cadena de suministro

Un incidente puede originarse en un tercero.

Las organizaciones dependen cada vez más de proveedores de:

• software;

• hosting;

• correo;

• cloud;

• mantenimiento;

• soporte;

• copias;

• comunicaciones;

• y servicios digitales.

Por ello, la seguridad no termina en los sistemas propios.

Cuando un proveedor trata datos personales por cuenta de la organización debe analizarse su papel, las garantías ofrecidas y las obligaciones correspondientes.

Un incidente sufrido por un proveedor también puede requerir actuaciones por parte del responsable.

Formación y concienciación

Las medidas técnicas deben complementarse con medidas organizativas.

El personal debería saber reconocer y gestionar situaciones como:

• correos sospechosos;

• solicitudes anómalas;

• archivos inesperados;

• páginas de acceso falsas;

• llamadas de supuestos técnicos;

• pérdidas de dispositivos;

• accesos extraños;

• y posibles incidentes.

También debe conocer cómo comunicar rápidamente una situación sospechosa.

Una detección temprana puede resultar determinante para contener un incidente.

¿Qué hacer cuando se detecta un posible ciberataque?

La prioridad inicial debe ser gestionar el incidente.

Las actuaciones concretas dependerán de su naturaleza, pero el proceso puede incluir varias fases.

1. Detectar y registrar

Debe identificarse qué ha ocurrido y cuándo se detectó.

Es importante conservar información sobre el incidente.

2. Contener

Cuando sea técnicamente posible deben adoptarse medidas para limitar la propagación o consecuencias.

3. Preservar evidencias

Actuar con rapidez no significa destruir información que pueda resultar necesaria para investigar posteriormente el incidente.

Logs, registros, correos, archivos y otros elementos pueden resultar importantes para determinar qué ocurrió.

4. Determinar los sistemas afectados

Hay que identificar equipos, cuentas, servidores, aplicaciones y servicios comprometidos o potencialmente comprometidos.

5. Determinar si existen datos personales afectados

Esta fase resulta esencial desde la perspectiva del RGPD.

Debe analizarse qué datos estaban presentes y cómo pueden haberse visto afectados.

6. Evaluar las consecuencias

Es necesario valorar los posibles efectos sobre las personas.

7. Adoptar medidas correctoras

Deben corregirse las causas identificadas y reducirse los riesgos existentes.

8. Evaluar las obligaciones de protección de datos

Si se ha producido una brecha de datos personales, debe analizarse si procede notificarla a la autoridad de control y, en su caso, comunicarla a las personas afectadas.

¿Cuándo hay que notificar una brecha a la AEPD?

No todas las brechas de datos personales deben notificarse a la AEPD.

Cuando sea probable que una brecha entrañe un riesgo para los derechos y libertades de las personas, el responsable debe notificarla a la autoridad de control competente sin dilación indebida y, de ser posible, dentro de las 72 horas desde que haya tenido constancia de ella.

Si es improbable que la brecha suponga ese riesgo, la notificación a la autoridad de control no resulta exigida por ese criterio.

La decisión debe basarse en las circunstancias concretas.

Las 72 horas no comienzan necesariamente cuando empieza el ciberataque

Este punto es especialmente importante.

El plazo de notificación se relaciona con el momento en que el responsable tiene constancia de la brecha de datos personales.

No debe confundirse necesariamente con:

• el momento en que el atacante inició su actividad;

• la fecha en la que se produjo una vulnerabilidad;

• o el momento exacto en que comenzó el incidente técnico.

En una investigación puede descubrirse que el atacante llevaba tiempo dentro de los sistemas antes de ser detectado.

La organización debe reaccionar con diligencia desde que conoce suficientemente la existencia de la brecha.

¿Qué ocurre si todavía no conocemos todos los detalles?

Los incidentes complejos pueden requerir tiempo para determinar su alcance completo.

La falta de todos los detalles no significa que deba ignorarse una obligación de notificación cuando esta resulte aplicable.

Cuando no sea posible proporcionar toda la información simultáneamente, el RGPD permite facilitarla de manera gradual en determinadas circunstancias.

Por eso es importante que el procedimiento de respuesta permita combinar investigación técnica y evaluación jurídica desde las primeras fases.

¿Cuándo hay que comunicar la brecha a las personas afectadas?

La notificación a la autoridad y la comunicación a las personas afectadas son obligaciones diferentes.

Cuando sea probable que una brecha de datos personales entrañe un alto riesgo para los derechos y libertades de las personas, el responsable deberá valorar la comunicación a los afectados conforme a las condiciones establecidas en el RGPD.

El objetivo es que las personas puedan conocer lo sucedido y adoptar medidas para protegerse frente a posibles consecuencias.

No debe aplicarse automáticamente a cualquier incidente.

Todas las brechas deben documentarse

Que una brecha no tenga que notificarse a la autoridad no significa que pueda ignorarse.

El responsable debe documentar las brechas de datos personales, incluyendo información sobre los hechos, sus efectos y las medidas correctivas adoptadas.

Esta documentación permite justificar posteriormente cómo se evaluó y gestionó el incidente.

También constituye una parte importante de la Responsabilidad Proactiva RGPD .

¿Qué riesgos para las personas debemos valorar?

El análisis no debe centrarse únicamente en el daño que puede sufrir la empresa.

La paralización del negocio, los costes de recuperación o el daño reputacional pueden ser importantes para la organización, pero la evaluación exigida por el RGPD se centra en los riesgos para los derechos y libertades de las personas.

Dependiendo de los datos y circunstancias, las consecuencias pueden incluir:

• suplantación de identidad;

• fraude;

• pérdidas económicas;

• exposición de información confidencial;

• discriminación;

• daño reputacional personal;

• pérdida de control sobre los datos;

• utilización indebida de credenciales;

• y otras consecuencias materiales o inmateriales.

Esta perspectiva debe formar parte de la evaluación de la brecha.

Datos especialmente sensibles y consecuencias del incidente

Las consecuencias potenciales pueden aumentar cuando el incidente afecta a información cuya exposición puede generar daños importantes.

Por ejemplo:

• datos de salud;

• información financiera;

• documentos identificativos;

• credenciales;

• información sobre menores;

• categorías especiales de datos;

• o grandes cantidades de información personal.

Sin embargo, el nivel de riesgo no debe determinarse únicamente por una etiqueta.

Debe analizarse el contexto completo.

Ciberataques en clínicas y centros sanitarios

Las organizaciones sanitarias pueden tratar información especialmente sensible y depender de sus sistemas para prestar servicios.

Un ataque puede afectar simultáneamente a confidencialidad y disponibilidad.

Por ello pueden ser especialmente importantes:

• gestión de accesos;

• continuidad;

• copias;

• recuperación;

• segmentación;

• actualización;

• control de proveedores;

• y procedimientos de respuesta.

La evaluación debe adaptarse a los sistemas y tratamientos concretos del centro.

Ciberataques en despachos profesionales

Asesorías, bufetes, gestorías y otros despachos pueden manejar documentación de numerosos clientes.

Un compromiso del correo electrónico o del almacenamiento documental puede exponer información perteneciente a diferentes personas.

Las cuentas de correo, accesos remotos, aplicaciones de gestión y servicios cloud deben formar parte del análisis de seguridad.

Ciberataques en comercios y pequeñas empresas

Una empresa pequeña también puede sufrir:

• phishing;

• ransomware;

• robo de credenciales;

• fraude;

• accesos a correo;

• malware;

• o compromiso de servicios cloud.

El tamaño de la organización no elimina el riesgo.

Sin embargo, las medidas deben ser proporcionadas a los tratamientos, sistemas y riesgos existentes.

No se trata de exigir a una pequeña empresa la misma infraestructura que a una gran organización, sino de aplicar medidas apropiadas a su realidad.

Ciberataques en empresas que utilizan servicios cloud

Cuando una parte importante de la información se encuentra en la nube, la seguridad de identidades adquiere especial importancia.

Un atacante que consigue acceder a una cuenta puede actuar desde cualquier ubicación sin necesidad de comprometer físicamente la red de la empresa.

Por ello pueden resultar especialmente relevantes:

• autenticación;

• permisos;

• registros de actividad;

• alertas;

• control de sesiones;

• gestión de dispositivos;

• cuentas administrativas;

• y procedimientos de recuperación.

También debe analizarse la relación con el proveedor.

Después de un ciberataque hay que revisar las medidas

Resolver técnicamente el incidente no debería ser el final del proceso.

Debe analizarse:

¿Qué permitió que ocurriera?

¿Qué controles funcionaron?

¿Qué controles fallaron?

¿Se detectó con suficiente rapidez?

¿Existían procedimientos?

¿Funcionaron las copias?

¿Los accesos eran adecuados?

¿El personal sabía cómo comunicar el incidente?

¿El proveedor respondió correctamente?

Las conclusiones pueden requerir cambios técnicos y organizativos.

Cuando los tratamientos, proveedores, sistemas o medidas hayan cambiado significativamente también puede resultar necesario realizar una Actualización RGPD .

Ciberataques y análisis de riesgos

Los incidentes reales proporcionan información muy valiosa sobre los riesgos de una organización.

Después de un ataque puede ser necesario revisar el análisis existente y comprobar si:

• la amenaza estaba contemplada;

• la probabilidad fue correctamente estimada;

• las consecuencias estaban identificadas;

• las medidas previstas funcionaron;

• y el riesgo residual continúa siendo aceptable.

La gestión de riesgos no debe entenderse como un documento estático.

Ciberataques y medidas técnicas y organizativas

La protección eficaz requiere combinar tecnología, organización y personas.

No basta con instalar un antivirus.

Tampoco basta con disponer de políticas y documentos si los sistemas no están correctamente protegidos.

Las medidas pueden combinar:

• tecnología;

• procedimientos;

• controles;

• formación;

• supervisión;

• gestión de proveedores;

• recuperación;

• y revisión continua.

La página Medidas Técnicas y Organizativas RGPD desarrolla el marco general para seleccionar estas medidas atendiendo al riesgo.

¿Puede haber sanciones después de un ciberataque?

Sufrir un ataque no significa automáticamente que una organización vaya a ser sancionada.

Un incidente puede producirse incluso cuando existen medidas de seguridad.

La evaluación jurídica dependerá de las circunstancias.

Entre otras cuestiones puede ser relevante analizar:

• las medidas existentes antes del incidente;

• si eran apropiadas para los riesgos;

• la diligencia de la organización;

• la gestión del incidente;

• el cumplimiento de las obligaciones de documentación;

• y, cuando correspondan, las obligaciones de notificación y comunicación.

Por tanto, no debe plantearse la cuestión como “ciberataque igual a sanción”.

Puedes ampliar esta materia en Sanciones RGPD .

La ciberseguridad y el cumplimiento RGPD están relacionados, pero no son lo mismo

La ciberseguridad abarca la protección de sistemas, redes, servicios e información frente a diferentes amenazas.

El RGPD se ocupa específicamente de la protección de datos personales y de los derechos y libertades de las personas.

Existe una zona de intersección muy importante.

Muchas medidas de ciberseguridad contribuyen a proteger datos personales, pero una estrategia de cumplimiento también debe contemplar otras cuestiones como:

• licitud;

• transparencia;

• minimización;

• conservación;

• derechos;

• proveedores;

• transferencias;

• y responsabilidad proactiva.

Por ello, instalar herramientas de seguridad no equivale por sí solo a cumplir el RGPD.

Cómo podemos ayudarte a reducir y gestionar los riesgos

En RGPD Málaga podemos analizar la relación entre los tratamientos de datos personales y la seguridad de los sistemas utilizados por tu organización.

El trabajo puede incluir, dependiendo de las necesidades:

Identificación de tratamientos y sistemas

Determinamos qué información personal se utiliza y dónde se procesa.

Análisis de riesgos

Identificamos riesgos relacionados con los tratamientos y las posibles consecuencias para las personas.

Revisión de medidas

Analizamos las medidas existentes y posibles mejoras.

Procedimientos de incidentes

Ayudamos a establecer criterios internos para detectar, comunicar, analizar y documentar posibles incidentes.

Gestión de una posible brecha

Cuando se produce un incidente, analizamos desde la perspectiva de protección de datos si existe una brecha, su posible riesgo y las obligaciones que pueden resultar aplicables.

Revisión posterior

Después de un incidente pueden revisarse las medidas y procedimientos para reducir la posibilidad o impacto de situaciones similares.

La mejor respuesta comienza antes del ataque

La gestión de un ciberataque no comienza cuando aparece una pantalla de ransomware.

Comienza antes.

Conociendo los tratamientos.

Analizando los riesgos.

Aplicando medidas proporcionadas.

Manteniendo los sistemas.

Controlando accesos.

Gestionando proveedores.

Formando a las personas.

Preparando procedimientos.

Y sabiendo quién debe actuar cuando algo ocurre.

Una organización preparada no puede garantizar que nunca sufrirá un ataque, pero sí puede reducir riesgos, mejorar su capacidad de detección y respuesta y gestionar correctamente las consecuencias que puedan afectar a los datos personales.

Ese es el objetivo: prevenir cuando sea posible, detectar con rapidez, contener el incidente, evaluar sus consecuencias y actuar correctamente cuando exista una brecha de datos personales.