Los debates sobre ciberseguridad se han centrado intensamente en los modos de ataque y han pasado por alto la información sobre las personas afectadas y sobre cómo pueden protegerse.
Las aseguradoras y los reguladores de ciberseguridad pueden trabajar juntos para reorientar las evaluaciones de riesgo hacia los controles preventivos alineados con las amenazas emergentes, en lugar de una instantánea estática.
Las organizaciones deben adoptar un enfoque proactivo para proteger los datos de los consumidores, así como la seguridad de su empresa, lo que reforzará su marca y sus resultados.
Los debates en torno a la ciberseguridad tienden a centrarse en cómo se producen las filtraciones de datos, con especial atención al ransomware o similares. Sin embargo, esta obsesión eclipsa el riesgo duradero que la exfiltración de datos supone para las organizaciones y las personas víctimas.
En 2022, 1.774 filtraciones de datos organizativos afectaron a más de 392 millones de víctimas individuales en todo el mundo. Comprometieron información protegida por ley que identifica a personas que acceden a diversos servicios, desde financieros y sanitarios hasta servicios sociales.
Las filtraciones de datos también afectan directamente a la economía, ya que su coste sigue aumentando más de un 20 % interanual, lo que equivale al 4-6 % del producto interior bruto mundial.
Pese a este aumento, los avisos de filtración son cada vez más opacos y en 2022, el 66 % de los avisos públicos en Estados Unidos no incluyeron información sobre las víctimas afectadas ni sobre los detalles del ataque, principalmente porque los derechos de privacidad no están codificados a nivel nacional. Además, los servicios posteriores a la filtración que se ofrecen a los consumidores, como la supervisión del crédito, normalmente no se ajustan a las medidas recomendadas tras una filtración para reducir al mínimo el riesgo de futuras exposiciones y filtraciones.
Normativas exigibles y estandarizadas contra las filtraciones de datos
En Estados Unidos, las leyes de notificación de filtraciones de datos y de privacidad se establecen y se aplican a nivel estatal, lo que genera incoherencias en la notificación de filtraciones. La falta de requisitos de notificación normativa unificados para las filtraciones significa que las empresas solo son informadas de las filtraciones si así se especifica en el contrato con el proveedor.
Además del mosaico de incoherencias en el tratamiento de datos, la información comercial confidencial no está actualmente sujeta a regulación. Las organizaciones que no estipulen requisitos de notificación de filtraciones en el contrato están expuestas a vulnerabilidades de terceros potencialmente significativas.
El coste medio mundial de una filtración de datos para las empresas alcanzó 4,35 millones de dólares en 2022. Pese al riesgo continuo que los incidentes cibernéticos suponen para la sostenibilidad financiera de las organizaciones, existe un mayor incentivo para proteger el precio de sus acciones, por lo que evitan incluir cláusulas de notificación para prevenir demandas y daños reputacionales.
Dado que el coste de las filtraciones de datos en Estados Unidos es más del doble de la media mundial, 9,44 millones de dólares, es prudente que el sector privado estadounidense recurra a los organismos reguladores para codificar el derecho a la privacidad en la legislación federal y crear coherencia en el tratamiento de los datos.
El Reglamento General de Protección de Datos de la Unión Europea debería ser el modelo para las normativas exigibles. A diferencia de la sección 5 de la Ley de la Comisión Federal de Comercio de Estados Unidos, la legislación integral de seguridad de datos para el bloque europeo no permite interpretaciones subjetivas por parte de las entidades individuales. La UE es un regulador más exigente: a modo de comparación, en 2022 hubo 356 filtraciones notificadas al día en los 27 países miembros, frente a siete en Estados Unidos.
Mientras que Estados Unidos carece de una normativa federal que prevalezca sobre las leyes estatales, en la Unión Europea, una definición clara de filtración de datos conduce a una decisión conjunta entre las fuerzas de seguridad y la entidad afectada para determinar el riesgo de daño. Además, las cuantiosas multas y sanciones por incumplir la normativa dan lugar a divulgaciones más transparentes y a la cooperación entre las partes interesadas afectadas.
Alineación entre aseguradoras y reguladores
Tradicionalmente, el sector asegurador ha liderado la evaluación de riesgos de ciberseguridad de las organizaciones, a medida que el ciberseguro ha ganado impulso. Dado el rápido y cambiante panorama de amenazas, sin embargo, los modelos de negocio de las aseguradoras se han visto desafiados por la necesidad de pasar de evaluaciones puntuales a reevaluar el riesgo organizativo de forma continua.
La falta de definiciones coherentes sobre lo que constituye un riesgo o un riesgo de daño derivado de una filtración de datos afecta directamente a la capacidad de la aseguradora para evaluar los riesgos de ciberseguridad. También dificulta su capacidad para evaluar una cobertura adecuada e incluso para analizar una reclamación cuando se notifica. Tanto los suscriptores como los profesionales de siniestros tienen dificultades para hacer frente a las amenazas que surgen rápidamente, orquestadas por agentes de amenazas en constante evolución, y les resulta difícil mantener calificaciones adecuadas que, por definición, no pueden ser estáticas.
Los reguladores deben trabajar estrechamente con las aseguradoras para mejorar de forma continua los modelos de evaluación de riesgos del ciberseguro, a fin de reflejar los controles preventivos alineados con las amenazas emergentes.
Deberían colaborar para desarrollar una puntuación de riesgo basada en los atributos de los datos filtrados, con el fin de determinar la gravedad y la frecuencia del daño y el coste que la filtración de datos tiene para la sociedad. Con ello, el ciberseguro pasará a formar parte de la estrategia de defensa de seguridad de una organización, en lugar de limitarse a ser un instrumento financiero para compensar el riesgo y restablecer la actividad original de una empresa.
Recompensar la seguridad que protege a los consumidores
Una forma en que las aseguradoras y los reguladores pueden impulsar la concienciación sobre las filtraciones de datos y su reducción es recompensar a las organizaciones que amplían las salvaguardas a la protección de los datos de los consumidores, además de la seguridad empresarial. Las organizaciones afectadas por una filtración a menudo no proporcionan las medidas recomendadas posteriores, como la implantación de medidas de autenticación de identidad más estrictas. Algunas medidas recomendadas podrían incluir las siguientes:
Incentivar a las organizaciones para que implanten servicios de autenticación multifactorial de clientes, como hacen las entidades financieras, con el fin de reducir la probabilidad de compromiso por terceros y de filtraciones de datos de los consumidores.
Las organizaciones ejemplares deberían considerar unir fuerzas para crear estándares.
Las organizaciones deben ser proactivas y estar facultadas para proteger a los consumidores; cuantos más consumidores estén protegidos, mejor informada estará la población sobre las posibles amenazas, lo que reforzará su marca y aumentará sus ingresos.
El ciberseguro puede impulsar aún más este modelo de negocio ofreciendo primas reducidas, servicios previos a la filtración sin coste y una suscripción continua que evolucione a medida que evolucionen las amenazas y la gestión del ciberriesgo. La cobertura cibernética se activa al detectarse un acceso no autorizado a la red; para reducir la probabilidad de acceso no autorizado, las personas deben implementar las defensas a su alcance, estén o no aseguradas.
Las pólizas de ciberseguro podrían, por tanto, convertirse en soluciones adecuadas para las organizaciones antes, durante y después de un incidente de filtración de datos, y pueden proteger los activos valiosos de las personas.
Y adoptar un enfoque centrado en las víctimas protegerá aún más a las organizaciones y a sus clientes de las consecuencias de las filtraciones graves.
