Telcel Empresas Articulos

Empresas y gobiernos del mundo discuten la posibilidad de una regulación mundial en ciberseguirdad, tema delicado por el tipo de la información a compartir.

Recordarás que hace dos meses, empresas, dependencias y hasta hospitales fueron golpeadas por un ransomware que originó el mayor ciberataque en la historia realizado por un grupo de hackers, donde poco se pudo hacer al respecto, perdiéndose millones de dólares por información secuestrada. Desde la política y la tecnología hasta los proveedores de atención médica y los de alimentos, las industrias en general están cada vez más dispuestos a apoyar una regulación mundial en ciberseguridad.

En respuesta a los incidentes cada vez más generalizados de piratería informática, la Unión Europea dio su primer paso hacia la legislación sobre ciberseguridad en marzo de 2014. La ley resultante, conocida como Directiva sobre Seguridad de la Red y la Información (NIS), se aprobó en enero de 2016 y se aplicará en 2018.

Esta regulación sólo aplicará en los países de la UE. Sólo en 2016, la Comisión Europea fue atacada 110 veces, lo que representó un aumento de 20% con respecto al año anterior. Además, muchos miembros de la UE, entre ellos la canciller alemana Angela Merkel y Jean-Yves Le Drian, ministro francés de Defensa, están cada vez más preocupados por el tema de los ciberataques de todo tipo.

La directiva NIS está diseñada para que las capacidades de seguridad cibernética de todos los países miembros de la UE alcancen el mismo nivel de desarrollo. La ley también busca fomentar la cooperación y el flujo de información entre los países miembros y poner requisitos de seguridad para todos los servicios esenciales. Las empresas que ofrezcan servicios básicos, como energía, transporte, banca, infraestructuras del mercado financiero, suministro y distribución de agua potable, infraestructura digital y asistencia sanitaria, deberán notificar a las autoridades competentes las violaciones de sus redes cibernéticas y combatir estos ataques con la mayor rapidez y eficacia posible. 

Las empresas que no pertenecen al ámbito de aplicación de la Directiva NIS también se verán obligadas a denunciar cualquier ataque a sus redes, especialmente aquellas que puedan tener un “efecto perturbador significativo”, determinado por una serie de variables, como el tamaño, el alcance y el área afectada.

En países como Estados Unidos, la Ley de Intercambio de Información sobre Ciberseguridad ha estado operando desde 2015. Aunque la llamada CISA es diferente de la directiva NIS, los objetivos siguen siendo los mismos: informar incidentes y proporcionar a las autoridades pertinentes información para ayudar a combatir la situación.

Cuando se reportan incidentes de ataques de seguridad cibernética en Estados Unidos, éstos son revisados por dos entidades separadas: el Departamento de Seguridad Nacional y el Equipo de Preparación para Emergencias Informáticas (US-CERT9). A partir del 1 de abril de 2017, nuevas directrices de notificaciones de incidentes entraron en vigor.

De manera similar a la directiva NIS, CISA sólo requiere que las agencias del Poder Ejecutivo Federal denuncien sus incidencias, dando a las empresas del sector privado la oportunidad de manejar sus incidentes de seguridad ellos mismos. Las agencias que deciden notificar al gobierno sobre las brechas de seguridad, no están protegidas por CISA, de la misma manera que las agencias gubernamentales, lo que puede causar dudas de entidades privadas para compartir información sobre sus incidentes de seguridad.

A pesar de las medidas adoptadas, la ciberseguridad sigue siendo una gran preocupación mundial. Si bien se están aplicando directivas para combatir los ataques, todavía queda mucho camino por recorrer antes de que un verdadera regulación mundial que entre en vigor. El intercambio de información mundial ayudaría a evitar ciberataques exitosos en diversas naciones, y ayudaría a trabajar de manera conjunta entre empresas y gobiernos para detectar posibles creaciones de códigos maliciosos, o evitar vulnerabilidades. Sin embargo, este es un tema que se discute, y al parecer aún tardará tiempo en concretarse, si es que se logra.

Como empresa, ¿estás de acuerdo en crear una regulación mundial para la ciberseguirdad, o prefieres seguir conservando y atendiendo tus propios problemas?