ISMS Fórum Spain, en colaboración AGERS, ha presentado el Mapa de Ciber-Riesgos en la sede del Grupo Abertis, Madrid. Este es un proyecto que supone una continuación de la GUÍA DE TERMINOLOGÍA DE CIBERSEGURIDAD, publicada en 2017 y la GUÍA TOP TEN CYBER RISKS publicada en 2018, ambas elaboradas entre AGERS e ISMS Fórum. 

Estos trabajos siguen manteniendo el objetivo de facilitar la comprensión del riesgo de la tecnología de la información entre todos los perfiles afectados por este tipo de riesgo. 

En esta ocasión, esta entidad da un paso  adelante en cuanto a la complejidad del análisis, ya que se valora  este tipo de riesgos en función de su probabilidad e importancia. Para esto utilizan  una herramienta habitual en el análisis de los riesgos: el mapa de riesgos. Este consiste en una matriz que permite mostrar los riesgos según su probabilidad e impacto. La combinación de estos parámetros da lugar a una clasificación de la importancia de cada riesgo.

Hay que recordar que la Asociación Española para el Fomento de la Seguridad de la Información, ISMS Fórum Spain, es una organización sin ánimo de lucro fundada en enero de 2007 para promover el desarrollo, conocimiento y cultura de la Seguridad de la Información en España y actuar en beneficio de toda la comunidad implicada en el sector.

 Creada con una vocación plural y abierta, se configura como un foro especializado de debate para empresas, organizaciones públicas y privadas, investigadores y profesionales donde colaborar, compartir experiencias y conocer los últimos avances y desarrollos en materia de Seguridad de la Información. ISMS Forum Spain tiene ya a más de 250 empresas asociadas y más de 1.200 profesionales asociados. La Asociación es ya, por tanto, la mayor red activa de organizaciones y expertos comprometidos con la Seguridad de la Información en España.

La presentación del estudio corrió a cargo de Juan Gayá, Director de Gerencia de Riesgos en El Corte Inglés Seguros; Belén Medina, Responsable de control de riesgos y seguros, Globalvia; Gianluca D’Antonio, presidente de ISMS Forum; y Concepción Cordón, miembro del Comité de la Estrategia de Ciberseguridad Nacional.

“Quería daros la bienvenida hoy en las oficinas del Grupo Abertis a la Presentación del Mapa de Ciber-Riesgos para el sector seguros, una iniciativa conjunta ente Agers e ISMS Forum”. Así comenzó la presentación del encuentro Gianluca D’Antonio, presidente de ISMS Forum Spain, para dar paso a Rosana Ramírez, Responsable de Control de Riesgos Corporativo en Grupo Abertis.

Ramírez   sentó las bases de la sesión focalizándose en la importancia que tiene contar con un Mapa de Riesgos para monitorizar las operaciones que acometemos y los principales riesgos que pueden derivar, así como la mitigación de los mismos. “Es importante tener una cultura del riesgo, ya que no existe un Mapa de Riesgos único para cada empresa. El mapa no es algo estático, hay que establecer sistemas de monitorización continua y de alertas”, comentó la experta. 

Cada organización, en función de múltiples características, puede valorar las consecuencias de un ataque de forma diferente. Un mapa de riesgos es algo dinámico, cambia con el tiempo dentro de una empresa. 

“Sin entender el riesgo es difícil gestionarlo, el Mapa de Ciber-Riesgos nos ayuda a saber de qué hablamos y a buscar medidas de defensa. Para el estudio, cogimos los 10 riesgos que más podían atacarnos e intentamos cuantificarlos y ver si eran más o menos importantes para la organización. Entendimos que teníamos que abordar los riesgos en el sentido más complejo para poder dedicarle una solución distinta a cada uno”, añadió Juan Gaya.

Por este motivo se han desarrollado dos casos, buscando situaciones relativamente extremas. Por un lado, una empresa con una alta dependencia tecnológica: sin sistemas de información operativos, la actividad se paraliza (venta online de productos informáticos) y, por otro, una empresa más tradicional (un pequeño hotel familiar), cuya actividad principal no se sustenta en los sistemas de información. Cada uno de los lectores de este documento podrá verse más identificado con uno u otro caso. 

La importancia del Mapa de Riesgos

“El Mapa de Riesgos nos permite ordenar en qué tipo de riesgo estamos, qué impacto tiene y cómo lo podemos mitigar, un ejemplo es todo aquel que tiene un impacto alto y una probabilidad remota, en cuyos casos trataremos de transferirlo”, explicó Belén Medina.

 Sin embargo, la transferencia del riesgo es un tema delicado para las empresas, pues requiere reconocer que no cuentan con los medios necesarios para poder tratar el riesgo, por lo que optan por transferirlo a terceros. 

“Por parte de los que trabajamos en ciberseguridad la transferencia del riesgo se ve como una derrota, ya que parece que no puedes asumir tus competencias debidamente, pero no es así, hay todavía mucho desconocimiento entre las empresas que proporcionan seguridad y los departamentos de ciberseguridad internos de las organizaciones”, señaló Gianluca D’Antonio.

Lo que más destaca del estudio es que hay dos riesgos comunes independientes del tamaño y el tipo de empresa (grande o pequeña). “La dependencia tecnológica lleva a que los riesgos 5N.1 y el 5N.2 salgan evaluados de la misma manera en probabilidad e impacto, y están asociados a la gestión que se hace en la cadena de proveedores de terceros. Debemos prestar atención a cómo hacemos que el tercero cumpla determinadas cuestiones relacionadas con la seguridad y que incidirán en nuestro negocio”, expuso Concepción Cordón. 

El fin último de esta tercera guía es mejorar la gestión del riesgo de una organización, ya sea grande o pequeña, ya que como apuntó  D’Antonio, “el 46% de ciberataques tienen como objetivo las pequeñas y medianas empresas, que son casi las que más tienen exposición al riesgo”. Los riesgos con alta probabilidad e importancia deben ser especialmente gestionados para reducir al menos uno de estos parámetros”. 

Al mismo tiempo recordó que el documento con las explicaciones de lo que es un mapa de riesgo se encuentra en la web de ismsforum “ Por este motivo, el documento no termina con la presentación del mapa de riesgos de cada una de las empresas estudiadas, sino con un plan para gestionar los riesgos detectados como los más peligrosos”. apunto

Si necesitas los servicios de une especialista en ciberseguridad, no dudes en consultar nuestro directorio sin compromiso.

Por @LuisjaSanchez, Periodista Jurídico.

La entrada Se presenta  el Mapa de Ciber-Riesgos, una herramienta clave para que juristas y expertos identifiquen los riesgos en su empresa se publicó primero en LexGoApp Blog.

Internet, a través de las páginas webs, foros y redes sociales, es el escenario en el que se llevan a cabo, de una u otra forma, muchas actividades económicas, ya sea por la promoción y publicidad de servicios o productos, o directamente porque allí se realizan las transacciones, junto al tratamiento de datos personales, conductas delictivas y ciberataques.

Estamos ante una realidad de la que nadie escapa y, particularmente, a la de un centenar de autónomos y pequeñas empresas que, convocados por Legálitas y Wolters Kluwer, se dieron cita en el palacio de Santoña, sede institucional de la Cámara de Comercio de Madrid, para tratar estos asuntos de actualidad junto a importantes ponentes del sector jurídico.

Cecilio Moral, presidente de Legálitas; Rosalina Diaz, presidenta de Wolters Kluwer España; y Eva Serrano, vicepresidenta primera de la Cámara de Comercio de Madrid, fueron los encargados de inaugurar la jornada, coincidiendo en la importancia de dotar a las empresas de herramientas que proyecten la imagen y mejoren el posicionamiento de la marca, pero también del cumplimiento de unas normas y la protección frente a ataques en el mundo virtual.

La primera de las dos mesas redondas celebradas llevó por título “Marca y posicionamiento en internet”. Moderada por el director de Relaciones Institucionales de Legálitas, Miguel Ángel Villanueva, puso de manifiesto la importancia de cuidar la imagen en internet. Paula Fernández Ochoa, abogada y consultora especialista en marca personal, afirmó que “la tecnología es una aliada y, si no se percibe así, te quedas fuera”.

También comentó que cualquier marca necesita crear emoción y dejar huella, las marcas se están humanizando a través de los medios y las redes. Hoy en día no podemos plantearnos tener o no una huella digital, directamente, la tenemos.”

Alejandro Sánchez del Campo, abogado experto en nuevas tecnologías e innovación en Garrigues, mostró su “preocupación por la cantidad de normativa existente que, incluso para los que se dedican a ello, tienen dificultades para estar al día”.

Por su parte, Daniel Morales, director de Responsabilidad Social Corporativa y de la Fundación ORANGE, consideró que “la clave está en saber qué se quiere ofrecer a los demás, cuál es nuestro propósito, por qué se ofrece y, con todo ello, ser capaces de trasladar el mensaje a través de la tecnología. La diferencia está en las emociones que podamos trasladar, la venta del producto vendrá después.”

Conclusiones compartidas por todos los ponentes que finalizaron con una frase para tenerla muy en cuenta : “la competencia puede copiarnos todo, menos la esencia” concluyó Fernández Ochoa.

El problema de la ciberseguridad

La segunda mesa, moderada por el periodista de Wolters Kluwer, Pedro del Rosal, versó sobre “Ciberseguridad y responsabilidad penal de la empresa” y en ella se trataron aspectos de gran interés como la amplia reforma realizada en el Código Penal que, según recordó Rafael Catalá, exministro de Justicia, afectó a casi trescientos artículos y en especial al 21bis “que vino a “reforzar la confianza empresarial y el impulso de la economía”.

Insistió en la necesidad de “evaluar las leyes que tenemos para comprobar si han servido para algo. Tenemos que cambiarlas, pero siendo capaces de transformar la sociedad, es decir, que la ley sirva para mejorar la convivencia de las personas y sus actividades”

Catalá animó a las pequeñas empresas a “avanzar mucho más para cumplir con estos programas de cumplimiento normativo”, siendo para muchas su asignatura pendiente en estos momentos.

En su intervención, Alejandro Abascal, magistrado de la Audiencia Nacional, profundizó en la responsabilidad penal de la empresa, afirmando que esta “pasa porque la misma no tenga las herramientas necesarias como medidas de vigilancia o control. En ese caso, la empresa será imputada por no generar una cultura de respeto al ordenamiento jurídico”.

Recordó como las empresas, ahora, ya pueden acceder al correo de sus trabajadores y con ello “fomentar las investigaciones internas” dentro de los programas de Compliance que “deben ser examinados permanentemente para ser eficaces”.

Por último, Rafael Chelala, director del Programa de Ciberseguridad de Deusto – ICADE Business School, señaló que “el hecho de que una empresa esté imputada le hace mucho daño reputacional, por eso debemos velar por programas que aporten seguridad. Las tendencias han cambiado, los delincuentes se mueven en la red y por eso, nuestras organizaciones deben estar preparadas para los ataques informáticos, cada vez más frecuentes”.

Sobre este tema descendió al detalle y destacó que “Por poner un ejemplo del peligro existente, recordó que “muchos de los dispositivos domésticos que tenemos en nuestras casas están conectados a internet y por ahí puede venir el ataque”.

En definitiva, marca personal y ciberseguridad son cuestiones en los que los abogados tienen mucho que decir. La marca personal del abogado es algo que aún está por desarrollar porque hay despachos que no están muy cómodos con que sus profesionales realicen este tipo de actividades. Sobre  la ciberseguridad el papel de los abogados es clave a nivel de asesoramiento para que las empresas puedan gestionar un ciberataque y minimizar su impacto.

Por @LuisjaSanchez, Periodista Jurídico.

¿Necesitas un abogado especialista en protección de datos? En LEXGOApp contamos con un amplio directorio de abogados especialistas, que puedes consultar si compromiso.

La entrada Marca personal y ciberseguridad dos cuestiones que se perfilan claves en el entorno global digital actual se publicó primero en LexGoApp Blog.

La ciberseguridad y la gestión integral de las brechas de seguridad es, hoy por hoy, una de las principales preocupaciones de las empresas. Según los expertos nadie está libre de un ataque informático que en cuestión de minutos puede inutilizar los servicios informáticos de cualquier firma o pedir dinero ante el secuestro momentáneo de esos datos.

En esta jornada organizada por el  Foro Tecnológico del ICAM “Abogacía 4.0”, esta sesión de trabajo abordó, desde diferentes vertientes pero complementarias, de qué manera las empresas tienen que protegerse y cómo pueden detectar las amenazas para reaccionar a ellas desde un punto de vista técnico, legal y comunicativo.

De la mano de Ricardo Mate Salgado, country manager Sophos Iberia y vicepresidente de la Junta Directiva de la Asociación @asLAN, la mesa redonda contó con la intervención de Paloma Bru, socia TMT del despacho de abogados  Pinsent Masons; Álvaro Fernández de Araoz, director de Desarrollo de Negocio, ciberseguridad y digitalización de Mr. Houston; y Marisa Toro, socia Directora de Marlow.

Los tres ponentes ofrecieron diferentes puntos de vista sobre cómo afrontar la brecha de seguridad, ahora tras el nuevo RGPD, obligatorio de informar a la AEPD en el espacio de 72 horas. La abogada Bru recordó que esa obligatoriedad no implica que todas las brechas de seguridad vayan aparejadas una sanción importante por parte de nuestro regulador de protección de datos.

Por su parte, Fernández de Araoz, desde su vertiente técnica, recordó la necesidad de que las empresas tengan un plan operativo de ciberseguridad, con los medios técnicos adecuados para minimizar esos riesgos. A pregunta de este periodista recordó que las empresas cuando sufren un ataque cibernético se vuelcan a posteriori en su seguridad, para evitar que puedan tener una experiencia de este tipo de nuevo.

A juicio de Marisa Toro, experta en comunicación corporativa, tener una brecha de seguridad es afrontar una crisis dentro de la empresa. Ese tipo de crisis debe ser tenida en consideración desde el principio para evitar que mine la reputación de la empresa “ Es bueno tener un Comité de Crisis que de alguna forma responda ante tercero de esta situación. Y tener claro que mensaje vamos a dar a los medios de comunicación sobre el asunto. No podemos permanecer callados si en el exterior se cuentan cosas de dicha brecha de seguridad”.

La sesión sirvió para analizar el nuevo escenario que plantea la transformación digital y la implementación de las nuevas tecnologías por parte de las empresas, lo que abre un nuevo espectro de posibilidades a la hora de gestionar los riesgos y amenazas tecnológicas en las empresas y despachos. El moderador hizo hincapié en los planes de ciberseguridad que tienen que tener las empresas para afrontar las brechas y, en este sentido, Paloma Bru destacó la importancia de “analizar la identidad de la empresa”. Por su parte, Álvaro Fernández recordó que es importante darse cuenta de que es necesario “tener un buen software, un buen antivirus, cifrado de equipos” así como un buen plan para poder gestionar las crisis internas que se produzcan. 

Brechas de seguridad y protección de datos

Durante la sesión también se hizo referencia a la relación entre las brechas de seguridad y la protección de datos de carácter personal tras la entrada en vigor del RGPD. Bru destacó que, a pesar de que la normativa de protección de datos ha conseguido establecerse en la mentalidad de la población, “no existe el suficiente conocimiento de ella desde el punto de vista práctico” y esto hace que las empresas “desconozcan los riesgos a los que se enfrentan y cómo subsanarlos” para lo que ella propone llevar a cabo siempre una acción coordinada desde el Departamento Legal y el Departamento de Protección de Datos de la empresa.

Por su parte,  Toro se mostró  positiva con respecto a la normativa recientemente aprobada tanto a nivel europeo como en nuestro entorno en el caso de la nueva LOP, asegurando que “Europa nos sorprenderá con normativas en materia de seguridad para que las empresas estén mejor preparadas frente a ciberataques”.

Antes de finalizar la jornada, Fernández explicó a los asistentes las claves que deberían llevar a cabo las empresas y despachos si sufrieran un ciberataque. En primer lugar, deberían desconectarse de la red y “llevar a cabo una fase analítica a través de una auditoría”; en segundo lugar, ser conscientes de lo sucedido par poder gestionar la crisis.

Además, Fernández aconsejó llevar a cabo simulaciones con el equipo de trabajo de la empresa con la finalidad de mejorar el input, consciente de que, como destacaba Bru, el 24% de los casos de brecha digital en las empresas se deben a fallos que cometen sus propios empleados. Al final de lo que se trata es que la empresa ultime las medidas adecuadas en ciberseguridad y los profesionales las aprendan desde talleres formativos a medida

Por @LuisjaSanchez, Periodista Jurídico.

¿Necesitas un abogado especialista en protección de datos? En LEXGOApp contamos con un amplio directorio de abogados especialistas, que puedes consultar si compromiso.

La entrada Las brechas de seguridad necesitan de un protocolo empresarial específico para mitigar su efecto, opinan los expertos se publicó primero en LexGoApp Blog.