Ataques informáticos y diligencia empresarial

Unas semanas atrás fuimos testigos del enésimo capítulo en el mundo de los ciberataques. En esta ocasión, la víctima del ransomware denominado “Ryuk” fue el Servicio Público de Empleo Estatal (SEPE), que vio colapsados sus sistemas informáticos, inutilizadas sus oficinas y paralizada su actividad durante toda una jornada.

Podría tratarse de un hecho aislado, sin embargo, los ataques cibernéticos están a la orden del día. De hecho, 2020 ha sido un año récord, donde los ciberataques a empresas crecieron un 62%, en gran parte debido a la situación de pandemia. Las instituciones europeas prevén que esta tendencia siga aumentando en los próximos años, teniendo en cuenta que se espera que 22.300 millones de dispositivos estén conectados a internet en todo el mundo de aquí a 2024.

Son varios estudios los que avalan este desarrollo exponencial de peligros en la red. Según un informe sobre ciberdelincuencia de la Organización International de Policía Criminal (INTERPOL), las principales ciberamenazas relacionadas con la Covid-19 han sido el phishing y los malware/ransomware, con un incremento respecto al año anterior del 59% y del 36%, respectivamente.

El pasado año, la cifra media exigida en Europa, Estados Unidos y Canadá como rescate por los ciberdelincuentes para liberar los archivos secuestrados por el ransomware fue de 312.500 dólares, frente a los 115.000 dólares de media en 2019. Es decir, un aumento del 171% con respecto al año anterior. El ejemplo más reciente que ilustra la magnitud de esta realidad es el de una compañía taiwanesa fabricante de computadoras y productos informáticos a la que se le solicitan 50 millones de dólares para recuperar sus datos, suponiendo el mayor rescate por un ataque de ransomware hasta la fecha.

Esta realidad desafiante no ha pasado desapercibida para el legislador nacional, y así, la reciente normativa dictada (RDL 12/218 y RD 43/2021) pone de relieve la importancia de la ciberseguridad en el contexto actual. El objetivo de este esfuerzo legislativo –por lo demás obligado por la necesidad de transponer la normativa europea–, consiste en mejorar la protección de las redes y sistemas de información frente a las ciberamenazas, previniendo y reduciendo al mínimo las probabilidades de ser víctima de los ciberincidentes. Y en los casos en que se materialice la amenaza se destaca la necesidad de contar con un plan de acción y resiliencia para mitigar y paliar sus efectos y volver a la normalidad a la mayor brevedad posible.

El peso de la ciberseguridad como elemento estratégico en la toma de decisiones de las grandes corporaciones y de la administración crece a marchas forzadas. Lo que anteriormente eran medidas y acciones opcionales de carácter preventivo, hoy cristalizan en obligaciones para los operadores, de modo que su falta de implementación acarrea responsabilidades legales y consecuencias económicas cuantiosas. Nos encontramos ante un cambio de modelo, donde la inversión en protocolos de ciberseguridad o en políticas de resiliencia de los sistemas resulta imprescindible. Ya no se trata de verificar formalmente que se cumple un requisito, sino que será esencial efectuar un seguimiento y comprobación continuada de la diligencia de la empresa y sus administradores en este campo.

En este blog seguiremos atentos, informando sobre las novedades y avances en esta materia que, más allá de aspectos técnicos, implica cuestiones jurídicas muy relevantes, tanto en el plano preventivo como en el plano reactivo ante posibles incidentes de ciberseguridad.

Autores: Josu Eguiluz y Miquel Peguera