A raíz del reciente incidente en el Poder Judicial de Córdoba, que sufrió un ciberataque secuestrando información sensible, se está dando un debate sobre la necesidad de una regulación específica en la protección de datos.
Dentro de esta regulación deberían incluirse todas las capas tecnológicas, desde el sistema operativo de cada estación de trabajo hasta la aplicación corriendo en sus servidores, pasando por todo el intermedio.
Actualmente el nivel de estandarización tecnológica es muy alto, es decir los protocolos de actuación a nivel interno y externo son elevados, debido a los costos previsibles al momento de escalar el uso de los servicios.
Una vez que estén enumeradas las capas intermedias, podremos entender el nivel de protección y riesgo asumido con mayor discernimiento. Es muy humano arribar a la conclusión que estamos bajo control pensando holísticamente pero sin el detalle necesario para respaldarlo. Por lo menos tener en cuenta que los ciberataques se pueden efectuar en todos los niveles.
La sofisticación de los ataques ha llegado a un punto de desarrollo impresionante. Hoy en día es posible ejecutar un ataque exitoso sin instalar ningún software con permisos especiales. Es posible robar credenciales de acceso capturándolos sin una intromisión fácilmente detectable.
Ante esta realidad, ¿qué estrategia estaría a la altura de los riesgos? El primer paso es reconocer dónde estamos parados frente a los adversarios. Y desde ahí entender las posibilidades de acción a corto y mediano plazo. Además, encriptar los servidores y tener un backup para poder lidiar con la información perdida.
Tengamos en cuenta que hace escasas semanas se filtraron millones de datos de usuarios de la red social Twitter. Probablemente una de las redes con mayor seguridad debido al contenido de uso político con exposición masiva y a escala mundial. Y en Junio se descubrió un robo de contenido de TikTok, exponiendo la filtración de datos privados hacia China. Repercutiendo en una revisión de las políticas de control en empresas extranjeras operando en suelo norteramericano, por iniciativa del propio presidente.
Sería de gran ayuda revisar los marcos de seguridad de organismos no gubernamentales como NIST, Mitre, SANS, entre otros. Vienen de años de investigación elaborada en una variedad enorme de ambientes tecnológicos, llegando metódicamente a conclusiones validadas por su practicidad. Es decir, no es necesario reinventar la rueda, las opciones están disponibles para todo sector del ámbito público y privado.
Tal vez el interrogante mayor es que tipo de incidente justificaría subir la prioridad de este tema tan complejo de abordar. Si ya estamos viendo a gobiernos provinciales y a organismos nacionales siendo sus labores interrumpidas por ataques exitosos. ¿Cuál sería el próximo paso a seguir?