Una brecha de seguridad es un incidente que afecta a datos de índole personal y que un analista programador ha de saber controlar. Puede tener un origen accidental o intencionado. Por otro lado, puede afectar a información tratada de forma digital o en formato papel. Por lo general, ocasiona la destrucción, pérdida, alteración, comunicación o acceso no autorizado a datos personales. Dicho de otro modo, es un incidente que permite el acceso no autorizado a datos informáticos, aplicaciones, redes o dispositivos. Se suele producir cuando un intruso logra sortear los mecanismos de seguridad que hemos implementado.
En Imagar insistimos en que las organizaciones que se enfrenten a estas situaciones de seguridad informática, han de reflexionar acerca de lo sucedido, valorar las consecuencias para las personas cuyos datos se hayan visto afectados. Por descontado, hay que pensar en qué medidas de seguridad técnicas u organizativas podrían haber llegado a evitar la brecha y la posibilidad de implementarlas. Los responsables han de contar con un procedimiento de gestión de incidentes de seguridad que afecten a datos de carácter personal. Siempre adaptado a las características del tratamiento.
Desde un punto de vista técnico, hay una notable diferencia entre una brecha de seguridad y una brecha o filtración de datos. Una brecha de seguridad supone una intromisión por una falta de calidad del software. Por su parte, una brecha de datos es la sustracción de información por parte de un ciberdelincuente.
Es innegable que la información confidencial tiene un gran valor. Puede venderse en la llamada dark web. Por ejemplo, nombres y números de tarjetas de crédito para cometer fraude o suplantar una identidad.
Brecha de seguridad e incidente de seguridad
Un incidente puede tratarse, por ejemplo, de una infección con malware o un ataque DDOS. No supone el acceso a la red ni la pérdida de datos. Por lo tanto, no lo podemos considerar brecha de seguridad.
Tipos de brechas de seguridad según cómo se acceda al sistema
- Exploit: ataca una vulnerabilidad del sistema. Por ejemplo, un sistema operativo obsoleto o no actualizado. Puede afectar a empresas que utilizan versiones de Microsoft Windows antiguas o que no las actualicen.
- Contraseñas débiles: las que pueden descifrarse o piratearse.
- Ataques con malware: al igual que los correos electrónicos de phishing, se pueden emplear para penetrar en los sistemas.
- Descargas ocultas: se valen de virus o de un malware instalado a través de un sitio web fraudulento o infectado.
- Ingeniería social: también puede utilizarse para penetrar en sistemas.
Las brechas de seguridad, además de afectar a grandes empresas, pueden hacer lo propio con ordenadores y demás dispositivos personales. Por eso, hay que evitar el uso de contraseñas débiles o de redes Wi-Fi públicas.
Qué hacer tras un problema de seguridad
Como imaginas, una brecha de seguridad puede acarrear serias consecuencias. Por eso, hay que intentar evitarlas y, si se dan, gestionarlas adecuadamente.
En el Reglamento (UE) 2016/679, General de Protección de Datos se establece que es obligatorio que las organizaciones, públicas y privadas, que actúen como responsables de tratamiento, notifiquen a la Autoridad de Control competente las brechas de seguridad que puedan producir daños y perjuicios a las personas. En caso de que estos daños sean graves, hay que comunicar la brecha a las personas afectadas. El plazo para notificar a la Autoridad de Control es de 72 horas desde que tiene constancia de ella.
Aparte, hay otras disposiciones normativas que obligan a notificar brechas de seguridad a la AEPD, como el artículo 41 de la Ley 9/2014, de 9 de mayo, General de Telecomunicaciones a los operadores de servicios de comunicaciones electrónicas disponibles al público. Estas notificaciones se realizan mediante el formulario de notificaciones de brechas de seguridad de la Sede Electrónica.
