Claudia Da Costa Bonard De Carvalho: «¡El monstruo de los datos puede atacar a su CISO!»

Vivimos en la plenitud de la era del emprendimiento digital, donde ya no basta con tener un sitio web, una dirección de correo electrónico o incluso una aplicación para comercializar productos y servicios. Las empresas ahora necesitan nuevas tecnologías como servidores en la nube, chatbots para comunicarse con los clientes y análisis de datos para obtener métricas de rendimiento de sus negocios.

En este sentido, el consejo directivo de las empresas ya no está ajeno a la realidad digital de los negocios, pero todavía comete serios errores en la conducción de sus estrategias en línea, siguiendo modas de innovación sin una comprensión clara de las capacidades de su red, lo que crea vulnerabilidades al preocuparse únicamente por proyectar una imagen de empresa disruptiva en las redes sociales.

Sucede que, para que todo esto funcione bien, es necesario manipular una enorme cantidad de datos que circulan por sistemas corporativos o de terceros, lo que genera un gran riesgo digital para su seguridad y demanda una fuerte protección contra acciones criminales, como ataques de ransomware.

Lamentablemente, en el uso de estas tecnologías tampoco hay una preocupación efectiva por la protección de los datos personales de los clientes que transitan por los sistemas, a pesar de las numerosas leyes de privacidad que ya están en vigor en varios países, como la LGPD en Brasil, que impone multas severas por fallas en el manejo y almacenamiento de esta información, utilizada en varios recursos tecnológicos como el metaverso, plataformas de blockchain e inteligencia artificial (IA).

Es importante destacar que, además de las leyes de protección de datos personales, ya existe un estándar de orientación sobre la gestión de riesgos de privacidad, la ISO 27557, que establece directrices aplicables a diversas tecnologías que ya son una realidad.

También cabe señalar que los miembros del consejo directivo son conscientes de los peligros que conlleva la innovación, pero los ven solo como un riesgo inherente al negocio, sin dar al CISO las herramientas adecuadas ni contratar equipos especializados para atender las demandas de ciberseguridad derivadas de los nuevos proyectos, como es el caso del uso masivo actual de la nube corporativa, a pesar del aumento de las filtraciones de datos personales almacenados en la nube, desde 2023.

Con respecto a la IA, el peligro es aún mayor, ya que requiere el uso de grandes cantidades de datos, especialmente en su modalidad generativa, lo que aumenta el riesgo de vulnerabilidades en los sistemas. Por ello, debe haber una responsabilidad doble en su uso dentro de las empresas, lo que ya está siendo objeto de varios proyectos de regulación para proteger igualmente la privacidad de los ciudadanos.

Así, no es aceptable que una empresa se preocupe solo por sus ingresos, ampliando su presencia digital en el mercado con nuevas tecnologías, pero sin cumplir con el uso de datos personales, lo que demuestra su indiferencia hacia el cliente al permitir que su información caiga en manos de criminales, quienes la usarán para llevar a cabo diversos fraudes financieros.

Por lo tanto, en tiempos de ataques cibernéticos con IA y el uso de computación cuántica, es esencial proporcionar al CISO las condiciones necesarias para que su actuación también se centre en la protección de datos personales, de acuerdo con las necesidades del negocio. Esto también requiere la ayuda de profesionales de otras áreas, como abogados, estadísticos, entre otros, para alcanzar estos objetivos.

Para que esto sea posible, debe haber una comunicación adecuada entre el consejo directivo de la empresa y sus CISOs para comprender las demandas más relevantes, con el fin de implantar realmente una cultura de Compliance Digital en el ámbito de la seguridad cibernética, tan importante como la ética en los negocios. Esto incluye definir buenas prácticas y acciones de prevención de incidentes, como la capacitación de los empleados para mitigar el riesgo del factor humano en la ciberseguridad en el uso de datos.

Claudia Da Costa Bonard De Carvalho Abogada penal en Río de Janeiro – Brasil, especializada en la atención a empresas en compliance digital y delitos cibernéticos, autora de libros, conferencista y profesora, fundadora de la Criminal Compliance Business School.