Medidas legales que las empresas deben tomar tras un ciberataque

Entrada

Los ciberataques ya no son solo un fallo técnico o un problema informático para las empresas. El secuestro de la cuenta de correo electrónico de una empresa, la filtración de datos de clientes, el cifrado de archivos por ransomware, el hackeo de un sitio web, el acceso no autorizado a los sistemas de pago, el robo de información de los empleados o el robo de secretos comerciales tienen graves consecuencias legales, financieras y para la reputación.

Por lo tanto, la primera reacción de una empresa que ha sido víctima de un ciberataque no debería ser simplemente "reiniciar el sistema". Si bien la intervención técnica es importante, es necesario abordar simultáneamente diversas cuestiones, como la protección de las pruebas legales, la determinación de si se ha producido una violación de datos personales, la evaluación de la obligación de notificar a la Autoridad de Protección de Datos Personales, la información a las personas afectadas, la presentación de una denuncia penal ante la fiscalía, la responsabilidad de proveedores y empleados, la notificación a las aseguradoras, la comunicación con los clientes y las decisiones del consejo de administración.

Según la Autoridad de Protección de Datos Personales, el responsable del tratamiento de datos está obligado a impedir el tratamiento ilícito y el acceso no autorizado a los datos personales, así como a garantizar su conservación. Para ello, debe adoptar medidas técnicas y administrativas que aseguren un nivel de seguridad adecuado. Si otra persona u organización trata los datos en su nombre, el responsable del tratamiento podrá ser solidario con dicha persona o entidad en la adopción de las medidas necesarias.

Por lo tanto, la cuestión fundamental para una empresa que ha sido objeto de un ciberataque es la siguiente: la empresa puede haber sido atacada; sin embargo, también se examinará si tomó las precauciones necesarias antes del ataque, si actuó con rapidez y transparencia después del ataque y si cumplió con sus obligaciones legales de notificación.

Primer paso tras un ciberataque: Es necesario crear un equipo de crisis

En cuanto se detecte un ciberataque, se debe crear un equipo de crisis rápido dentro de la empresa. Este equipo no debe estar compuesto únicamente por personal de TI. El departamento legal, el responsable de protección de datos (RGPD), la alta dirección, el equipo de seguridad de la información, un experto externo en ciberseguridad, recursos humanos, atención al cliente y, si es necesario, un asesor financiero o un consultor de seguros, deben colaborar estrechamente.

La evaluación inicial debe buscar respuestas a las siguientes preguntas: ¿Cuándo comenzó el ataque? ¿Qué sistemas se vieron afectados? ¿Hubo una filtración de datos personales? ¿El ataque continúa? ¿Se eliminaron, cifraron o copiaron los datos? ¿Quiénes son los grupos afectados? ¿Hay datos de clientes, empleados, proveedores, pacientes, estudiantes o usuarios involucrados? ¿Se vieron afectados datos personales sensibles? ¿El ataque tuvo un origen externo o provino de un empleado o proveedor?

En esta etapa, mientras el equipo técnico trabaja para poner en marcha el sistema, el equipo legal debe evaluar los plazos de notificación, el valor probatorio, la preparación de denuncias penales y la estrategia de divulgación de la empresa. La presión del tiempo es especialmente importante si existe la posibilidad de una violación de datos personales. La Ley de Protección de Datos Personales (KVKK) establece claramente que el responsable del tratamiento de datos debe notificar a la Junta Directiva sin demora y, como máximo, en un plazo de 72 horas desde que tenga conocimiento de la violación.

El sistema no debe formatearse sin preservar las pruebas

Uno de los mayores errores que cometen las empresas tras un ciberataque es entrar en pánico y formatear todos los sistemas, eliminar los registros o intentar borrar cualquier rastro del ataque. Si bien este enfoque puede, técnicamente, restablecer el funcionamiento del sistema rápidamente, puede conllevar la pérdida de pruebas desde una perspectiva legal y forense.

La forma en que se produjo el ataque, las direcciones IP utilizadas para las conexiones, las cuentas de usuario empleadas, los archivos descargados, los datos exportados, el malware ejecutado en el sistema, la duración de la conexión del atacante y las cuentas de empleados comprometidas solo pueden determinarse mediante evidencia técnica. Por lo tanto, es fundamental conservar los registros de actividad, las imágenes del servidor, los registros del firewall, los registros de VPN, la información de los encabezados de correo electrónico, las alertas de antivirus/EDR, los registros de acceso, los registros de la base de datos y los registros de copias de seguridad.

Preservar las pruebas es fundamental no solo para el proceso judicial, sino también para las notificaciones del RGPD y las posibles reclamaciones de indemnización. Cuando una empresa notifica a la Junta, es posible que deba explicar cómo se produjo la infracción, qué datos se vieron afectados, cuándo se detectó y qué medidas se tomaron. Sin pruebas, la empresa no puede evaluar adecuadamente la infracción.

Por lo tanto, tras un ciberataque, se debe solicitar el apoyo de un experto forense informático, crear correctamente las imágenes del sistema, almacenar los registros con marcas de tiempo y elaborar informes técnicos. La empresa debe documentar el proceso de preservación de pruebas mediante actas y resoluciones escritas.

Es necesario evaluar de inmediato si se ha producido una violación de datos personales

No todos los ciberataques constituyen una violación de datos personales. Por ejemplo, si el sitio web de una empresa sufre un ataque DDoS de corta duración y no se accede a datos personales, es posible que no se requiera una notificación de violación de datos según la Ley Turca de Protección de Datos Personales (KVKK). Sin embargo, se produce una violación de datos personales si las listas de clientes, las nóminas de los empleados, la información de identidad, la información de pago, los datos de salud, las direcciones, los números de teléfono, las cuentas de correo electrónico, los registros de IP, la información de membresía u otros datos personales sensibles caen en manos de personas no autorizadas.

Según la declaración de la Autoridad, si terceros obtienen datos personales por medios ilícitos, el responsable del tratamiento está obligado a notificarlo al interesado y al Consejo lo antes posible. Asimismo, las medidas de seguridad de los datos deben determinarse en función del tamaño de la empresa, su sector de actividad y la naturaleza de los datos tratados; no se prevé un modelo de seguridad único y uniforme.

Por lo tanto, la empresa debe elaborar un informe de evaluación de la violación de datos en las primeras 24 horas. Este informe debe detallar el tipo de violación, los sistemas afectados, si se accedió a datos personales, qué categorías de datos se vieron afectadas, el número estimado de personas, si la violación continúa activa y las medidas iniciales adoptadas. Si aún no se conocen todos los detalles, esto debe indicarse claramente; sin embargo, la incertidumbre no debe utilizarse como pretexto para retrasar la obligación de notificación.

No debe olvidarse el requisito de notificación con 72 horas de antelación previsto en la Ley de Protección de Datos Personales

Si un ciberataque constituye una violación de datos personales, la empresa podría tener la obligación de notificarlo a la Junta de Protección de Datos Personales. Los comunicados recientes de la Junta establecen claramente que, de conformidad con la Decisión n.º 2019/10, de 24 de enero de 2019, los responsables del tratamiento de datos están obligados a notificar a la Junta sin demora y en un plazo máximo de 72 horas desde que tengan conocimiento de la violación.

Este plazo de 72 horas no implica que la empresa deba resolver el ataque por completo. Lo importante es informar de la brecha de seguridad con la mayor brevedad posible tras su detección. Si se está llevando a cabo una investigación técnica, el informe inicial puede incluir la información disponible; los informes posteriores pueden contener información adicional y actualizaciones. La pantalla de notificación de brechas de seguridad de la organización también exige una explicación del retraso en la presentación del informe si han transcurrido más de 72 horas.

La notificación debe incluir la fecha y hora de la detección de la brecha de seguridad, las categorías de datos afectadas, el número de personas que podrían verse afectadas, las posibles consecuencias, las medidas adoptadas, si se notificó a las personas pertinentes y la información de contacto. No proporcionar una notificación incompleta, tardía o inexacta puede aumentar el riesgo de sanciones administrativas para la empresa.

Las personas afectadas deben ser notificadas de forma clara y sencilla

También es posible que sea necesario notificar a las personas cuyos datos personales se hayan visto afectados por un ciberataque. Estas personas pueden incluir clientes, empleados, exempleados, representantes de proveedores, miembros, pacientes, estudiantes, solicitantes o usuarios de la plataforma.

Según la decisión del Comité de Protección de Datos Personales de fecha 18 de septiembre de 2019, número 2019/271, la notificación de la violación de seguridad al interesado debe realizarse en un lenguaje claro y sencillo; debe incluir al menos los siguientes elementos: cuándo se produjo la violación, qué categorías de datos personales se vieron afectadas, las posibles consecuencias de la violación, las medidas adoptadas o recomendadas para mitigar los efectos negativos y las personas de contacto o los canales de comunicación a través de los cuales se puede obtener información.

Esta notificación no debe generar pánico ni minimizar el incidente. Por ejemplo, una declaración vaga como «experimentamos un fallo técnico en nuestro sistema» podría no ser suficiente. Si se han visto afectados nombres, números de teléfono, direcciones de correo electrónico, direcciones postales, nombres de usuario, hashes de contraseñas, historial de pedidos o información financiera, estos datos deben divulgarse de forma explícita. Se deben ofrecer a los usuarios sugerencias concretas, como cambiar sus contraseñas, tener cuidado con los correos electrónicos de phishing, supervisar sus cuentas bancarias o contactar con el servicio de atención al cliente.

Se debe presentar una denuncia penal ante la fiscalía

En la mayoría de los casos, los ciberataques se consideran delitos según el Código Penal turco. En concreto, el acceso no autorizado a un sistema empresarial, la copia de bases de datos, la eliminación de archivos, la inutilización del sistema, el cifrado de datos mediante ransomware o la transferencia de datos a terceros pueden ser objeto de investigación penal.

El artículo 243 del Código Penal turco (CPT) regula el acto de entrar o permanecer ilegalmente en la totalidad o parte de un sistema de información. Por otro lado, el artículo 244 del CPT castiga actos como obstruir o interrumpir el funcionamiento de un sistema de información, corromperlo, destruirlo, alterarlo, hacerlo inaccesible, insertar datos en el sistema o enviar datos existentes a otro lugar.

Una denuncia penal debe ser técnicamente sólida y estar elaborada de forma concreta. No basta con afirmar simplemente que "Nuestra empresa fue hackeada". La denuncia debe incluir la fecha en que se detectó el ataque, los sistemas afectados, el método de ataque, los registros de IP/registros, las exigencias del atacante, los mensajes de rescate, muestras de malware, las alegaciones de filtración de datos, los servidores afectados y los informes técnicos. La denuncia debe solicitar a la fiscalía que investigue las direcciones IP, obtenga los registros de los proveedores de servicios pertinentes, examine los nombres de dominio y las direcciones de monederos de criptomonedas utilizados en el ataque, e identifique al o los autores.

La decisión de pagar un rescate en ataques de ransomware debería estar sujeta a revisión legal

En los ataques de ransomware, los archivos de una empresa se cifran y el atacante exige un pago específico en criptomonedas. En algunos casos, los datos no solo se cifran, sino que también se filtran, y el atacante amenaza con publicarlos en línea si no se realiza el pago. En estos casos, los riesgos técnicos y legales aumentan considerablemente.

La empresa debe realizar una evaluación legal exhaustiva antes de pagar el rescate. El pago no garantiza la recuperación de los datos ni que el atacante no los copie, revenda o publique. Además, el simple hecho de pagar el rescate no refuerza la defensa futura de la empresa, que podría argumentar que "tomamos todas las precauciones necesarias".

En los ataques de ransomware, las prioridades incluyen la restauración de datos a partir de copias de seguridad, el aislamiento del sistema, la eliminación del malware, el análisis de fugas de datos, la notificación conforme al RGPD y la presentación de una denuncia ante la fiscalía. La correspondencia con el atacante, las direcciones de monederos de criptomonedas, las notas de rescate y las demandas de pago deben conservarse como prueba. Si se cuenta con una póliza de ciberseguro, también se debe consultar con la aseguradora el período de notificación y la cobertura.

Se deben evaluar las notificaciones sectoriales y de la USOM

No todas las empresas tienen la misma obligación de informar sobre incidentes cibernéticos a la USOM. Sin embargo, la coordinación con la USOM y las estructuras SOME (Centros de Operaciones de Seguridad) sectoriales pertinentes puede ser necesaria según la magnitud del ataque, el sector, la naturaleza de la infraestructura crítica y si se trata de comunicaciones electrónicas, finanzas, energía, sanidad, servicios públicos o regulación sectorial.

Según la BTK (Autoridad de Tecnologías de la Información y la Comunicación), el Centro Nacional de Respuesta a Incidentes Cibernéticos (USOM) se creó para identificar amenazas a la ciberseguridad de Turquía, mitigar o eliminar los efectos de posibles ciberataques e incidentes, y lleva a cabo esfuerzos de coordinación nacionales e internacionales las 24 horas del día, los 7 días de la semana. El USOM actúa en coordinación con las autoridades judiciales y los organismos encargados de hacer cumplir la ley cuando detecta indicios que constituyen un delito.

En algunos sectores, como el de las comunicaciones electrónicas, los operadores también deben tomar precauciones contra los ciberataques, establecer Centros de Operaciones de Seguridad Corporativa (COOC) y trabajar en coordinación con los COOC sectoriales. La declaración de la BTK (Autoridad de Tecnologías de la Información y la Comunicación) sobre los COOC sectoriales indica que los operadores deben tomar las precauciones necesarias contra los ataques DoS/DDoS, la propagación de malware y ataques similares en coordinación con el USOM (Centro Nacional de Ciberseguridad).

Por lo tanto, las empresas que hayan sido objeto de un ciberataque deben evaluar no solo la Ley de Protección de Datos Personales (KVKK), sino también las notificaciones de los organismos reguladores sectoriales, según su campo de actividad.

Los comunicados dirigidos a clientes y socios comerciales deben prepararse con sumo cuidado

La gestión de la comunicación tras un ciberataque es crucial. Las declaraciones que una empresa realiza a sus clientes, socios comerciales, empleados o al público tienen consecuencias tanto legales como para su reputación. Las explicaciones insuficientes pueden provocar una pérdida de confianza, mientras que las explicaciones excesivas e imprecisas pueden generar pánico innecesario o la percepción de que se está asumiendo la responsabilidad.

Al hacer una declaración, es fundamental encontrar un equilibrio: la empresa no debe ocultar el incidente, pero tampoco debe compartir información técnica no verificada como si fuera la verdad absoluta. Si se afirma que "no se vieron afectados los datos", esto debe estar respaldado por un informe técnico. Si se afirma que "solo un grupo limitado de usuarios se vio afectado", debe explicarse cómo se determinó dicho grupo.

Las notificaciones a las partes interesadas en relación con la Ley de Protección de Datos Personales (KVKK) no deben confundirse con las declaraciones públicas. Las notificaciones de la KVKK deben ser más concretas, basarse en categorías específicas de datos personales y proporcionar orientación al titular de los datos. Una declaración pública, por otro lado, debe exponer la postura general de la empresa sobre el tema, las medidas adoptadas y los canales de comunicación utilizados.

En caso de ataques originados por los proveedores, se deben revisar los contratos

Muchos ciberataques no se originan directamente en los sistemas de la empresa, sino a través de un proveedor o prestador de servicios externo. Un proveedor de servicios en la nube, un proveedor de correo electrónico, una empresa de CRM, un proveedor de software, una entidad de pago, un centro de llamadas, un software de recursos humanos o un programa de contabilidad podrían ser la fuente del ataque.

La Autoridad de Protección de Datos Personales establece que, cuando los datos personales son tratados por personas distintas del responsable del tratamiento, este último es corresponsable con dichas personas de adoptar las precauciones necesarias. Por lo tanto, la empresa no puede eludir completamente su responsabilidad alegando: «Los datos se filtraron del proveedor, no nos incumben».

Tras un ciberataque, es fundamental revisar inmediatamente los contratos con los proveedores. ¿Incluyen cláusulas relativas a las obligaciones de seguridad de datos, los plazos de notificación de incidentes, el intercambio de registros, los derechos de auditoría, el uso por parte de subcontratistas, la transferencia de datos al extranjero, la indemnización, los límites de responsabilidad y los seguros? ¿Informó el proveedor del ataque con prontitud? ¿Tomó las medidas de seguridad necesarias? Estas preguntas son cruciales tanto para los procesos de indemnización como para los de reclamación.

En caso de infracciones cometidas por empleados actuales o anteriores, deberán iniciarse procedimientos legales relacionados con el derecho laboral

Un ciberataque no siempre es causado por un pirata informático externo. Un empleado maltratado, un exempleado, un miembro del personal cuyo acceso no ha sido revocado tras dejar la empresa, un jefe de departamento que utiliza una contraseña débil o un empleado que hace clic en un correo electrónico de phishing pueden contribuir a la brecha de seguridad.

En este caso, la empresa también debe evaluar los aspectos laborales del incidente. Se deben examinar la intención del empleado, su negligencia, si recibió capacitación, el cumplimiento de las políticas de la empresa, si sus derechos de acceso fueron excesivos y si el empleador tomó las precauciones necesarias. Si el empleado robó datos maliciosamente, podrían surgir cargos penales, la rescisión del contrato laboral y reclamaciones de indemnización.

Sin embargo, un error del empleado no exime automáticamente a la empresa de responsabilidad. La responsabilidad de la empresa también es cuestionable si no ha proporcionado capacitación en seguridad de la información a sus empleados, no ha utilizado la autenticación multifactor, no ha limitado los permisos para la tarea, no ha revocado el acceso a exempleados ni ha mantenido registros de actividad.

El Consejo de Administración y la Alta Dirección deben formalizar el proceso por escrito

Los ciberataques son un asunto de gestión de riesgos corporativos para la empresa. Por lo tanto, en caso de incidentes graves, el consejo de administración o el órgano de gestión autorizado debe documentar el proceso por escrito. Las medidas técnicas adoptadas, las decisiones de notificación del RGPD, la contratación de expertos externos, las denuncias ante la fiscalía, las notificaciones a clientes y aseguradoras, y las revisiones de proveedores deben quedar registradas junto con las decisiones de la dirección.

Este enfoque es importante para demostrar el deber de diligencia de la empresa en el futuro. En caso de una investigación del consejo de administración, una demanda de un cliente, una disputa de responsabilidad entre socios o una disputa con la aseguradora, la empresa puede demostrar por escrito que tomó el ataque en serio, actuó con rapidez y cumplió con sus obligaciones legales.

Debe evaluarse el riesgo de multas administrativas e indemnizaciones en virtud de la Ley de Protección de Datos Personales (KVKK)

Una empresa que haya sido víctima de un ciberataque puede enfrentarse a multas administrativas en virtud de la Ley de Protección de Datos Personales (KVKK). La KVKK publica una tabla oficial que muestra el incremento de las multas administrativas previstas en el artículo 18 de la Ley n.º 6698 para el periodo 2017-2026, según las tasas de revaluación.

Lo importante aquí es que el hecho de que una empresa se vea afectada por una violación de seguridad no constituye, por sí solo, motivo de sanción; sin embargo, se puede examinar si la empresa adoptó las medidas técnicas y administrativas necesarias, notificó la violación de seguridad de manera oportuna, informó correctamente a las partes interesadas y tomó medidas correctivas después de la violación. La Autoridad indica que la Junta puede decidir iniciar una investigación una vez que el responsable del tratamiento de datos haya cumplido con su obligación de informar.

Además, los clientes, empleados u otras partes relacionadas pueden reclamar una indemnización por daños materiales y patrimoniales. Por ejemplo, si un cliente cuya información de identidad se ha filtrado ha sido víctima de fraude, si una persona cuyos datos de salud se han divulgado ha sufrido daños no económicos, o si se han publicado los registros de nómina de los empleados, pueden surgir reclamaciones de indemnización. Por lo tanto, la empresa no debe conformarse con una simple notificación administrativa tras una violación de seguridad; también debe considerar la posible responsabilidad civil.

Documentos que una empresa necesita preparar tras un ciberataque

Tras un ciberataque, la empresa debe mantener un archivo completo. Este archivo debe incluir el informe del incidente, el informe preliminar de la investigación técnica, los registros de actividad, la información de la imagen del sistema, las decisiones del equipo de crisis, la nota de evaluación del RGPD, la notificación al Consejo de Administración, ejemplos de notificaciones enviadas a las personas pertinentes, la denuncia penal ante la fiscalía, la correspondencia con los proveedores, los textos de comunicación con los clientes, las medidas técnicas adoptadas y un informe final.

El informe final es de suma importancia. Este informe debe especificar la causa raíz del ataque, los sistemas afectados, las categorías de datos afectados, las medidas inmediatas adoptadas, las mejoras de seguridad permanentes, las acciones a realizar para prevenir su recurrencia y los responsables. La empresa debe demostrar ante el consejo de administración o el tribunal que ha implementado mejoras desde el incidente.

Medidas legales preventivas que deben adoptarse antes de un ciberataque

La preparación previa a un ataque es tan importante como las medidas que se deben tomar después de un ciberataque. Las empresas deben crear un inventario de datos, una política de seguridad de datos, una matriz de autorización de acceso, compromisos de privacidad para los empleados, contratos con proveedores, un plan de respuesta ante filtraciones de datos, capacitación periódica, una política de copias de seguridad y auditorías de ciberseguridad.

Las medidas técnicas y los textos legales deben ser coherentes. Si la declaración de divulgación del RGPD indica que los datos se procesan de forma segura, la empresa debe contar con medidas técnicas que lo respalden. Si el contrato con el proveedor incluye una cláusula que exige la notificación de una violación de seguridad en un plazo de 24 horas, el proveedor debe estar preparado para implementar este proceso. Si se afirma que los empleados han recibido capacitación en seguridad de la información, se deben conservar los registros de dicha capacitación.

Conclusión

Las medidas legales que deben adoptar las empresas afectadas por ciberataques no se limitan a la intervención técnica. La empresa debe, en primer lugar, constituir un equipo de crisis, preservar las pruebas, evaluar si se ha producido una violación de datos personales, notificar a la Junta de Protección de Datos Personales en un plazo de 72 horas si fuera necesario, informar a las personas afectadas de forma clara y concisa, presentar una denuncia penal ante la fiscalía, investigar la responsabilidad de proveedores y empleados, gestionar los procesos de seguros y contratos, y documentar todo el proceso por escrito.

Según la Ley de Protección de Datos Personales (KVKK), el responsable del tratamiento de datos está obligado a adoptar las medidas técnicas y administrativas necesarias para prevenir el tratamiento y el acceso ilícitos a los datos personales, garantizar su conservación y proporcionar un nivel de seguridad adecuado. Si terceros obtienen datos personales por medios ilícitos, surge la obligación de notificarlo tanto para la Junta como para los interesados.

Desde la perspectiva del derecho penal, los ciberataques pueden constituir delitos según el artículo 243 del Código Penal turco (TCK) por acceso no autorizado a un sistema de información, y según el artículo 244 por obstrucción, interrupción, destrucción, alteración o inaccesibilidad de datos dentro de un sistema. Por lo tanto, la empresa no debe presentar una denuncia penal sin conservar pruebas técnicas; debe respaldar su solicitud ante la fiscalía con direcciones IP, registros, malware, mensajes de ransomware, direcciones de monederos de criptomonedas e informes técnicos.

En conclusión, el enfoque más adecuado para una empresa que sufre un ciberataque es gestionar simultáneamente las crisis técnicas y legales. Las empresas que actúan con rapidez pero basándose en pruebas, que cumplen con los plazos del RGPD, que informan debidamente a las personas pertinentes, que respaldan el proceso judicial con informes técnicos y que implementan mejoras de seguridad permanentes tras el ataque, pueden reducir el riesgo de multas administrativas, reclamaciones de indemnización y daños a la reputación.