«La ciberseguridad, una cuestión estratégica y una prioridad», artículo de María González, asociada senior de IT, Risk & Compliance de ECIJA, para Actualidad Jurídica Aranzadi.

El pasado domingo saltaba a la palestra el último escándalo. Mediante la publicación de un gran volumen de información de uno de los más importantes despachos de abogados en la creación de sociedades “offshore” (Mossack Fonseca), se ponía al descubierto no sólo información que permite conocer con detalle el funcionamiento del mundo “offshore” sino que, además, pone de manifiesto un problema de seguridad de la información y ciberseguridad.

Los “Papeles de Panamá”, como se ha denominado el caso, supone una filtración de un gran volumen de documentos en formato digital, que incluyen todo tipo de documentos, incluidos mensajes de email. Se habla de 11,5 millones de documentos y un volumen total de 2.6 TB de información, lo que supone que esta filtración pueda estar incluso, a nivel cuantitativo, por encima de otras filtraciones como Wikileaks (2010) y Snowden en 2013.

A diferencia de estas, donde las filtraciones tuvieron su origen en el interior de las organizaciones, parece que en el caso de los “Papeles de Panamá” el origen puede derivar de un ataque externo (hacker) sobre los sistemas de información del despacho, según parecen desprender las investigaciones e inspecciones forenses que han encargado a terceros especialistas.

Pero… ¿Están los despachos de abogados preparados ante problemas de Ciberseguridad? Sean filtraciones internas o ataques externos, es esencial que los despachos de abogados implanten medidas de seguridad que permitan la protección de la información que tratan y custodian (que en muchos casos tendrá un carácter especialmente sensible), medidas que han de ser de carácter preventivo y reactivo; y que deben permitir minorar, por un lado, el riesgo de fuga o filtración de información y, por otro, permitir la detección y reacción a tiempo ante un ataque, minorando los daños que éste pueda producir.

En cuanto a las medidas de seguridad de carácter preventivo que pueden ser implantadas por los despachos, en línea con los sistemas de gestión de seguridad de la información y continuidad de negocio (alineados con estándares como ISO 27001y ISO 22301), pasan por cuestiones esenciales como:

* Sistemas de respaldo y recuperación de información. Puede parecer una cuestión básica, pero la realización de copias de seguridad de la información, así como la implantación de sistemas que permitan recuperar información en caso de pérdida o desastre es una cuestión clave.

* Sistemas de control de acceso. Deben ser implantados por los despachos tanto sistemas de control de acceso físico a las instalaciones y archivos, como sistemas de control de acceso lógico a la información. Segregar los permisos de acceso en base a las necesidades derivadas de las funciones desempeñadas partiendo del principio de “mínimo conocimiento”. En el caso de acceso a sistemas o información especialmente sensibles, implantar sistemas de acceso con doble factor de autenticación o incluso utilizando otros sistemas como los biométricos, pueden reforzar la seguridad requerida.

* Sistemas de monitorización de la red empresarial. Sistemas antivirus, antimalware, firewalls, análisis del tráfico de datos, sistemas de prevención de fugas de información (DLP), permitirán la detección de cualquier incidencia, vulneración o fallo que pueda suponer un riesgo para la seguridad del despacho, adoptar acciones que permitan frenar el ataque y minorar los daños que puedan ocasionarse, así como desarrollar e implantar las medidas adecuadas que permitan corregir la vulnerabilidad.

* La protección del papel. Aunque cada vez es menor el uso de papel en los despachos de abogados, es esencial llevar a cabo políticas en relación a la protección de los datos e informaciones tratados en papel: uso de impresoras, la custodia de expedientes, la seguridad de acceso a los archivos, etc.

* Cumplimiento normativo. La actividad del sector de la abogacía está sometida a múltiples normas que tienen exigencias concretas de seguridad y protección de los datos e informaciones como: la normativa de protección de datos, normativa de prevención del blanqueo de capitales, así como entre otras, normas de carácter sectorial que dependiendo de la actividad concreta del despacho pueden ser también de aplicación como: normativa financiera y aseguradora, estándares como PCI-DSS, etc…

* Concienciación, concienciación, concienciación. Los riesgos en ciberseguridad y seguridad de la información derivan mayoritariamente de errores o falta de conocimiento de los usuarios de los sistemas, por ello es de suma importancia concienciar y formar a todos los compañeros del despacho.

En materia de seguridad de la información ha de tenerse en cuenta además la importancia de la mejora continúa. Debe llevarse a cabo, no sólo el análisis y auditoría periódica exigida legalmente, sino además un análisis exhaustivo (incluso forense) de las vulnerabilidades y ataques detectadas, desarrollando e implantando de medidas correctivas que impidan que pueda producirse un evento similar en el futuro.

La ciberseguridad y la seguridad de la información en general, debe convertirse en una prioridad y cuestión estratégica, al igual que en otros sectores, también en los despachos de en los despachos de abogados. Las quiebras de seguridad y la vulneración de la protección de la información sensible y confidencial de los despachos, acarrean riesgos y daños de carácter legal, económico y sobre todo reputacional, que han de ser evitados.