Cuando Twitter contrató a Peiter «Mudge» Zatko como su nuevo responsable de seguridad en November 2020, recibió una cálida bienvenida por parte del entonces director ejecutivo, Jack Dorsey, quien lo había reclutado personalmente.
Como miembro del legendario colectivo de hackers « L0pht » en el 1990s, Mudge contribuyó a la creación de los conceptos de hacking ético («sombrero blanco») y de divulgación responsable de vulnerabilidades. Había trabajado para la Agencia de Proyectos de Investigación Avanzada de Defensa (DARPA) y para Google antes de incorporarse a Twitter.
Tras un ataque informático devastador ocurrido cuatro meses antes, que permitió a los atacantes hacerse con el control de cuentas pertenecientes al expresidente Barack Obama y al director ejecutivo de Tesla, Elon Musk, entre otros, la empresa necesitaba a alguien con la enorme reputación de Mudge para recuperar su credibilidad. Sin embargo, menos de dos años después, el que ya era exjefe de seguridad testificó ante el Congreso sobre el enfoque de seguridad de Twitter —«» (una negligencia flagrante")—, después de que, supuestamente, los directivos de la empresa hicieran caso omiso de sus numerosas advertencias.
Tal y como descubrió Mudge, el camino que lleva de ser un salvador de la seguridad a convertirse en denunciante es resbaladizo y empinado. Es sumamente raro que un alto directivo haga públicas unas vulnerabilidades de seguridad que no se han solucionado. Sin embargo, esto podría cambiar pronto, ya que están a punto de entrar en vigor las normas federales sobre la notificación de incidentes de ciberseguridad.
Se abre la vía para las denuncias de irregularidades
En el año « March 2022», se promulgó la Ley de Notificación de Incidentes Cibernéticos en Infraestructuras Críticas ( , CIRCIA) . Una vez que entren en vigor las normas definitivas, la ley exigirá a los profesionales de la ciberseguridad que trabajen en empresas de infraestructuras críticas que notifiquen sin demora a las autoridades federales los incidentes y los pagos de rescate .
«. Hay ocasiones en las que he dejado mi placa sobre la mesa y he dicho: “Esto no va a suceder mientras yo esté al mando”.»Malcolm Harkins, director de seguridad y confianza de Epiphany Systems
Según los expertos jurídicos de , la ley ofrece a los denunciantes que tengan conocimiento de que no se han comunicado a tiempo a la Agencia de Ciberseguridad y Seguridad de las Infraestructuras (CISA) las infracciones de ciberseguridad la oportunidad de denunciar dicha infracción mediante una demanda en virtud de la Ley de Reclamaciones Falsas.
La SEC también ha propuesto nuevas normas que obligan a las empresas que cotizan en bolsa a dar a conocer los «incidentes de ciberseguridad significativos» en un plazo de cuatro días desde que se produzcan, y ya ofrece importantes incentivos económicos a los empleados que denuncien a las organizaciones que incumplan dicha normativa. Como consecuencia de estos nuevos requisitos, se prevé que aumente el número de empleados que declaren su condición de denunciantes .
No tiene por qué ser así. Al adoptar una cultura de transparencia y responsabilidad compartida, las organizaciones pueden reducir las circunstancias que dan lugar a las denuncias, al tiempo que gestionan mejor los riesgos.
Los CISO se ven sometidos a una gran presión
La presión a la que se ven sometidos los CISO para ocultar información sobre riesgos cibernéticos graves es, lamentablemente, muy habitual, señala Malcolm Harkins, director de seguridad y confianza de Epiphany Systems y antiguo director de seguridad y privacidad de Intel.
A finales de 2020, Harkins publicó una encuesta en la plataforma Pulse.QA (ahora Gartner Peer Insights) en la que preguntaba a los profesionales de la seguridad si alguna vez se les había pedido que «encubrieran» riesgos de seguridad reales. De los más de 100 encuestados, casi el 60 % respondió que sí. Aunque la encuesta no era de carácter científico y contaba con una muestra reducida, refleja una realidad cada vez más presente entre los responsables de ciberseguridad, afirma Harkins.
«Todos hemos atravesado dificultades relacionadas con la integridad que han puesto a prueba nuestra determinación», escribió en * *, un ensayo publicado a principios de este año en . «Podíamos prever cuándo era probable que surgiera la presión…» «Podíamos olerlo, sentirlo como si fuera un sexto sentido».
Cuando se enfrentan a presiones poco éticas por parte de sus superiores, los responsables de seguridad tienen cuatro opciones: pueden oponerse con más firmeza e intentar que su superior cambie de opinión. Pueden gestionar el riesgo lo mejor que puedan y esperar evitar el desastre. Pueden entregar sus credenciales y buscar empresas que presten más atención a la seguridad. O bien pueden hacer pública la noticia, alertando a las autoridades reguladoras, aunque ello ponga en peligro sus carreras profesionales.
«Hay ocasiones en las que he puesto mi placa sobre la mesa y he dicho: “Esto no va a suceder mientras yo esté al mando”», afirma Harkins. «Personalmente, yo haría eso antes que convertirme en denunciante. «Si considera que la empresa está cometiendo un error grave, debería estar dispuesto a marcharse».
La seguridad es un trabajo en equipo
Los profesionales de la seguridad se enfrentan cada día a cientos de vulnerabilidades potencialmente graves de , afirma Steve Zalewski, antiguo director de seguridad de la información (CISO) de Levi Strauss y actualmente asesor de seguridad en S3 Consulting. Deben decidir cuáles de ellas suponen una amenaza lo suficientemente grave para la empresa y qué medidas adoptar en caso de que el director general o el consejo de administración se nieguen a actuar de forma adecuada.
«: Los CISO son como los bomberos: corren hacia el problema, esperando que se les trate como héroes». Sin embargo, cada vez son más los que se dan cuenta de que su empresa no les trata así.»Steve Zalewski, asesor de seguridad, S3 Consulting
«A menudo uno se ve obligado a asumir un riesgo mucho mayor del que le resulta aceptable, pero no dispone de ningún medio para gestionar ese riesgo», afirma. «Los CISO son como los bomberos: corren hacia el problema, esperando que se les trate como a héroes». «Pero cada vez se dan más cuenta de que esa no es la forma en que su empresa les está tratando».
Y, en ocasiones, los profesionales de la seguridad toman decisiones erróneas.
Según November 2016 , unos piratas informáticos violaron la seguridad de una base de datos de Uber y accedieron a los datos de 57 millones de clientes. Los piratas informáticos amenazaron con hacer públicos los datos a menos que Uber les pagara 100,000 dólares. Tras analizar la situación con el abogado especializado en seguridad de Uber y con el entonces director ejecutivo, Travis Kalanick, el director de seguridad, Joseph Sullivan, accedió a pagar a los atacantes a través del sistema de recompensas por la detección de fallos de la empresa. A continuación, no denunció el incidente ante la Comisión Federal de Comercio, que ya estaba investigando a la empresa por una filtración anterior.
[Lea también: Por qué los cazadores de fallos informáticos obtienen recompensas tan cuantiosas]
El pasado mes de octubre, Sullivan fue condenado por un delito grave por haber ocultado la filtración. En el momento de la publicación, aún no se había fijado una fecha para la vista de imposición de la pena.
«Joe cometió un error al seguir los malos consejos de otras personas de la empresa y, en retrospectiva, creo que ahora actuaría de otra manera», afirma Rob Chesnut, antiguo consejero general y director de ética de Airbnb, quien formó parte del Consejo Asesor de Seguridad de Uber en 2016 y ahora presta servicios de consultoría en cuestiones jurídicas y éticas. «Pero, ¿es justo que Joe asuma toda la responsabilidad, en un proceso penal, por el fracaso de la empresa? «No lo creo».
La condena de Sullivan ha llamado la atención de la comunidad de ciberseguridad, señala Chenxi Wang, fundador y socio director general de la empresa de capital riesgo Rain Capital, así como inversor en varias empresas emergentes del sector de la seguridad.
«Se ha debatido mucho sobre quién, dentro de una organización, tiene la responsabilidad de tomar decisiones que tengan repercusiones en materia de ciberseguridad», afirma. «¿A quién recae la responsabilidad? «El CISO no debería ser el único [responsable].»
Wang afirma que las organizaciones deben establecer un proceso para tomar decisiones clave sobre cómo se gestionan los incidentes cibernéticos y qué otros directivos son responsables y deben participar en dicho proceso. «Todo empieza por el consejero jurídico», añade Zalewski.
«Los consejeros jurídicos (GC) son los mejores aliados de un CISO, ya que son los únicos que tienen la obligación legal de anteponer los intereses de la empresa», afirma. «Cuando se menciona al consejero general en la reunión, la junta tiene la obligación de escucharle, y usted dispone de un registro escrito de lo ocurrido».
La cultura es fundamental
En última instancia, el hecho de que una empresa se convierta o no, sin pretenderlo, en un caldo de cultivo para los denunciantes depende, en definitiva, de la cultura corporativa. ¿Se sienten los empleados cómodos a la hora de decir la verdad a sus superiores? ¿Están dispuestos los líderes empresariales a escuchar?
«Si se encuentra en una empresa en la que lo único que se espera de usted es que acate órdenes y las ejecute, se va a enfrentar a más problemas de este tipo», señala Harkins. «Si los empleados carecen del derecho a mostrar su desacuerdo y a cuestionar las decisiones, se producirán más dilemas éticos de este tipo».
«La clave está en fomentar la transparencia y la comunicación desde abajo hacia arriba y desde el centro hacia afuera», señala Marene Allison, que está a punto de jubilarse como directora de seguridad de la información (CISO) de Johnson & Johnson.
[Lea también: Cómo los CISO pueden hablar de riesgo cibernético para que los CEO realmente escuchen]
Tras la aprobación de la Ley Sarbanes-Oxley en 2002, se exigió a las empresas que cotizan en bolsa que dispusieran de líneas directas de ética a través de las cuales los empleados pudieran denunciar de forma anónima posibles irregularidades. Allison afirma que toda empresa necesita un mecanismo para que los empleados puedan dar la voz de alarma cuando detecten alguna irregularidad.
«Las malas noticias, si se dan a conocer pronto, son buenas noticias», afirma. «Si una empresa desea ser transparente, debe brindar a sus empleados y a los contratistas externos la oportunidad de expresar su opinión sobre sus prácticas.» «Sí, se encontrará con la persona que quiere salir en el telediario de las 5 , pero también se encontrará con la persona que ve algo e intenta contárselo, pero a la que nadie hace caso».
Los responsables de seguridad tienen la obligación moral de hacer público cualquier incidente cibernético que pueda llegar a poner en peligro vidas humanas, sostiene Harkins. Sin embargo, en situaciones menos graves, lo más habitual es marcharse. Aconseja a los profesionales de la seguridad que, en primer lugar, documenten todo y lo compartan con el consejero jurídico y otros altos directivos. Esa táctica puede dejar un rastro documental que permita rendir cuentas en caso de que las autoridades reguladoras llamen a la puerta.
Una línea gris
Las amenazas son graves e imposibles de ignorar. Sin embargo, la ciberseguridad se caracteriza por presentar diversos matices de gris. Pueden darse situaciones relacionadas con denunciantes cuando existe una discrepancia entre la forma en que los responsables de seguridad y el resto de la alta dirección perciben el riesgo.
«La mejor manera de abordar la cuestión de los denunciantes es crear un entorno en el que no sean necesarios.»Rob Chesnut, exconsejero jurídico general y director de ética de Airbnb
Durante décadas, la ciberseguridad se ha promocionado apelando al miedo, y los profesionales de la seguridad pueden mostrarse un poco excesivos cuando hablan de riesgos, afirma Harkins. Esta postura puede resultar útil a la hora de solicitar la aprobación del presupuesto, pero también puede minar la credibilidad de un CISO cuando el cataclismo que había pronosticado no llega a producirse.
Por su parte, es posible que los directivos empresariales no sean capaces de comprender plenamente cómo una vulnerabilidad afecta a los resultados de la empresa. Y, aunque resulta relativamente fácil cuantificar los daños que provoca un incidente grave, es mucho más difícil cuantificar el valor de la inversión que evita que dicho incidente llegue a producirse. Es tarea del CISO defender esa postura sin exagerar.
«Muchas empresas no entienden en qué consiste la ciberseguridad; simplemente saben que deben contar con ella», afirma Zalewski. «Los CISO deben ayudar a las empresas a comprender la verdadera magnitud de los riesgos que asumen».
Sin embargo, resulta imposible proteger todos los activos por igual. Las empresas pueden estar actuando de forma totalmente correcta desde el punto de vista de la seguridad y, aun así, sufrir una brecha de seguridad. Lo más importante es cómo reaccionan. Y aún no se han definido las normas sobre cómo hacerlo de manera uniforme.
«El hecho de que una empresa sufra una filtración de datos no significa que sea una mala empresa», afirma Chesnut. «¿Son transparentes respecto a lo ocurrido y parecen estar sinceramente comprometidos con la solución del problema? «La mejor forma de abordar la cuestión de los denunciantes es crear un entorno en el que no sean necesarios».
