Cuando las autoridades de seguridad pública de Shenzhen detectaron 19 fallos de ciberseguridad en las operaciones de Walmart en China, emitieron una advertencia oficial en la que afirmaban que la mayor cadena minorista del mundo había infringido la legislación nacional en materia de ciberseguridad. Las autoridades chinas no impusieron multas, pero sí ordenaron a Walmart que subsanara las deficiencias. Esa orden fue una advertencia, y no solo para Walmart.
Las multinacionales que operan en la segunda economía más grande del mundo se encuentran ahora en estado de máxima alerta, ya que se enfrentan a un mayor escrutinio para cumplir con las nuevas leyes en materia de ciberseguridad y protección de datos personales.
Las nuevas normas sobre protección de datos entraron en vigor en otoño de 2021, pero, según los observadores, Pekín aún no ha dado a conocer muchos detalles al respecto. La controvertida Ley de Seguridad de los Datos de (DSL) y la Ley de Protección de Datos Personales de (PIPL) establecen una serie de metodologías y normas generales en materia de gestión y protección de datos para organismos públicos, empresas y organizaciones, limitando en particular las transferencias de datos fuera de China. La última vez que se puso en marcha una iniciativa similar fue en 2017 , con la Ley de Ciberseguridad de la República Popular China, que exigía que los datos se almacenaran localmente en China y establecía controles de seguridad para las empresas. Esto provocó una gran confusión generalizada debido a su ambigüedad.
Para las multinacionales, la cuestión no se limita simplemente a lo que les ocurre en China. El hecho es que gestionar las distintas normativas internacionales en materia de cumplimiento normativo e integridad de los datos se ha vuelto cada vez más complicado
y costoso.
«Elaborar un programa que cumpla con la normativa a nivel mundial es todo un rompecabezas», afirma Kenneth Citarella, director general sénior de investigaciones de Guidepost Solutions, empresa que ofrece soluciones de cumplimiento normativo y asesoramiento en materia de seguridad y tecnología. Desde que la Unión Europea aprobó su trascendental Reglamento General de Protección de Datos (RGPD) en 2016, también han entrado en vigor leyes sólidas en materia de protección de datos en Estados Unidos, Rusia y China.
«. Es todo un rompecabezas diseñar un programa que cumpla con la normativa a nivel mundial.»Kenneth Citarella, director general sénior de investigaciones de Guidepost Solutions
La «proliferación normativa» en materia de protección de datos está incrementando el coste de desarrollar una actividad empresarial a escala mundial y pone de relieve la necesidad de disponer de una visión sólida y en tiempo real del panorama de riesgos global de una empresa, con el fin de gestionar de forma eficaz el cumplimiento de las normas internacionales más recientes.
«Si se analiza el cumplimiento normativo desde la perspectiva que están empezando a adoptar los profesionales de la seguridad, se trata de una amenaza», afirma J.R. Cunningham, director de seguridad (CSO) de Nuspire, un proveedor de servicios de seguridad con sede en EE. UU. dedicado a las multinacionales. «Si no cumple con la normativa, esto supone una amenaza para su marca». «Esto supone un riesgo de pérdida de ingresos y una responsabilidad financiera».
El alcance del cumplimiento normativo a escala mundial
En los últimos años, gigantes tecnológicos como Facebook, Google y
Apple se han visto sometidos a un intenso escrutinio y han recibido multas por parte de los reguladores europeos debido a la forma en que gestionan los datos de los usuarios. Recientemente, las autoridades austriacas de protección de datos acusaron a Google Analytics de infringir el RGPD por, al parecer, transferir datos de sitios web a EE. UU. sin las garantías adecuadas.
«: si no cumple con la normativa, esto supone una amenaza para su marca». Supone un riesgo de pérdida de ingresos y una responsabilidad financiera.»J.R. Cunningham, director de estrategia (CSO) de Nuspire
Por supuesto, la presión para cumplir con la normativa en materia de privacidad y ciberseguridad no afecta únicamente a las grandes empresas occidentales. Todas las empresas del mundo deben cumplir con el RGPD si operan en Europa. Asimismo, deben cumplir con la normativa de otros lugares, como la Ley de Privacidad del Consumidor de California (CCPA), que impone restricciones en el tratamiento de datos a todas las empresas que operan en un estado en el que tienen su sede muchas de las mayores empresas tecnológicas del mundo.
No hay forma de saber si la atención que China presta a multinacionales como Walmart se debe, en parte, a una represalia por las investigaciones e es del Gobierno de EE. UU. sobre TikTok, la empresa china de redes sociales en rápido crecimiento, con más de mil millones de usuarios en todo el mundo.
Hasta el momento no está claro si las multinacionales con sede en China serán sancionadas en caso de que se produzcan ataques de «día cero» exitosos derivados del hackeo de « Log4j » () o de los numerosos ataques de ransomware « » ( ) que han afectado a las operaciones de empresas de todo el mundo. «Esas normas aún no se han concretado con detalle; la gente está a la espera de que se produzca ese giro inesperado», afirma Citarella, de Guidepost.
La organización de Citarella investiga, por ejemplo, operaciones bursátiles y transacciones en nombre de clientes de bancos internacionales, y las jurisdicciones legales desempeñan un papel fundamental a la hora de determinar qué datos puede recopilar su empresa y dónde puede compartirlos. Afirma que el proceso de cumplimiento normativo comienza por preguntarse qué hace una empresa con los datos y si estos se transfieren a otros países. «Hay que entrar en un nivel de detalle increíble», afirma.
No existe ningún software ya desarrollado que permita automatizar este tipo de decisiones, pero hay medidas que las empresas pueden adoptar para supervisar los riesgos en tiempo real y garantizar el cumplimiento normativo. Citarella recomienda las siguientes estrategias:
- Conozca las normas de seguridad desde el punto de origen hasta el final de la cadena de suministro de datos, especialmente si va a transferir datos a otra empresa.
- Averigüe quiénes son sus usuarios autorizados y realice una auditoría de los mismos.
- Limite el acceso únicamente a los datos que necesite cada usuario.
Lograr el cumplimiento normativo en materia de riesgos en tiempo real depende de elementos adicionales de seguridad de los datos, entre los que se incluyen la protección de los terminales en tiempo real , la evaluación de riesgos, el análisis remoto y autenticado de los dispositivos de red, un enfoque segmentado para la evaluación comparativa de riesgos dentro de una empresa, controles de acceso sólidos basados en roles y la aplicación automatizada de parches .
[Véase también: ¿En qué consiste la gestión de vulnerabilidades?]
«Los retos y problemas relacionados con el cumplimiento normativo aumentan en función del tamaño de la empresa», afirma Cunningham, de Nuspire. «Cuanto más complejo sea el uso que se haga de los datos personales, más recursos se dedicarán a cumplir con la legislación en materia de protección de datos».
No hay privacidad sin ciberseguridad
La tendencia mundial es clara: los gobiernos ya no dejan la privacidad y la ciberseguridad estrictamente en manos de las empresas. Hay demasiado en juego. Tras el ataque del 2021 a Colonial Pipeline, la Administración de Seguridad en el Transporte de EE. UU. (TSA) publicó nuevas normas relativas a la ciberseguridad y las auditorías de los oleoductos. El cumplimiento normativo ya no es voluntario, y las empresas se exponen a sanciones si no se ajustan a la nueva normativa.
«[Tenemos] que tomarnos en serio la privacidad de los datos». No vamos a poder escapar de esto.»Charles Denyer, antiguo asesor en ciberseguridad del Departamento de Defensa y experto en seguridad nacional
Según Cunningham, además de acarrear multas, una gestión inadecuada de los datos de los consumidores y clientes, por ejemplo, puede poner en peligro el seguro de ciberseguridad de una empresa. «El sector de los seguros está empezando a prestar atención y a plantear preguntas muy detalladas a las empresas antes de suscribir pólizas de seguro cibernético », afirma. Es más, las aseguradoras quieren comprobar que «se hayan implantado controles de ciberseguridad y privacidad antes de suscribir una póliza».
Al fin y al cabo, sostiene Cunningham, «no hay privacidad sin ciberseguridad». Esta relación simbiótica ha dado lugar a una «mejora neta en el nivel de seguridad de las organizaciones que disponen de información personal que debe protegerse». «Pero, una vez más, sin duda tiene un coste».
Uno de los principales gastos es el jurídico.
«Las organizaciones que se ven obligadas a familiarizarse con estas estrictas leyes de protección de datos están incurriendo en gastos jurídicos adicionales», afirma Charles Denyer, antiguo asesor de ciberseguridad del Departamento de Defensa y experto en seguridad nacional afincado en Austin, Texas. «La complejidad radica en comprender la normativa y los costes que conlleva, tanto los puntuales como los recurrentes».
[Véase también: 6 prioridades en materia de ciberseguridad para el año 2022]
En definitiva, advierte Denyer, las organizaciones «deben tomarse en serio la privacidad de los datos en el mundo actual». Un programa de protección de datos debe abarcar la forma en que una empresa utiliza, almacena, comparte y elimina los datos procedentes tanto del interior como del exterior de la misma. Según él, el escrutinio no hará más que aumentar. «No vamos a poder escapar de esto».
