Cuando la Comisión de Valores y Bolsa de Estados Unidos ( , SEC) acusó el año pasado a SolarWinds y a su director de seguridad de la información (CISO) y a Tim Brown de fraude intencionado en materia de valores por no haber informado de vulnerabilidades en materia de ciberseguridad, esto causó gran revuelo en el sector. De repente, las empresas tecnológicas —y, en particular, sus responsables de seguridad— parecían encontrarse en el punto de mira legal del Gobierno.
Pero lo cierto es que organismos gubernamentales como la Comisión de Valores y Bolsa de Estados Unidos ( ), el Ministerio de Justicia y los fiscales generales de los estados inician investigaciones, citan a comparecer a ejecutivos y presentan cargos constantemente. Cuando se dirigen a empresas tecnológicas, muchos de esos directivos recurren a Jessica Nall, socia del bufete de abogados Baker McKenzie LLP, con sede en Chicago.
Con 23 años de experiencia a sus espaldas, la Sra. Nall está considerada una de las principales expertas del país en materia de responsabilidad penal y normativa federal para los profesionales de la seguridad de la información, especialmente los CISO. De hecho, afirma que ha representado personalmente a más directores de seguridad de la información (CISO), responsables de seguridad de la información y miembros de equipos en investigaciones federales de gran repercusión y en las acciones civiles posteriores que, quizá, cualquier otro abogado de Estados Unidos.
Asimismo, ha defendido a personas que han sido interrogadas en el marco de investigaciones internas y ha llevado a cabo innumerables investigaciones internas.
Ahora que cada vez más directores de seguridad de la información (CISO) se preguntan si podrían encontrarse en una situación similar a la de Brown —quien obtuvo un pequeño respiro la semana pasada cuando un juez estadounidense desestimó la mayor parte de los cargos de la SEC , aunque mantuvo el cargo principal de fraude intencionado en materia de valores que se le imputa— , Focal Point consideró que sería útil recabar la opinión de Nall sobre cómo evitar problemas en caso de que se produzca una filtración de datos. Asimismo, hablará sobre este tema en una sesión de Black Hat USA 2024 en August 7 titulada «: Esquivar el tornado: estrategias esenciales para que los CISO eviten las repercusiones gubernamentales tras ciberataques de gran envergadura».
A continuación, les presentamos nuestra conversación con Nall:
(Esta entrevista ha sido editada para mayor claridad y extensión.)
¿Cuándo decidió dar un giro en su carrera y pasar de la defensa corporativa general al ámbito de la ciberseguridad?
Hace aproximadamente 10 años, se produjeron algunos de los primeros casos o investigaciones federales en los que participaron profesionales de la ciberseguridad y en los que las agencias analizaron lo que las personas y las empresas hicieron o dejaron de hacer ante ciberataques a gran escala. Desde entonces, eso ha sido una parte muy importante de mi práctica.
«. Mi principal habilidad es el combate». Mientras mis clientes del sector de la seguridad de la información se enfrentan a los delincuentes y a los autores de amenazas, yo lucho contra el Gobierno.»
Aunque puedo asesorar sobre las mejores prácticas para evitar una intervención gubernamental , normalmente soy a quien llaman cuando el edificio ya está en llamas. Normalmente se trata de algo así como: «Hemos recibido una citación judicial de gran envergadura, o hay una investigación muy rigurosa en marcha, o bien se ha presentado una denuncia de un denunciante que debe investigarse y que, en su momento, podría dar lugar a una intervención gubernamental». Mi principal área de especialización es el combate. Mientras mis clientes del sector de la seguridad de la información se enfrentan a los delincuentes y a los autores de amenazas, yo me enfrento al Gobierno.
Usted habla con muchos responsables de seguridad de la información (CISO). ¿Cómo se encuentran ahora mismo?
Es evidente que existe un creciente nivel de preocupación. La función del CISO se ha vuelto cada vez más compleja a medida que se van incorporando nuevas tecnologías, como la gobernanza de la IA, y todo el mundo con el que hablo se apresura a incorporar esa tecnología de vanguardia. Cada vez resulta más difícil. Y creo que, sinceramente, hay escasez de CISO realmente excelentes que estén dispuestos a asumir esa responsabilidad. Y se puede entender a qué se debe esto, ya que asumen un gran nivel de riesgo, pero no siempre cuentan con el apoyo de la dirección ni disponen de un presupuesto suficiente.
Se perciben claramente sentimientos de frustración, preocupación y temor, sobre todo desde que la SEC tomó medidas coercitivas contra SolarWinds. Que las agencias gubernamentales le persigan puede ser como una bomba nuclear de que cae del cielo. En definitiva, no hay mucho que pueda hacer para evitarlo. Es simplemente una de esas situaciones que podrían producirse en cualquier momento tras un suceso negativo que haya tenido gran repercusión mediática. Y eso es lo que resulta más aterrador para quienes trabajan en el ámbito de la tecnología —donde, por lo general, un paso sigue al siguiente—: que existe ese peligro imprevisible y existencial si se tiene la mala suerte de sufrir un ataque con éxito.
¿Por qué cree que el Gobierno está intensificando la supervisión de los CISO?
Pues bien, tienen sus propios intereses en juego. Su objetivo es disuadir de determinadas conductas. Y ante incidentes de seguridad graves, especialmente cuando se trata de ataques de tipo « » patrocinados por un Estado, el Gobierno de los Estados Unidos no dispone de muchos recursos. No pueden hacer gran cosa para perseguir a los ciberdelincuentes en Rusia, China u otros países en los que no existe una vía viable para la extradición o la cooperación con las fuerzas del orden extranjeras.
«[Tras] una filtración de datos a gran escala, la ciudadanía espera que las fuerzas del orden tomen medidas y que se introduzcan cambios para evitar que vuelva a ocurrir.»
Cuando se produce un delito cibernético grave, como una filtración a gran escala, la ciudadanía espera que las fuerzas del orden tomen medidas y que se introduzcan cambios para evitar que vuelva a ocurrir. Por lo tanto, dado que nuestro Gobierno no puede actuar contra el FSB (Servicio Federal de Seguridad de la Federación Rusa, anteriormente conocido como el KGB), debe tomar medidas. Y dado que se considera que el CISO es la punta de lanza de la respuesta en materia de ciberseguridad, suele convertirse en el blanco más fácil cuando el Gobierno quiere que rueden cabezas.
Creo que es un grave error, injusto e injusto, y por eso me opongo al Gobierno con tanto ahínco, porque estoy convencido de que esta no es la forma correcta de actuar. Pero, con demasiada frecuencia, así es como ocurre.
Si no podemos recurrir a la legislación para exigir responsabilidades a las empresas en materia de ciberseguridad y usted considera que aplicar medidas coercitivas es injusto para los CISO, ¿cómo lo hacemos?
Este es un ámbito en el que considero que la responsabilidad colectiva y corporativa es el camino a seguir. Un ejemplo de ello es la resolución n.º 2018 de la SEC, disponible en SEC v. Altaba, en la que se señalaron algunas deficiencias colectivas en relación con la divulgación de incidentes cibernéticos y se impuso una cuantiosa multa (35 millones de dólares) a la empresa, sin que se presentaran cargos contra ninguna persona física. En su lugar, publicó unas directrices que otras empresas pueden seguir para evitar multas cuantiosas que afecten a los accionistas y al precio de las acciones, logrando así —podría decirse— un cambio positivo sin poner en la picota a las personas equivocadas.
[Lea también: Cómo pueden los CISO combatir el agotamiento y prolongar sus carreras profesionales]
Lamentablemente, los sistemas penales y normativos federales han evolucionado considerablemente en los últimos aproximadamente 10 años, hasta el punto de exigir que el Gobierno busque de forma enérgica a las personas a las que imputar responsabilidad en las medidas de ejecución y los procesos penales. Esto ha sido una exigencia cada vez más acuciante por parte del Gobierno desde que el Departamento de Justicia publicara el «Memorándum Yates sobre la política de “”», emitido en 2015. El Departamento de Justicia publicó ese memorándum tras la indignación pública que se produjo cuando la crisis del mercado 2008 no dio lugar a que se exigieran responsabilidades a ninguna persona. Pero este es un ámbito en el que realmente está fuera de lugar.
Al gobierno debe de encantarle, ¿verdad?
Me gusta pensar que sí. A decir verdad, existe una gran fluidez entre las fiscalías federales, los abogados especializados en la aplicación de la ley de la SEC y los abogados especializados en la defensa de delitos de cuello blanco. La credibilidad lo es todo, y contar con abogados defensores altamente cualificados y con amplios conocimientos suele ser siempre de gran ayuda. Así que, por supuesto, sí, me quieren. Y me encantan, sobre todo cuando dejan marchar a mi gente.
¿Podría compartir algunas estrategias que los CISO puedan seguir para evitar meterse en líos?
En primer lugar, es importante comprender la dinámica de cómo funcionan las cosas. ¿Por qué actúan de esa manera los distintos partidos? Pregúntese: «¿Cuáles son los incentivos de la empresa cuando se produce un incidente de seguridad grave y el Gobierno se interesa por él, y cómo puede adelantarse a esa situación para asegurarse de tener el mayor control posible sobre esa comunicación?».
«¿Cuáles son los incentivos de la empresa cuando se produce un incidente de seguridad grave y el Gobierno se interesa por él, y cómo se puede adelantarse a esa situación?»
Asimismo, le conviene examinar detenidamente sus líneas de comunicación dentro de la empresa. Antes de asumir el cargo de CISO, asegúrese de saber a quién deberá rendir cuentas. En este aspecto, la situación suele variar mucho de una empresa a otra. Pero si yo fuera alguien que estuviera planteándose aceptar un ascenso a ese puesto o incorporarme a una nueva empresa, querría ser plenamente consciente de ello y asegurarme de que sé que la protección se extenderá a mí en caso de que se produzca una violación de la seguridad, y no solo a la propia empresa.
También es importante que sepa identificar las señales de alerta. Si ha ocurrido algo y se le pide que acuda a prestar declaración en el marco de una investigación interna, la presión va en aumento y usted lo hace sin contar con su propio abogado, esa es una de las muchas señales de alarma posibles.
Los problemas legales no siempre provienen de los organismos públicos. En ocasiones, las aseguradoras de ciberseguridad demandan a los directores de seguridad de la información (CISO) o a los equipos de seguridad informática. ¿Qué aconseja a sus clientes que hagan para evitar esos retos?
A lo largo de mis décadas de ejercicio profesional, he tratado en numerosas ocasiones con las aseguradoras « ». Y he visto una y otra vez todas las estrategias que emplean por su parte para intentar eludir el pago como sea, ya sea rescindiendo una póliza basándose en alguna información que no se reveló o que no se reveló con suficiente detalle, o bien alegando alguna exclusión. Incluso los límites de la póliza pueden suponer un problema.
«Si ha ocurrido algo y le piden que acuda a prestar declaración en el marco de una investigación interna… y lo hace sin su propio abogado, esa es una de las muchas señales de alarma posibles.»
Por lo tanto, en mi sesión de Black Hat, hablaré sobre los seguros y las preguntas clave que debe plantearse si desempeña un cargo relacionado con la seguridad. Le explicaré lo que necesita saber sobre la cobertura del seguro y cuál podría ser un nivel adecuado de cobertura para que disponga de una buena red de seguridad.
Hemos oído a las aseguradoras afirmar que la mejor forma de evitar problemas es colaborar con ellas. ¿Está de acuerdo?
En cierta medida, eso es cierto. He dedicado muchas horas a informar a las aseguradoras sobre lo que está sucediendo en diversas investigaciones gubernamentales. Sin embargo, no siempre ocurre que los intereses de todos coincidan.
Yo diría que siempre existe la posibilidad de que surjan dificultades cuando se trata con su aseguradora, ya que tienden a mostrarse amables mientras cobran sus primas, pero cuando llega el momento de pagar, ya no tanto. Se trata, pues, de un baile delicado que hay que llevar a cabo de forma estratégica. Entiendo sus motivos, pero esa es una postura que suelen esgrimir con mucha frecuencia para negarse a pagar. No debería verse todo de color de rosa en lo que a eso se refiere.
¿Hay algo más que le gustaría adelantarnos sobre su próxima ponencia en Black Hat?
El objetivo es proporcionar al público un conjunto de estrategias que les permita reflexionar, de modo que nunca tengan que enfrentarse a situaciones tan terribles como las que han vivido Tim Brown y otras personas. El Gobierno federal tiene un poder enorme. Qué gran poder. Y realmente puede trastornar la vida de las personas. Lo que quiero hacer es intentar ayudar a todo el mundo a que no acaben en esa situación y, si finalmente acaban allí, que sepan a quién llamar.
