Sección 9: Responder a los incidentes y evaluar la necesidad de notificarlos
En esta sección, aprenderás a:
Respuesta ante incidentes y evaluación de las necesidades de notificación
Incluso con buenas medidas de seguridad, pueden producirse errores, fallos en los equipos y ciberataques. Preparar un plan de respuesta ayuda a tu organización sin ánimo de lucro a actuar con rapidez, proteger a las personas y continuar con su labor esencial.
Un plan de respuesta ante incidentes explica quién se encarga de la situación, a quién hay que contactar y qué hay que hacer en primer lugar. Puede empezar siendo un documento breve con una lista de contactos y unas responsabilidades bien definidas. No es necesario que investiguéis cada problema por vuestra cuenta, pero debéis saber cómo obtener ayuda.
Saber qué hay que comunicar
Un incidente es un suceso que afecta, o podría afectar, a la seguridad de tu información, cuentas, dispositivos o servicios. Algunos ejemplos son:
No todas las interrupciones del servicio son ciberataques, y no todos los incidentes afectan a datos personales. Comunica tus inquietudes sin demora para que la persona adecuada pueda evaluarlas. El personal y los voluntarios no deberían tener que demostrar que se ha producido un perjuicio antes de pedir ayuda.
Prepárate antes de que necesites el plan
Acordamos las siguientes disposiciones:
|
Responsabilidad
|
Qué hay que determinar
|
|---|---|
|
Coordinar la respuesta |
Una persona responsable y un suplente que puedan organizar las acciones y tomar decisiones |
|
Ofrecer asistencia técnica |
Datos de contacto de los proveedores de confianza, horario de atención al cliente y medidas de asistencia en caso de emergencia |
|
Evaluar los requisitos en materia de privacidad y notificación |
Una persona designada a la que se pueda acudir para obtener el asesoramiento adecuado en materia de privacidad o cuestiones jurídicas |
|
Aprobar decisiones y comunicaciones |
¿Quién autoriza los gastos, los cambios en los servicios y los mensajes dirigidos a las personas afectadas? |
|
Mantener los servicios esenciales |
Qué actividades deben continuar y cómo puede trabajar el personal de forma segura durante una interrupción |
Guarda una copia de seguridad del plan y de los datos de contacto por si no pudieras acceder a tu correo electrónico habitual o a la unidad compartida. Incluye las entidades financieras, los proveedores importantes y cualquier aseguradora con la que trabaje tu organización.
Comprueba qué requisitos de privacidad y qué obligaciones contractuales de notificación se aplican antes de que se produzca un incidente.
Primera respuesta: informar, minimizar los daños y documentar
La medida adecuada depende de lo que haya ocurrido. Un correo electrónico enviado por error requiere una respuesta diferente a la que se daría en el caso de un ordenador portátil que pudiera estar infectado.
Ponte en contacto con el responsable de la respuesta o con su suplente. Si existe la posibilidad de que el correo electrónico haya sido comprometido, utiliza otro canal ya establecido.
Deja de enviar información, de aprobar solicitudes o de interactuar con la persona en cuestión.
Junto con el responsable de la respuesta o el proveedor, limite el intercambio de información, proteja las cuentas afectadas o aísle el dispositivo afectado.
Anota las horas, las cuentas o archivos afectados, las medidas tomadas y las cuestiones pendientes.
Si un dispositivo parece estar infectado, desconéctalo de las redes si puedes hacerlo de forma segura y ponte en contacto con tu proveedor de asistencia de confianza. Evita borrar los datos, reinstalar el sistema o reiniciarlo como solución improvisada; estas acciones pueden eliminar pruebas. Las directrices del Centro Canadiense de Ciberseguridad hacen hincapié en la importancia de conservar las pruebas al actuar ante un sistema comprometido.
Si se ha enviado dinero de forma fraudulenta, ponte en contacto con la entidad financiera de inmediato a través de un canal de confianza. No esperes a que finalice la evaluación más exhaustiva.
Un guion de primera respuesta
Utiliza esto cuando recibas un informe de incidencia:
“Gracias por informar de esto. Por favor, detén la actividad en cuestión y conserva el mensaje o la información relevante. Explícame qué ha ocurrido, cuándo te diste cuenta, qué cuenta, dispositivo o información se ha visto afectada y qué medidas has tomado ya. No es necesario que sepas con certeza si se trata de un ataque. Nosotros nos encargaremos de coordinar los siguientes pasos”.”
Pide información objetiva sin culpar a nadie. Notificarlo rápidamente puede ayudar a limitar el daño; el miedo a pasar vergüenza puede retrasar la notificación.
No pidas a nadie que te envíe contraseñas, códigos de acceso ni copias innecesarias de documentos confidenciales como parte del informe.
Conservar la información sin difundirla
Guarda de forma segura los mensajes relevantes, las capturas de pantalla, los avisos del proveedor y los registros de las acciones realizadas. Es posible que el servicio de asistencia técnica necesite los mensajes originales o los registros del sistema para determinar qué ha ocurrido.
Limita el acceso a los registros de incidentes. Describe la información afectada siempre que sea posible, en lugar de copiar los expedientes completos de los clientes en un registro de incidentes. Registro:
- Cuándo ocurrió el suceso, si se conoce, y cuándo se descubrió.
- Qué información, cuentas, dispositivos o servicios podrían verse afectados.
- Quiénes podrían haber recibido o consultado la información.
- Medidas de contención y quiénes las llevaron a cabo.
- Se han recibido consejos, se han tomado decisiones y es necesario realizar un seguimiento.
Distingue los hechos confirmados de las suposiciones. Actualiza el registro a medida que se disponga de nueva información.
Determina si hay datos personales implicados
Una violación de la privacidad puede consistir en la pérdida de datos personales, el acceso no autorizado o la divulgación accidental. No es necesario que intervenga un pirata informático.
Por ejemplo, enviar por correo electrónico una lista de participantes a la persona equivocada puede requerir una evaluación de la privacidad, incluso aunque todas tus cuentas sigan estando protegidas.
La clasificación de notificaciones consiste en identificar qué solicitudes y contactos requieren atención. Se trata de una valoración inicial, que no sustituye al asesoramiento necesario para tomar una decisión difícil.
|
Pregunta
|
Qué hay que determinar
|
|---|---|
|
¿Qué información se vio afectada? |
Tipos de información, grado de confidencialidad y personas afectadas |
|
¿Qué le ha pasado? |
Ya sea que se haya perdido, consultado, copiado, divulgado o puesto a disposición del público |
|
¿Qué consecuencias negativas podría tener? |
Riesgos para la seguridad, las finanzas, la identidad, la reputación, las relaciones o el acceso a los servicios |
|
¿Qué probabilidad hay de que se haga un uso indebido? |
Quién lo recibió o pudo acceder a él, si estaba protegido y qué pruebas hay disponibles |
|
¿Qué requisitos se aplican? |
Legislación pertinente en materia de protección de datos, contratos, requisitos de los financiadores y condiciones de los seguros |
|
¿Quién necesita que se tome alguna medida o que se le notifique algo? |
Las personas afectadas, las autoridades reguladoras, los socios, los proveedores u otras personas que puedan contribuir a reducir los daños |
No des por sentado que un número reducido de personas afectadas implica un riesgo bajo. La información expuesta de una sola persona podría tener graves consecuencias.
Comprender el contexto de la notificación en Canadá
Tal y como se ha comentado en la sección 6, el hecho de ser una organización sin ánimo de lucro no determina automáticamente qué legislación en materia de protección de datos es aplicable. La PIPEDA puede ser aplicable a las actividades comerciales, si bien también pueden ser pertinentes los requisitos provinciales o específicos de cada sector.
Ámbito de aplicación de la PIPEDA, toda filtración de datos personales que se encuentre bajo el control de la organización deberá notificarse a la Oficina del Comisionado de Privacidad de Canadá, y deberá informarse a las personas afectadas, cuando ello suponga un riesgo real de sufrir un daño grave. En la evaluación se tienen en cuenta la naturaleza sensible de la información y la probabilidad de que se haga un uso indebido de la misma.
La notificación y el informe obligatorios deben realizarse tan pronto como sea posible tras determinar que se ha producido dicha violación. Deben conservarse los registros de todas las violaciones pertinentes durante al menos dos años, incluidas aquellas que no alcancen el umbral de notificación.
Otros requisitos pueden tener umbrales o plazos diferentes. Solicita asesoramiento adecuado sin demora cuando no estés seguro de su aplicabilidad o de la necesidad de notificarlos. No esperes a que concluya una investigación completa antes de comprobar las obligaciones que tienen plazos límite.
La Oficina del Comisionado de Privacidad Recursos sobre directrices en materia de violaciones de seguridad y evaluación de riesgos puede respaldar esta valoración.
Comunícate con claridad y seguridad
Al informar a las personas, explica lo que se sabe, qué información está afectada, qué medidas está tomando tu organización y qué pueden hacer ellas para protegerse. Facilita un contacto de confianza para resolver dudas.
Cumple con los requisitos de contenido y entrega que correspondan. Evita hacer afirmaciones sin fundamento, como “nadie ha accedido a la información”, cuando eso no se haya demostrado.
Elige un método de comunicación que no suponga una nueva exposición. Por ejemplo, un correo electrónico colectivo no debe revelar la identidad de los clientes afectados, y al enviar un mensaje a una persona en situación de vulnerabilidad hay que valorar cuidadosamente cuál es la vía de contacto más segura.
Coordinar las actualizaciones para que el personal facilite información coherente y precisa.
Recupera la situación de forma segura y aprende de lo ocurrido
Antes de restaurar los archivos o reanudar el trabajo habitual, confirma con el responsable de asistencia técnico correspondiente que se ha solucionado el problema y que el acceso es seguro.
Decide qué es lo que hay que restablecer en primer lugar, basándote en las prioridades y las medidas de copia de seguridad descritas en las secciones anteriores. Anota las medidas provisionales adoptadas y revísalas cuando se restablezcan los servicios habituales.
A continuación, pregunta:
- ¿Qué nos ayudó a reaccionar?
- ¿Qué nos hizo perder tiempo?
- ¿Qué medida de seguridad, instrucción o acuerdo es necesario mejorar?
- ¿Quién llevará a cabo esa mejora y para cuándo?
Céntrate en los cambios que reduzcan la probabilidad o las consecuencias de una recidiva.
Una propuesta de norma de política
Los incidentes, tanto reales como potenciales, deben comunicarse sin demora a la persona de contacto designada o a su suplente. El responsable de la respuesta coordina la contención, la conservación de las pruebas, la recuperación y la evaluación de los requisitos de notificación. Deben registrarse las decisiones y las medidas adoptadas, realizarse sin demora las comunicaciones necesarias y asignarse las mejoras de seguimiento.
Antes de adoptar esta norma, indica quiénes son las personas de contacto, los responsables de la toma de decisiones y las fuentes de asesoramiento técnico y en materia de protección de datos.
Practica tu primera reacción
Comenta esta situación: Un voluntario informa de que, por error, se envió una hoja de cálculo con información de los clientes a un destinatario externo.
No des por sentado que solicitar la eliminación resuelve el incidente. Anota la respuesta y evalúa las circunstancias.
Lo que debes recordar
Al finalizar esta sección, deberías haber:
- Un responsable de la respuesta, un sustituto y personas de contacto de confianza para recibir apoyo.
- Un proceso claro de notificación inicial.
- Una forma de documentar los incidentes y evaluar la necesidad de notificarlos.
- Un plan para una recuperación y un seguimiento seguros.
A continuación, combinarás todas estas medidas de seguridad para practicar cómo proteger a tu organización sin ánimo de lucro frente a estafas y fraudes, incluso cuando una solicitud parezca familiar y creíble.
Sección 10: Protege a tu organización sin ánimo de lucro frente a estafas y fraudes
Esta sección se basa en las medidas de seguridad que has aprendido para ayudarte a proteger la información, las cuentas y los fondos de tu organización sin ánimo de lucro frente a los ciberdelincuentes que recurren al engaño para convencer a las personas de que realicen acciones peligrosas.
English 
French 
Chinese 
Spanish 
Ukrainian 