El brazo largo del bufete de abogados y el futuro de la ciberseguridad

Algunos días se siente como que el mundo entero está siendo hackeado. China ha robado datos militares de Estados Unidos a través del ciberespacio, primero para Combatiente de ataque conjunto y ahora para tecnologías submarinas sensibles. Millones de estadounidenses han sido robaron la información de sus tarjetas de crédito mientras hackers violaban empresas minoristas. Incluso barcos en el mar son vulnerables, ya que los hackers han aprendido a manipular el Sistema de Información Automatizado (AIS) y el Sistema Mundial de Posicionamiento (GPS) para alterar el rumbo de navegación de un buque sin que sus capitanes lo sepan necesariamente.

Estos hacks son alarmantes en su alcance y riesgo e inmediatamente aparecen en los titulares. Pero, ¿qué pasa con el discreto y sutil hackeo de un bufete de abogados de guante blanco? Los bufetes de abogados basan su reputación (y, por lo tanto, su negocio) en la confidencialidad y discreción, por una buena razón.

El negocio legal es obviamente delicado; los abogados a menudo interactúan con sus clientes en estados vulnerables o transitorios donde mucho está en riesgo. Los registros de los clientes presentan así un tesoro de datos jugosos para cualquier hacker: información de identificación personal, datos bancarios y correspondencia. Todos los datos que podrían hacer o quebrar un caso para una clienta y su firma.

Algunas violaciones de bufetes de abogados han sido desastrosas para las víctimas. Recordemos el hackeo llamativo del bufete panameño Mossack Fonseca y la liberación de terabytes de datos en la divulgación de “Panama Papers” que siguió. (Mosaco Fonseca) cerrado en marzo de 2018 debido a las prácticas ilegales que reveló el hackeo.) Un montón de firmas corporativas respetuosas de la ley han sido hackeadas y abusadas en línea, y cada hackeo implica tanto a la empresa como a sus clientes.

Equipos de seguridad en el entorno de seguridad emergente

Para un profesional de seguridad en un bufete de abogados, está dispuesto a hacer dos cosas: (1) asegurar los datos de su firma y (2) hacerlo sin interrumpir el trabajo diario de los socios y asociados de la firma. ¿De qué se está defendiendo y dónde debe invertir en personas, procesos y tecnología para tener mejor éxito?

El robo y la divulgación de datos son preocupaciones obvias para los bufetes de abogados. Sin embargo, si la última década fue la década de la divulgación de datos, las empresas serían prudentes al preocuparse por la manipulación de datos en el futuro. Sí, los correos electrónicos de tu cliente (y los tuyos) podrían filtrarse. Pero, ¿y si un actor hostil pudiera penetrar las redes de su empresa, obtener acceso a su entorno de nube y manipular datos para cambiar los hechos del caso en papel?

¿Y si un hacker entrara en un archivo y cambiara la fecha alterando la línea de tiempo de la trayectoria delictiva en su argumento? Tales manipulaciones de datos podrían convertir las operaciones del ciberespacio en un arma perfecta contra un bufete de abogados. Los abogados no pueden construir un caso y los jueces no pueden juzgar un caso si no pueden confiar o verificar la información en la que se basa el caso.

Entonces, ¿cuáles son los activos más importantes que una empresa debe asegurar? Primero están las herramientas digitales que utiliza la empresa para almacenar y rastrear los documentos de sus clientes. Los abogados almacenan una gran cantidad de datos sobre sus clientes y necesitan sistemas intuitivos con los que hacerlo; a Sistema de Administración de Documentos (DMS) es el elemento vital de las operaciones de almacenamiento y recuperación de un bufete de abogados, y la seguridad de la aplicación es vital para la confidencialidad. A menudo proporcionadas por desarrolladores de aplicaciones de terceros, algunas aplicaciones DMS son más seguras que otras y las empresas a menudo trabajan con los desarrolladores de aplicaciones para lograr que la seguridad esté al día.

Equilibrar la seguridad y la facilidad de hacer negocios

Los equipos de seguridad quieren fuertes ciberseguridad para la empresa, pero también enfrentan la presión de los asociados de negocios y otros para minimizar los impactos en el usuario final. En bufetes de abogados ocupados, los equipos de seguridad a menudo enfrentan una larga batalla cuesta arriba para vender a los socios soluciones de seguridad sólidas si la capacidad pudiera ralentizar el negocio diario de la firma. Las firmas de abogados no quieren que los productos de seguridad causen fricción o latencia.

Sin embargo, en la era de las violaciones constantes, cualquier herramienta efectiva de ciberseguridad requerirá algún elemento de administración de cambios. Las empresas deben equilibrar su ventaja competitiva a largo plazo (incluida la confidencialidad y la discreción, ambas de las cuales se ganan con dificultad pero se pierden fácilmente) con la necesidad de ganar casos para los clientes.

¿Cómo deben proceder los bufetes de abogados?

Al igual que cualquier empresa, las empresas necesitan comprender sus misiones más importantes y dependientes de los datos, obtener visibilidad de sus activos y comportamientos, e invertir en sistemas para proteger sus centros de datos y entornos de nube más allá seguridad de aplicaciones solo.

La buena noticia es que esta primavera, los equipos de seguridad de todo el mundo recibieron un gran impulso a través del Reglamento General de Protección de Datos (GDPR) de la Unión Europea. Los equipos de seguridad ahora pueden usar los requisitos y tarifas de notificación de incumplimiento de GDPR para impulsar el cambio en sus empresas. Esto es especialmente cierto para las empresas que representan o tocan a los ciudadanos europeos, pero el impacto del GDPR se está sintiendo en todo el mundo a medida que las empresas consideran su futuro digital y el mundo que quieren construir.

Estamos en una nueva era de operaciones del ciberespacio y manipulaciones de datos. Durante la última década, los hackers estatales y no estatales perfeccionaron sus tácticas, siempre buscando nuevos métodos para explotar brechas y oportunidades para obtener una ventaja. El mundo alguna vez se centró en prevenir el robo de propiedad intelectual y prevenir ataques disruptivos contra infraestructura crítica; ahora añadimos la prevención de ataques manipulativos en organizaciones políticas, redes sociales, y electorado de una nación, y el acceso a Internet está aumentando rápidamente en Asia y en otros países.

El ataque ruso a las elecciones presidenciales estadounidenses de 2016 pudo haber marcado el final del primer acto de nuestra historia de ciberseguridad. Ahora estamos en un punto de inflexión entre dos futuros. En un futuro, los ataques cibernéticos seguirán aumentando en ritmo, diversidad y gravedad. Las brechas podrían tener impactos que aún no podemos imaginar, pero sabemos que los grupos estatales y no estatales buscarán utilizar la larga cola de la tecnología digital de cualquier manera que puedan para salir adelante.

En un segundo futuro, las organizaciones de todo el mundo invierten en medidas de ciberseguridad y resiliencia para reducir el riesgo y proteger los centros de datos y la nube desde el interior. Si los sectores financiero y energético lideraron el camino en la construcción de sus capacidades de ciberseguridad durante la última década, en el Acto II de nuestra historia de ciberseguridad esperemos ver una segunda ola de inversiones a medida que más y más organizaciones se enfrentan a la vida en la era digital.

Las brechas ocurrirán, pero es mucho mejor si puede limitar la brecha a tres servidores en lugar de 3.000 servidores. Las empresas pueden invertir ahora en sistemas ciberresilientes para evitar que las brechas se propaguen.

Los bufetes de abogados están llenos de pensadores y líderes inteligentes, motivados y estratégicos. Muchos han desempeñado funciones gubernamentales en todo Estados Unidos. Hoy en día, las empresas tienen la oportunidad de construir una base sólida de ciberseguridad para ellas y para sus clientes, y de ayudar a empujar al mundo hacia ese segundo futuro más resiliente.