, referidos a datos de la empresa, datos personales de los empleados, detalles de diferentes proyectos, CAD "y mucho más", y que
La autoría de Black Basta ya había sido
reconocida oficialmente por Álvaro Fraile Hernández, Global Cybersecurity Services Director at Ayesa, el pasado jueves en la ponencia sobre ciberseguridad y empresa del I
Congreso Internacional de
Cibercrimen organizado por el Colegio de Abogados de Sevilla y la Universidad Pablo de Olavide, en la que confirmaba las sospechas que ya había desvelado
Viva Sevilla.
Ayesa fue la
protagonista involuntaria de la ponencia tras el “incidente de ciberseguridad” que había sufrido una semana antes y que Fraile, en un ejercicio de transparencia que hasta sus propios compañeros de mesa,
Juan Carlos Ferré Olive, catedrático de Derecho Penal de la Universidad de Huelva, y
Julián Delgado Piraquive, Head of Offensive Security & MDR de Factum, además del abogado Jesús
Fernández Acevedo, delegado de Protección de Datos en ICA-Cordoba y experto en Compliance Officer, la extensa, complicada e internacional relación de normas que debe cumplir una empresa para no incurrir en delitos penales y administrativos cuando se mueven en el mundo digital.
No pagar nunca un rescate
Todos los expertos, incluido el propio Fraile, coincidieron en
una recomendación clave para las empresas que sufren un ciberataque:
no pagar nunca un rescate, primero porque nadie te garantiza al cien por cien que la extorsión no continúe en un futuro y, segundo, porque una vez se es víctima, lo más práctico es
asumir la brecha de seguridad, evaluar los daños, restaurar los sistemas y minimizar los posibles efectos, además de comunicar, tanto interna como externamente (clientes) la incidencia y, si hay filtración de datos, a la autoridad competente, que será la que determine si hay sanción o no.
Uno de los
servicios que ofrece Ayesa es, precisamente, es el de
ciberseguridad y lo han tenido que poner en marcha y Fraile sacó pecho de su protocolo, más fácil en su caso puesto que
no tuvieron que buscar un servicio externo y los profesionales, incluidos los forenses tan necesarios para evaluar el alcance, forman parte de su compañía. “Primero nos centramos en
mitigar y evitar la propagación, actuamos rápido porque teníamos los recursos, es bueno saber a quién hay que llamar y tenerlos en poco tiempo, como los forenses”, relataba Fraile, apuntando que una vez confirmada la brecha de seguridad y en virtud de la gobernanza que aplican
se notificó el incidente, el cómo, cuándo y qué, a los clientes y a las autoridades,
restaurando los sistemas, gracias a las
copias de seguridad, lo antes posible.
Fraile lanzó además un
mensaje para navegantes: existen dos tipos de empresa, “
los que hemos sido atacados y los que va a ser atacados”, por lo que instó a
“normalizar” los ciberataques para estar preparados frente a lo que suceda, en un entorno digital en el que
“todos estamos expuestos” y en el que las empresas tienen que decidir si asumen una
inversión en ciberseguridad que ya
ha dejado de ser un coste.
Eso sí, aunque los presentes en la mesa sí que destacaron el
coste en reputación e imagen de empresa que supone un ataque de este estilo, que también se debe evaluar, Fraile
no avanzó ningún detalle de qué tipo de datos o qué nivel de penetración, incluido el encriptado o no, tuvo el ciberataque para Ayesa, que
tampoco revela Black Basta, que se limita a confirmar que la multinacional sevillana fue uno de sus diez ataques de las últimas semanas.
