Guía de notificación posterior a una infracción

¡Asegure su negocio con CyberHoot hoy!

Inscríbase ahora

Coautor: Craig Taylor

En un mundo digital en constante evolución, las filtraciones de datos siguen aumentando en frecuencia e impacto. Las amenazas a la ciberseguridad se presentan de diversas formas, como ingeniería social, robo de credenciales, ataques de phishing e incluso ataques a aplicaciones web. Si su organización sufre un incidente de ciberseguridad, nuestra Guía de Incidentes de Ciberseguridad le guiará a través de los pasos necesarios para responder al incidente.

Este artículo asume que ha confirmado una filtración de datos importante y que se ha puesto en contacto con las autoridades debido a la evidencia que demuestra una vulneración significativa de datos. En tal caso, CyberHoot implementará los procesos de notificación posteriores a la filtración. Seguir esta guía ayuda a las empresas a gestionar los procesos de notificación de incidentes de ciberseguridad de forma eficiente, legal y eficaz. 

Punto de inicio de la notificación de infracciones

Si su empresa sufre una filtración de datos, debe notificar primero a las autoridades. Si intervienen debido a la magnitud o el alcance de la filtración, determinarán los plazos y las restricciones para la notificación a las empresas y personas afectadas. Cumpla siempre con las normas de las autoridades durante una investigación activa.

En segundo lugar, debe determinar sus obligaciones legales. Todos los estados, el Distrito de Columbia, Puerto Rico y las Islas Vírgenes han promulgado leyes que exigen la notificación de violaciones de seguridad que involucren información personal no pública (IPNP). Además, según el tipo de información involucrada en la violación, pueden aplicarse otras leyes o regulaciones a su situación. Consulte las leyes y regulaciones estatales y federales específicas para conocer los requisitos particulares de su empresa.

Contratar a un abogado para que responda a una filtración de datos le otorga importantes privilegios abogado-cliente que pueden protegerle de daños. Durante la investigación, cuanto antes participe un abogado en la investigación, la recopilación de pruebas y las conversaciones sobre una posible filtración, mejor será su narrativa sobre la misma. La clave está en proteger a las empresas y personas afectadas por la filtración. No conviene escudarse en el privilegio abogado-cliente, ya que eso es incorrecto. Sin embargo, sí es importante controlar la narrativa sobre qué sucedió, cuándo, por qué y cómo proteger a su empresa y a quienes se vieron expuestos a daños adicionales. Un abogado puede brindarle orientación y protección importantes para lograrlo.

Qué debe comunicarse en su Notificación de Incumplimiento

Las leyes estatales sobre notificación de infracciones generalmente indican qué información debe o no debe proporcionar en su notificación. En general, a menos que la ley estatal indique lo contrario, deberá describir claramente lo que sabe sobre la vulneración, incluyendo:

• • Cómo pasó.
  • ¿Qué información fue tomada? 
  • Cómo han utilizado los ladrones la información (si lo sabes) 
  • ¿Qué medidas ha tomado para remediar la situación? 
  • ¿Qué medidas está tomando para proteger a las personas, como ofrecer servicios gratuitos de monitoreo de crédito?CyberHoot recomienda congelar el crédito para prevenir situaciones de robo de identidad)
  • Cómo llegar a los contactos relevantes en su organización.

Consideraciones Adicionales

Si la filtración afectó a más de 500 registros electrónicos de salud personales, está obligado, según la Norma de Notificación de Filtraciones de Datos de Salud, a notificar al Departamento de Salud y Servicios Humanos (DHHS) aquí . También podría tener que notificar a la FTC y, en algunos casos, a los medios de comunicación. Antes de contactar con los medios de comunicación en relación con una filtración importante que sea noticia, le conviene consultar con una empresa de relaciones públicas.

Dependiendo de los datos expuestos o robados, es posible que tenga obligaciones específicas de notificar a sus clientes. Algunos Acuerdos Marco de Servicios (MSA) exigen la notificación de infracciones en un plazo específico, por lo que su obligación legal de notificar a ciertas partes podría estar a punto de vencer. Si se vulneraron datos HIPAA o información personal no pública, existen requisitos de notificación legales. Consulte con su experto en privacidad, experto en HIPAA, equipo legal y equipo contractual para asegurarse de cumplir con las obligaciones contractuales y de cumplimiento en este punto.

Información útil para enviar a las partes notificadas

Es importante informar a las personas sobre los pasos a seguir, dado el tipo de información expuesta, y proporcionar la información de contacto pertinente. Por ejemplo, las personas cuyos números de Seguro Social han sido robados deben comunicarse con las agencias de crédito para solicitar alertas de fraude o congelamiento de crédito ser colocados en sus informes de crédito. Ver RobodeIdentidad.gov/Filtración de datos Para obtener información sobre los pasos de seguimiento adecuados tras una vulneración de datos, según el tipo de información personal expuesta, considere adjuntar esta información a su carta de notificación de la infracción.

Información a incluir

1. Incluya información actualizada sobre cómo recuperarse del robo de identidad. Para obtener una lista de los pasos de recuperación, consulte a los consumidores. IdentityTheft.gov.
2. Considere proporcionar información sobre la agencia policial que trabaja en el caso, si esta considera que sería útil. Las víctimas de robo de identidad a menudo pueden proporcionar información importante a las autoridades.
3. Incentive a las personas que descubren que su información ha sido utilizada indebidamente a que lo denuncien a la FTC a través de IdentityTheft.gov. IdentidadLaft.gov Se creará un plan de recuperación individualizado, basado en el tipo de información expuesta. Además, cada denuncia se ingresa en la Red Centinela del Consumidor, una base de datos segura en línea disponible para las agencias de seguridad civil y penal.
4. Describa cómo se comunicará con los consumidores en el futuro. Por ejemplo, si solo los contactará por correo postal, indíquelo. Si nunca los llamará para informarles sobre la filtración de datos, infórmeles. Esta información puede ayudar a las víctimas a evitar estafas de phishing relacionadas con la filtración, a la vez que protege la reputación de su empresa. Algunas organizaciones informan a los consumidores que publicarán actualizaciones en su sitio web. Esto les ofrece un lugar al que pueden acceder en cualquier momento para consultar la información más reciente.

Conclusiones sobre la notificación de infracciones

El mejor momento para preparar los procesos de respuesta ante notificaciones de brechas de seguridad es antes de que ocurra una. Un sólido Proceso de Gestión de Incidentes de Ciberseguridad (CIMP, por sus siglas en inglés) puede ayudarle a identificar, contener, erradicar y limitar los daños de una brecha con mayor rapidez si cuenta con este proceso implementado.

A continuación, asegúrese de practicar tanto la gestión de incidentes como la notificación de infracciones. Reunir a su equipo para revisar los 5 pasos de un incidente de seguridad es fundamental para el éxito a largo plazo. Así, podrá avanzar eficazmente en las etapas de identificación, contención, erradicación, recuperación y revisión.

No escatime en lecciones aprendidas. Tiene información valiosa disponible tras cualquier incidente. Seguir estas medidas y pasos puede garantizar la viabilidad a largo plazo de su empresa.

Fuentes:

FTC.gov

Cuadro de mando de seguridad

Lecturas adicionales:

Gestión de un incidente de ciberseguridad 

Guía de copias de seguridad 3 en 2 de CyberHoot

Prevención del robo de identidad