WannaCry el virus que ha puesto en jaque la Ciberseguridad española

El pasado viernes 12 de mayo, fuimos testigos de uno de los mayores ataques de ransomware realizados de los últimos años.

Telefónica detectó un intruso en su red interna que estaba bloqueando sus archivos, encriptándolos y haciéndolos inutilizables. De igual manera, este ransomware se propagó por los diferentes equipos, infectándolos de manera que se hacía imposible su utilización. La problemática se amplió debido a que Telefónica proporciona soporte a un gran número de empresas y muchos servicios se vieron afectados por el ataque.

Este ransomware (programa malicioso que infecta archivos para luego pedir un rescate sobre los mismos), WannaCry, escanea tanto la red interna como la externa, realizando conexiones al puerto 445 (SMB) en busca de equipos no actualizados, para propagarse a ellos e infectarlos. Es decir, que tiene la peculiaridad de no solo afectar al ordenador, sino a todo dispositivo conectado y a la red que esté unido.

El Centro Nacional Criptológico publicó un post en el que pueden verse los remedios para tal ataque y un análisis más técnico. Piche aquí para ver enlace.

Pero, ¿este ataque de ransomware que tiene de relación con la protección de datos?

Tiene mucho que ver, en primer lugar debido a la que el Nuevo Reglamento Europeo de Protección de Datos (que entrará en funcionamiento en mayo de 2018) crea la obligación de notificar a la Agencia Española de Protección de Datos de cualquier quebrantamiento de seguridad en un plazo de 72 horas.

Este nuevo requisito, se impone como medida dirigida justamente a casos como el actual.

Estos ataques de ransomware, por desgracia, nos van resultando más actuales cada vez y seguramente en los próximos años con la evolución tecnológica sean parte de nuestra vida cotidiana.

Los objetivos de estos ataques informáticos son archivos con datos valiosos, aquellos que contengan datos personales (cualquier tipo dato que sirva para identificar a una persona física).

Resulta lógico que si el objetivo de la Ley Orgánica de Protección de Datos, es su salvaguarda, se pongan en funcionamiento estos procedimientos para asegurar al ciudadano que los datos que tienen las empresas van a gozar de un nivel de seguridad óptimo. Y, en el caso de que exista cualquier tipo incidente, le sea comunicado para que pueda estar informado de la situación y estado de esa información que tiene la empresa de él.

Este requisito como tal, es novedoso, sin embargo la idea ya se encontraba implantada en el Real Decreto 1720/2007, de 21 de diciembre de aplicación de la LOPD. En su artículo 90 relativo a las medidas de seguridad (nivel básico) se recoge que “Deberá existir un procedimiento de notificación y gestión de las incidencias que afecten a los datos de carácter personal y establecer un registro en el que se haga constar el tipo de incidencia, el momento en que se ha producido, o en su caso, detectado, la persona que realiza la notificación, a quién se le comunica, los efectos que se hubieran derivado de la misma y las medidas correctoras aplicadas”.

De igual manera, en el artículo 100 relativo a las medidas de seguridad de nivel medio se especifica que: “En el registro regulado en el artículo 90 deberán consignarse, además, los procedimientos realizados de recuperación de los datos, indicando la persona que ejecutó el proceso, los datos restaurados y, en su caso, qué datos ha sido necesario grabar manualmente en el proceso de recuperación”.

Desde Equal, siempre hemos optado por una adaptación minuciosa a estos extremos en los que la Protección de Datos tiene una gran conexión con la ciberseguridad. Una adaptación correcta junto con unos procedimientos adecuados de gestión de la información, va a provocar que la empresa se encuentre protegida, y en el caso de que el ataque llegue a producirse, tenga las medidas necesarias para saber cómo actuar para mitigar los posibles daños que pueda provocar.

Javier Arnaiz Vidella.

Abogado en Nuevas Tecnologías.