No todos los incidentes de ciberseguridad necesitan reportarse; por ejemplo, los intentos de acceso no autorizado que no comprometen datos. Las leyes de notificación de filtraciones entran en juego cuando hay un robo confirmado de datos sensibles, como información financiera o personal. Estas definiciones varían según la jurisdicción, pero por lo general dependen de un término legal sofisticado: la "materialidad".

En 2023, la Securities and Exchange Commission (SEC) adoptó nuevas regulaciones que exigen a las empresas públicas divulgar incidentes de ciberseguridad materiales dentro de los cuatro días hábiles posteriores a determinar su materialidad. La SEC define la materialidad como la información que un inversionista razonable consideraría importante, incluidos los posibles riesgos financieros, de reputación o legales.

Para otras organizaciones, la materialidad la determinan las jurisdicciones correspondientes. Esto puede crear una red compleja de leyes y regulaciones estatales, federales, internacionales y sectoriales que las organizaciones deben tener en cuenta.

Por ejemplo, las organizaciones médicas deben seguir las protecciones de confidencialidad del paciente de HIPAA y enviar notificaciones de filtraciones de datos si se compromete información médica personal (PHI). HIPAA tiene reglas de notificación basadas en riesgo, mientras que estados como California adoptan un enfoque más estricto, que activa la notificación cuando se obtiene (o se cree razonablemente que se obtuvo) información personal sin cifrar. HIPAA se aplica a la PHI, mientras que las leyes estatales de notificación de filtraciones cubren una gama más amplia de datos, incluidas tarjetas de pago, credenciales de inicio de sesión, identificadores en línea y más.

Los 50 estados y territorios tienen leyes de notificación de filtraciones con diferentes definiciones y criterios para la generación de informes. Lo que califica como "información de identificación personal" (PII) puede variar: algunos estados incluyen datos biométricos, mientras que otros se enfocan en detalles financieros. Las empresas suelen seguir el estándar más estricto para cubrir sus obligaciones en varios estados.

A quién debes notificar sobre una filtración de datos y con qué rapidez también varía ampliamente. Las audiencias posibles incluyen:

• Las personas afectadas (para alertarlas sobre medidas de protección como el monitoreo de crédito)
• Los reguladores (por ejemplo, la SEC, los fiscales generales estatales)
• Socios/proveedores (por riesgos en la cadena de suministro)
• Aseguradoras (para activar la cobertura)
• Las fuerzas del orden (por ejemplo, el FBI para investigaciones criminales)

Por ejemplo, cualquier negocio que procese transacciones con tarjeta de crédito está obligado contractualmente, según PCI DSS, a presentar un informe de compromisos de datos de tarjetas a su banco adquirente y a las marcas de tarjetas, y en ocasiones a contratar un investigador forense de la industria de tarjetas de pago (PFI). Los 50 estados también exigen notificar a los residentes afectados si se compromete información personal, y los números de tarjetas de crédito y los nombres suelen calificar.

Los plazos van desde inmediatos (por ejemplo, las fuerzas del orden) hasta 30-60 días para las personas en muchos estados de EE. UU. En la Unión Europea, el Reglamento General de Protección de Datos (GDPR) es más estricto y exige notificar a las autoridades dentro de las 72 horas posteriores a una filtración de datos personales.

Debido a la superposición de jurisdicciones y requisitos de cumplimiento ante filtraciones, la planificación es fundamental. Las empresas deben determinar cuidadosamente qué mandatos aplican y elaborar un plan de respuesta a incidentes (IR) que detalle roles y responsabilidades claros para cumplir estos requisitos. No querrás depender de suposiciones durante una crisis.

Los componentes clave de tu plan de IR incluyen:

• Roles definidos: Cada miembro del equipo conoce sus responsabilidades durante la respuesta a incidentes (por ejemplo, el CISO como líder técnico, los ejecutivos para la supervisión)
• Árboles de contacto: Listas actualizadas para partes internas y externas
• Asesoría legal: Para el cumplimiento y la preparación de litigios
• Aseguradoras: Para notificaciones de reclamos
• Forense: Herramientas de análisis, como SIEM
• Comunicaciones: Plantillas de mensajes preaprobadas por el área legal

Para profundizar en la planificación de IR, mira nuestro evento virtual bajo demanda, "Practical Incident Response Planning".

Preservar los hechos de la brecha requiere un manejo riguroso de la evidencia. Esto es importante para fines legales y de investigación, además de minimizar el riesgo futuro. El manejo adecuado de la evidencia incluye:

• Cadena de custodia: rastrea el manejo de un activo de ciberseguridad mediante documentación, evitando alteraciones.
• Registros inmutables (por ejemplo, rastros de auditoría) que garantizan registros inalterables.
• Pasos de preservación que incluyen imágenes forenses, almacenamiento seguro y saneamiento conforme a NIST (ver: NIST SP 800-61, SP 800-86)

Varias autoridades publican guías sobre cómo integrar estas buenas prácticas, incluyendo CISA y NIST. Estas se pueden poner en práctica con una plataforma de gestión de información y eventos de seguridad (SIEM) gestionada, que da a las empresas visibilidad total sobre los datos de registro relevantes en todos los sistemas, agilizando las auditorías y el cumplimiento normativo.

Los ejercicios de simulación (tabletop) permiten a las organizaciones simular brechas y perfeccionar sus planes de respuesta a incidentes sin los riesgos de un evento real. Los escenarios pueden incluir ataques de ransomware o phishing, e incluyen evaluaciones estratégicas y técnicas. Tu equipo puede ver cómo funcionan sus roles en conjunto, identificar brechas y anotar áreas de mejora tras el ejercicio.

El cumplimiento normativo y la gestión de riesgos son una parte inseparable de la ciberseguridad. Ambos dependen de contar con las herramientas, la preparación y el equipo adecuados. Huntress ofrece servicios de SOC gestionado y monitoreo las 24 horas, los 7 días de la semana, para detectar y neutralizar amenazas rápidamente antes de que puedan causar daño.

• La plataforma Managed ITDR detecta amenazas centradas en identidad, como el compromiso de correo electrónico empresarial (BEC).
• Managed EDR pone en marcha tu manual de respuesta a incidentes con una contención rápida.
• Managed SIEM te da capacidades de registro inmutable y generación de informes para un cumplimiento normativo eficaz.

Protégete contra ataques, contén amenazas y agiliza el cumplimiento ante brechas de datos con Huntress a tu lado.