El largo brazo del bufete de abogados y el futuro de la ciberseguridad

Algunos días parece que todo el mundo está siendo hackeado. China robó datos militares estadounidenses a través del ciberespacio, primero para el Joint Strike Fighter y ahora para tecnologías submarinas sensibles. Millones de estadounidenses sufrieron el robo de la información de sus tarjetas de crédito cuando los piratas informáticos violaron las compañías minoristas. Incluso los barcos en el mar son vulnerables, ya que los piratas informáticos aprendieron a manipular el Sistema de Información Automatizado (AIS) y el Sistema de Posicionamiento Global (GPS) para alterar el curso de navegación de un barco sin que sus capitanes necesariamente lo sepan.

Estos hackeos son alarmantes en su alcance y riesgo e inmediatamente aparecen en los titulares. Pero, ¿qué pasa con el truco silencioso y sutil de un bufete de abogados de guante blanco? Los bufetes de abogados basan su reputación (y por lo tanto su negocio) en la confidencialidad y la discreción, por una buena razón.

El negocio legal es obviamente delicado; Los abogados a menudo interactúan con sus clientes en estados vulnerables o en transición donde hay mucho en riesgo. Los registros de los clientes presentan un tesoro de datos jugosos para cualquier pirata informático: información de identificación personal, datos bancarios y correspondencia. Todos los datos que podrían hacer o deshacer un caso para un cliente y su compañía.

Algunas infracciones de los bufetes de abogados fueron desastrosas para las víctimas. Recordemos el sorprendente hackeo del bufete de abogados panameño Mossack Fonseca y la publicación de terabytes de datos en la divulgación de los "Papeles de Panamá" que siguió. (Mossack Fonseca cerró en marzo de 2018 debido a las prácticas ilegales que reveló el hackeo). Muchas firmas corporativas respetuosas de la ley fueron pirateadas y abusadas en línea, y cada piratería implica a la firma y a sus clientes.

Equipos de seguridad en el entorno de seguridad emergente

Para un profesional de la seguridad en un bufete de abogados, debe hacer dos cosas: (1) proteger los datos de su firma y (2) hacerlo sin interrumpir el trabajo diario de los socios y asociados de la firma. ¿De qué se está defendiendo y dónde debe invertir en personas, procesos y tecnología para tener el mejor éxito?

El robo y la divulgación de datos son preocupaciones obvias para los bufetes de abogados. Sin embargo, si la última década fue la década de la divulgación de datos, las compañías harían bien en preocupar por la manipulación de datos en el futuro. Sí, los emails de su cliente (y los suyos) podrían filtrar. Pero, ¿qué pasaría si un actor hostil pudiera penetrar en las redes de su compañía, obtener acceso a su entorno en la nube y manipular los datos para cambiar los hechos del caso en papel?

¿Qué pasaría si un pirata informático ingresara a un archivo y cambiara la fecha alterando la línea de tiempo de la trayectoria del crimen en su argumento? Tales manipulaciones de datos podrían convertir las operaciones del ciberespacio en un arma perfecta contra un bufete de abogados. Los abogados no pueden construir un caso y los jueces no pueden juzgar un caso si no pueden confiar o verificar la información en la que se basa el caso.

Entonces, ¿cuáles son los activos más importantes que debe cerciorar una compañía? En primer lugar, están las herramientas digitales que emplea la compañía para almacenar y rastrear los documentos de sus clientes. Los abogados almacenan muchos datos sobre sus clientes y necesitan sistemas intuitivos con los que hacerlo; Un sistema de gestión de documentos (DMS) es el alma de las operaciones de almacenamiento y recuperación de un bufete de abogados, y la seguridad de la aplicación es vital para la confidencialidad. A menudo proporcionadas por desarrolladores de aplicaciones de terceros, algunas aplicaciones DMS son más seguras que otras y las compañías a menudo trabajarán con los desarrolladores de aplicaciones para mejorar la seguridad. 

Equilibrio entre seguridad y facilidad para hacer negocios

Los equipos de seguridad quieren una ciberseguridad estable para la compañía, pero también enfrentan la presión de socios y otros para minimizar los impactos en el usuario final. En los bufetes de abogados ocupados, los equipos de seguridad a menudo enfrentan una larga batalla cuesta arriba para vender socios en soluciones de seguridad estables si la capacidad alguna vez pudiera ralentizar el negocio diario de la firma. Los bufetes de abogados no quieren que los productos de seguridad causen fricción o latencia.

Sin embargo, en la era de las constantes infracciones, cualquier herramienta de ciberseguridad eficaz requerirá algún elemento de gestión del cambio. Las firmas deben equilibrar su beneficio competitivo a largo plazo (incluida la confidencialidad y la discreción, las cuales se ganan con esfuerzo pero se pierden fácilmente) con la necesidad de ganar casos para los clientes.

¿Cómo deben proceder los bufetes de abogados?

Como cualquier compañía, las compañías necesitan comprender sus misiones más importantes y dependientes de los datos, obtener visibilidad de sus activos y comportamientos, e invertir en sistemas para proteger sus centros de datos y entornos en la nube más allá de la seguridad de las aplicaciones .

La buena noticia es que esta primavera, los equipos de seguridad de todo el mundo recibieron un gran impulso a través del Reglamento General de Protección de Datos (GDPR) de la Unión Europea. Los equipos de seguridad ahora pueden usar los requisitos y tarifas de notificación de incumplimiento de GDPR para impulsar el cambio en sus compañías. Esto es especialmente cierto para las compañías que representan o tocan a ciudadanos europeos, pero el impacto del GDPR se siente en todo el mundo a medida que las compañías consideran su futuro digital y el mundo que quieren construir.

Estamos en una nueva era de operaciones en el ciberespacio y manipulaciones de datos. Durante la última década, los piratas informáticos estatales y no estatales perfeccionaron sus tácticas, siempre buscando nuevos métodos para explotar las brechas y las oportunidades para obtener un beneficio. El mundo alguna vez se centró en prevenir el robo de propiedad intelectual y prevenir ataques disruptivos a la infraestructura crítica; ahora agregamos la prevención de ataques manipuladores contra organizaciones políticas, redes sociales y el electorado de una nación, y el acceso a Internet está aumentando rápidamente en Asia y más allá.

El ataque ruso a las elecciones presidenciales de Estados Unidos de 2016 puede marcar el final del Acto I de nuestra historia de ciberseguridad. Ahora estamos en un punto de inflexión entre dos futuros. En un futuro, los ciberataques seguirán aumentando en ritmo, diversidad y gravedad. Las infracciones podrían tener impactos que aún no podemos imaginar, pero sabemos que los grupos estatales y no estatales buscarán emplear la larga cola de la tecnología digital de cualquier manera que puedan para salir adelante.

En un segundo futuro, las organizaciones de todo el mundo invierten en medidas de ciberseguridad y resiliencia para reducir el riesgo y proteger los centros de datos y la nube desde adentro. Si los sectores financiero y energético lideraron el camino en la construcción de sus capacidades de ciberseguridad durante la última década, en el Acto II de nuestra historia de ciberseguridad esperamos ver una segunda ola de inversiones a medida que más y más organizaciones se enfrenten a la vida en la era digital.

Las infracciones ocurrirán, pero es mucho mejor si puede limitar la violación a tres servidores en lugar de 3,000 servidores. Las compañías pueden invertir ahora en sistemas ciberresilientes para evitar que se propaguen las infracciones.

Los bufetes de abogados están llenos de pensadores y líderes inteligentes, motivados y estratégicos. Muchos desempeñaron funciones gubernamentales en todo Estados Unidos. Hoy en día, las compañías tienen la oportunidad de construir una base estable de ciberseguridad para ellos y para sus clientes, y de ayudar a empujar al mundo hacia ese segundo futuro más resiliente.