Luego del incidente de seguridad que expuso 143 millones de datos de clientes incluyendo datos de tarjetas, Equifax ha reemplazado a los cargos directivos de tecnologías y seguridad de la información. La brecha de seguridad fue generada por la explotación de una vulnerabilidad de aplicación Web y los ciberdelincuentes tuvieron acceso a los datos personales de clientes desde mediados de Mayo a finales de Julio según afirma Equifax.
Después del comunicado de la brecha de ciberseguridad sus acciones se desplomaron, curiosamente, tres ejecutivos vendieron acciones de Equifax por dos millones de dolares el 2 de agosto, es decir, tres días después de conocer el incidente antes de la caída de las acciones.
Análisis del incidente de acuerdo a la ISO/IEC 27032
El caso Equifax debe hacernos reflexionar sobre 5 aspectos de la ciberseguridad contenidos en la ISO/IEC 27032:
- Las responsabilidades de ciberseguridad en la organización en la asignación de recursos y liderazgo de la Dirección para tratar las amenazas de la ciberseguridad.
- La calidad y frecuencia de las evaluaciones de seguridad técnicas como las pruebas de penetración ejecutadas por empresas especializadas y consultores expertos y no por equipos inexpertos que solo ejecutan herramientas automatizadas.
- La efectividad y eficacia el proceso de gestión de vulnerabilidades desde la identificación de la vulnerabilidades hasta el cierre de la misma para cerrar el vector de ataque de un ciberdelincuente.
- Contar con un equipo de respuesta a incidentes de ciberseguridad que realice actividades de contención del incidente y de investigación forense digital.
- La responsabilidad de los organismos reguladores sobre las empresas que gestionan datos personales y la calidad de auditorías que ejecutan.
- La capacitación y concientización del personal encargado del tratamiento de los datos personales.
Fuente:
