Hosting Peru

Dan Geer, experto en seguridad informática, propone un mandato aplicable a todo el sector empresarial, según el cual las empresas estarían obligadas a revelar hacks y brechas de seguridad, al igual que ocurre con el control de enfermedades.

Durante su discurso en la reciente Conferencia Black Hat, Geer sugirió aplicar a las empresas requisitos obligatorios, que deberían ser más estrictos que la normativa actual, escribe la publicación VPN Creative.

“¿No tendría sentido tener un régimen de notificación obligatoria de los fallos de seguridad cibernética?”, preguntó retóricamente el experto, señalando que las empresas deberían enfrentar cargos criminales si evitan reportar situaciones de riesgo cibernético a las autoridades.

Sugirió que los ataques y brechas “por encima de cierto umbral” simplemente deberían ser reportados a organismos competentes. En tal sentido, hizo referencia a procedimientos internos en la Fuerza Aérea estadounidense, donde los informes sobre hackeo son tratados como si fuesen emergencias de aviación.

Recurriendo a una metáfora, Geer comparó el control de riesgos informáticos con el control de enfermedades, donde la finalidad es prevenir brotes y evitar el contagio a gran escala. Indicó que la comparación es válida debido a la velocidad con que los virus informáticos pueden propagarse.

En su discurso, el experto propuso además que la industria del software esté sujeta a procesos más estrictos de rendición de cuentas. Para enfatizar su punto de vista declaró: “los únicos dos productos no cubiertos por responsabilidad legal son la religión y el software; el software no debería escapar a este control por mucho más tiempo”.

Propuso, en tal sentido, que la industria del software esté sujeta a controles de calidad similares a los aplicables al sector bancario.

También se manifestó enérgicamente a favor de mejores prácticas de manejo de metadatos, diciendo que los usuarios deben tener la seguridad absoluta de que su información ha sido eliminada por las empresas, en aquellos casos que sea precedente. Para ello, requirió que las empresas que recopilan metadatos entreguen a los usuarios seguridades y garantías concretas de que los datos han sido eliminados. Indicó que en caso de no existir una garantía escrita, el usuario sencillamente debe suponer que sus datos han sido almacenados permanentemente.

—

Ilustración: Shots Studio © Shutterstock.com