La respuesta de una aseguradora de salud a la notificación de una violación de seguridad de un proveedor fue ejemplar: en la hora siguiente a recibir la notificación, había convocado al equipo de IR, activado el proceso de evaluación regulatoria, contratado asesoría jurídica y enviado al proveedor una consulta técnica detallada en la que solicitaba la información específica necesaria para delimitar su propia exposición. La consulta incluía doce preguntas específicas: la cronología del acceso no autorizado, los sistemas específicos a los que se accedió, las categorías de datos que estaban accesibles, el método de autenticación utilizado por el atacante, los indicadores técnicos de compromiso, la cronología de la contención y los registros específicos que podrían haberse exfiltrado. La primera respuesta del proveedor llegó tres días después: un solo párrafo redactado en consulta con su equipo jurídico que describía el incidente como 'un evento de ciberseguridad que afecta a determinados sistemas de TI' y confirmaba que la investigación seguía en curso. La segunda respuesta, siete días después de la consulta original, aportaba algo más de detalle: el incidente se había contenido y el proveedor estaba cooperando con las autoridades pertinentes. Diez semanas y siete comunicaciones después, la aseguradora había recibido información suficiente para completar su evaluación del riesgo de violación de HIPAA. El ochenta y siete por ciento del plazo de la investigación se había consumido esperando comunicaciones del proveedor demoradas por la revisión jurídica.
¿Qué son realmente las fallas en la comunicación de incidentes?
Las fallas en la comunicación de incidentes en las relaciones con proveedores son las interrupciones en el flujo de información específica y técnicamente útil desde el equipo de IR del proveedor hasta el equipo de IR del cliente durante un incidente compartido, interrupciones que dificultan que el cliente comprenda su propia exposición, cumpla sus propias obligaciones regulatorias y realice su propia evaluación forense. Estas fallas tienen tres orígenes: ciclos de revisión jurídica que retrasan y depuran las comunicaciones técnicas, limitaciones del canal de comunicación que canalizan las preguntas técnicas a través de la gestión de cuentas en lugar de canales de IR a IR, y restricciones de contenido que limitan lo que el proveedor comunicará mientras prepara un posible litigio.
El problema de la comunicación filtrada por el área jurídica es el patrón de falla predominante. Cuando el equipo jurídico de un proveedor controla las comunicaciones sobre una violación de seguridad, estas se optimizan para minimizar el riesgo jurídico y no para atender las necesidades de información del cliente. Las comunicaciones revisadas por el área jurídica suelen ser vagas en cuanto a fechas ('el incidente ocurrió en Q2'), poco específicas en lo técnico ('se vieron afectados sistemas que contienen determinada información de clientes') y llenas de salvedades jurídicas ('no podemos confirmar ni negar en este momento el acceso a datos específicos'). Estas comunicaciones cumplen los requisitos del equipo jurídico del proveedor de minimizar las admisiones de hechos concretos. Son casi inútiles para el equipo de IR del cliente, cuya evaluación de la exposición requiere una cronología específica, sistemas específicos, categorías de datos específicas y vectores de ataque específicos.
El problema del canal de comunicación a través de la gestión de cuentas agrava la demora de la revisión jurídica. Las comunicaciones sobre violaciones de seguridad de los proveedores suelen pasar por los equipos de gestión de cuentas, los responsables de la relación que gestionan la interacción diaria con el cliente, en lugar de circular directamente entre el equipo de IR del proveedor y el equipo de IR del cliente. Los gestores de cuenta que trasladan las consultas técnicas a los equipos de ingeniería y jurídico introducen demoras y capas de intermediación adicionales que reducen la especificidad de la información recibida y la rapidez de su entrega. La comunicación directa de IR a IR, establecida antes de que ocurran los incidentes, evita la intermediación de la gestión de cuentas y acorta la ruta de comunicación.
- Comunicaciones filtradas por el área jurídica que proporcionan información poco específica y llena de salvedades jurídicas
- Canal de comunicación a través de la gestión de cuentas que introduce demoras e intermediación
- Sin canal de comunicación directa de IR a IR establecido antes del incidente
- Requisitos sobre el contenido de las comunicaciones no incorporados al contrato: qué información específica debe proporcionar el proveedor
- Sin SLA de comunicación: plazo para proporcionar detalles técnicos específicos
Por qué es importante
Las fallas en la comunicación de incidentes son importantes para TPRM porque la capacidad del cliente de cumplir sus propias obligaciones regulatorias (evaluación del riesgo de violación de HIPAA, notificación conforme a GDPR, notificación de incidentes en servicios financieros) depende de obtener información técnica específica del proveedor dentro de los plazos regulatorios aplicables. Un cliente que no puede obtener los detalles técnicos necesarios para su evaluación del riesgo de violación dentro del plazo regulatorio no cumple, independientemente de que el proveedor haya enviado notificaciones generales que satisfacían sus propias obligaciones contractuales.
La dimensión de la evaluación del riesgo de violación conforme a HIPAA tiene consecuencias específicas. HIPAA exige a las entidades cubiertas realizar una evaluación del riesgo de violación, es decir, una evaluación formal de la probabilidad de que la PHI se haya visto comprometida, para determinar si se requiere notificación. La evaluación del riesgo requiere información específica sobre la naturaleza del incidente, el tipo de PHI afectada y si realmente se accedió a los datos, y no solo si estaban potencialmente accesibles. Un proveedor cuyas comunicaciones no aportan esta información específica a tiempo para la evaluación hace que el cumplimiento de HIPAA dependa del calendario de comunicación del proveedor y no de la diligencia propia de la entidad cubierta.
Dónde se equivocan la mayoría de los equipos
La falla más constante es no establecer canales de comunicación de IR a IR ni requisitos sobre el contenido de las comunicaciones antes de que ocurran los incidentes. Cuando el primer contacto entre los equipos de IR se produce durante un incidente activo, los desafíos de comunicación descritos se descubren en tiempo real, en el peor momento posible.
- Sin canal de comunicación de IR a IR establecido de antemano
- Requisitos sobre el contenido de las comunicaciones ausentes del contrato: qué debe proporcionarse y cuándo
- Gestión de cuentas como canal de comunicación de incidentes: comunicaciones relevantes para IR canalizadas a través de personal ajeno a IR
- Sin SLA de comunicación para los detalles técnicos específicos
- Ciclo de revisión jurídica no contemplado en los requisitos de comunicación
Cómo se ve una buena práctica
Los programas maduros de comunicación de incidentes establecen canales de comunicación de IR a IR antes de los incidentes, incorporan al contrato requisitos sobre el contenido de las comunicaciones, incluidos los detalles técnicos específicos que deben proporcionarse en plazos definidos, y exigen que la revisión jurídica no impida proporcionar la información técnica específica que el cliente necesita para cumplir sus obligaciones regulatorias.
- Canal de comunicación de IR a IR establecido: contacto directo antes del incidente
- Requisitos sobre el contenido de las comunicaciones incorporados al contrato: detalles técnicos específicos en plazos definidos
- La revisión jurídica no es una excusa: disposición contractual que exige detalles técnicos específicos independientemente de que haya una revisión jurídica en curso
- SLA de comunicación: plazo para proporcionar los detalles técnicos desde la notificación
- Protocolo de comunicación conjunto: formato y frecuencia de comunicación predefinidos
Herramientas
Comunicación segura: Signal, correo electrónico cifrado, espacio de trabajo compartido de IR
Las plataformas de comunicación segura ofrecen canales cifrados para la comunicación técnica de IR a IR durante los incidentes. Establecer canales de comunicación seguros con los contactos de IR de los proveedores críticos antes de los incidentes ofrece la vía de comunicación técnica directa que los canales de gestión de cuentas no pueden ofrecer. Para los profesionales de TPRM, establecer un canal de comunicación cifrado con el contacto de IR del proveedor como parte de la planificación conjunta de IR aporta tanto el canal como la relación.
Desafíos de gobernanza
El desafío de gobernanza de la comunicación de incidentes es la tensión con la revisión jurídica. Los proveedores con una responsabilidad significativa por violaciones de seguridad tienen fuertes incentivos para filtrar las comunicaciones mediante la revisión jurídica y evitar admisiones de hechos concretos. La solución de gobernanza es incorporar al contrato requisitos específicos de comunicación técnica que coexistan con el derecho del proveedor a contar con asesoría jurídica: el proveedor puede seguir realizando la revisión jurídica, pero el contrato especifica que la información técnica específica debe proporcionarse en plazos definidos, independientemente del ciclo de revisión.
- Establezca el contacto de IR a IR antes del incidente: intercambie los datos de contacto de emergencia
- Incorpore al contrato el contenido de la comunicación técnica: doce preguntas específicas y el plazo exigido
- Incluya una excepción a la revisión jurídica: el contrato exige detalles técnicos específicos independientemente de la revisión
- Establezca un SLA de comunicación: un plazo específico para proporcionar los detalles técnicos
- Pruebe el canal de comunicación: ejercicio anual de comunicación
Si usted forma parte de un equipo pequeño
Con su proveedor de mayor riesgo, intercambie ahora los datos de contacto de emergencia de IR: no los contactos del gestor de cuenta, sino los de la persona responsable de seguridad o de IR que gestionaría la comunicación durante un incidente. Envíe un correo electrónico de presentación para confirmar la relación de contacto. Luego añada una cláusula en la próxima modificación del contrato: en caso de un incidente de seguridad que afecte a los datos del cliente, el proveedor proporcionará los doce detalles específicos siguientes dentro de las veinticuatro horas posteriores a la solicitud por escrito del cliente, independientemente de que haya una revisión jurídica interna en curso. Redactar la lista de doce detalles lleva cinco minutos. La relación y la cláusula llevan treinta minutos. Ambas evitan tres semanas de falta de comunicación filtrada por el área jurídica.
- Intercambie ahora con los proveedores críticos los datos de contacto de emergencia de IR a IR
- Redacte doce detalles técnicos específicos que deban entregarse dentro de las 24 horas siguientes a la solicitud
- Añada una cláusula sobre el contenido de las comunicaciones en la próxima modificación del contrato
- Pruebe el canal de comunicación una vez al año
Qué exigir
Pregunte directamente:
"En caso de un incidente de seguridad que afecte a nuestros datos, ¿cuál es el proceso específico para que nuestro equipo de IR reciba los detalles técnicos (cronología del acceso, sistemas afectados, categorías de datos, vector de ataque) directamente de su equipo de IR y no a través de su equipo jurídico, y podemos establecer ese canal de comunicación ahora?"
Evidencia que debe esperar
- Contacto nominal de IR para la comunicación técnica durante los incidentes
- Compromiso de proporcionar detalles técnicos específicos en un plazo definido
- Proceso de comunicación de IR a IR que evita la demora de la revisión jurídica
- Aceptación de los requisitos sobre el contenido de las comunicaciones
A un proveedor que confirma tener procedimientos de comunicación de incidentes se le debe preguntar específicamente si los detalles técnicos pueden proporcionarse directamente al equipo de IR del cliente y en qué plazo. El procedimiento describe lo que ocurre. El canal directo y los requisitos de contenido determinan si lo que ocurre es útil.
Cómo demostrarlo
- Documentación del canal de comunicación de IR a IR
- Requisitos sobre el contenido de las comunicaciones en el contrato
- Registros del SLA de comunicación
- Registros del ejercicio anual de comunicación
Conclusión clave
Siete correos electrónicos. Tres semanas. Ningún detalle técnico. La información existía en la investigación de IR del proveedor. El ciclo de revisión del equipo jurídico filtró el contenido técnico específico que habría permitido al cliente completar su evaluación de la exposición. Las comunicaciones revisadas por el área jurídica cumplieron las obligaciones contractuales de notificación. No permitieron el cumplimiento regulatorio. El canal de IR a IR, establecido antes del incidente, evita la intermediación de la gestión de cuentas. La cláusula sobre el contenido de las comunicaciones, negociada antes del incidente, exige detalles técnicos específicos independientemente de que haya una revisión jurídica en curso. Ambas cosas son sencillas de establecer. Ambas son infinitamente más difíciles de establecer una vez que ha comenzado el incidente que las requiere.