Entrevista a Francisco Pérez de Bes
Pregunta: ¿El hacker suele ser una amenaza interna o externa?
Respuesta:
Actualmente, los ataques también se han ido automatizando, de manera que la amenaza es persistente, y los ataques artesanales van disminuyendo, aunque la mayor amenaza sigue proviniendo del exterior.
Bien es cierto que tradicionalmente el ciberdelincuente ha venido siendo siempre una persona ajena a la organización, pero cada vez más habitual que el daño a la empresa sea causado por uno de sus empleados, proveedores o de personas que tienen relación directa con la misma (los conocidos como “insiders”). No obstante, no es menos cierto que en ocasiones el daño se produce por negligencia o desconocimiento de alguno de los empleados, lo que refuerza la necesidad de que toda organización, con independencia de su actividad o tamaño, imparta una formación completa y adecuada a su plantilla, donde se le informe de las amenazas y se le advierta de los riesgos y de sus consecuencias.
P.: ¿El ejercicio de la abogacía es una actividad de riesgo en cuanto a vulnerabilidad de la seguridad técnica?
Respuesta:
No sólo el de la abogacía, sino cualquier profesión o negocio. Sin embargo, el sector legal se caracteriza por la sensibilidad de la información y de los datos que se manejan, por lo que la necesidad de implementar medidas de seguridad técnica cobra una especial importancia en este sector.
Pensemos en que difícilmente los riesgos ahora provienen de un robo a la caja fuerte del despacho, ya que todas las oficinas disponen de alguna medida de seguridad física. Sin embargo, ¿se adoptan medidas de protección lógica a nuestro despacho que ya está conectado a Internet? No sirve de nada instalar la mejor tecnología de seguridad en nuestras instalaciones, si luego nuestros sistemas están conectados a la red sin una protección adecuada.
En cualquier caso, y con independencia de las medidas de protección de cara al exterior (antivirus, firewalls, etc.), la abogacía debe reforzar sus sistemas de gestión a través de otras medidas, como puede ser el cifrado de la información, y robustas políticas de acceso a la información que se maneja en el despacho.
P.: ¿Cómo se debe proteger el correo electrónico?
Respuesta:
Durante el ejercicio de su profesión, el abogado siempre debe emplear servicios de correo electrónico que garanticen la seguridad y privacidad de sus comunicaciones. A estos efectos, el cifrado de la información que se incluye en estos correos, así como de todos los archivos que se adjuntan a un correo, cobra una especial relevancia.
Pero no solo eso. El acceso inconsentido a una cuenta de correo corporativa es igualmente devastador, por lo que debe implementarse una política estricta de contraseñas robustas y de actualización.
Tampoco debe olvidarse de la importancia que tiene la conservación de los correos electrónicos, por lo que siempre es importante comprobar que el prestador de ese servicio nos garantiza la recuperación de correos en determinados supuestos.
P.: ¿Quién puede ayudarnos a mejorar la seguridad de nuestros despachos?
Respuesta:
En mi opinión, las organizaciones colegiales deben impulsar medidas de formación y sensibilización en estas materias, y dar soporte al colectivo también en estos temas. Y, en cualquier caso, contar con servicios tales como los que ofrece la Oficina de Seguridad del Internauta (osi.es), y el propio Incibe (incibe.es) a través del equipo de gestión contra incidentes cibernéticos (CERT de Seguridad e Industria), que sería el organismo que nos podría ayudar en el supuesto de haber sufrido un incidente de ciberseguridad, como podría ser el caso de un ransomware, un ataque contra la página web, etc.
Adicionalmente a lo anterior, el propio Incibe ofrece formación gratuita y de calidad dirigida a formar a los profesionales y pequeños empresarios en todo lo relacionado con las buenas prácticas y consejos de seguridad para organizaciones como los despachos y los colegios de abogados. Quiero destacar especialmente iniciativas como la de la publicación de las Guías TIC que promueven desde el Consejo General de la Abogacía Española, de cara a facilitar a los profesionales del derecho el acceso a documentación e información de valor en este aspecto.
P.: ¿Cómo debe protegerse la documentación de los casos ya terminados? ¿Debe destruirse?
Respuesta
: En lo que respecta a la gestión de los expedientes electrónicos que se manejen en el despacho, yo soy de la opinión que la documentación electrónica relativa a los expedientes debe conservarse, sin perjucio de la copia de seguridad que se realice, en un terminal sin acceso a Internet, tratando de evitar (o dificultar al máximo) el acceso inconsentido a esa información, así como cualquier posibilidad de alteración o manipulación.
Además, el acceso a esos terminales debe estar restringido y controlado, para que sólo las personas con autorización puedan acceder y realizar copias, o lo que corresponda en cada caso.
Pensamos que la tendencia es la de papel cero, por lo que poco a poco los expedientes en papel irán desapareciendo, siendo los archivos electrónicos la única prueba existente del procedimiento.
P.: El coste reputacional de un asunto como el de Mossack Fonseca ¿puede ser reparado?
Respuesta
: Difícilmente sea un despacho que pueda recuperar su reputación (salvo que cambien su denominación), dado que la confianza de los clientes es el mejor valor de un despacho de abogados. Y una vez perdida esa confianza es muy difícil volver a trasladar la imagen anterior. Además, este despacho se ha convertido en la desafortunada referencia en el caso de fuga de información, que será recordado durante mucho tiempo.
De lo que se trata ahora es de evitar que casos como ese puedan reproducirse en nuestro país, ya que el perjuicio no sólo alcanza a un concreto despacho, sino que se extiende a toda la profesión.
P.: ¿Recomendaría a los abogados el uso de las redes sociales? ¿Qué deben tener en cuenta si las usan?
Respuesta:
Sí lo recomiendo. Creo que las redes sociales son una muy buena herramienta para posicionar al despacho y darlo a conocer. Pero también existen riesgos y amenazas que conviene conocer. No es extraño que una mala práctica en redes sociales haya provocado una crisis de reputación en una organización, que nunca es fácil de gestionar. En cualquier caso, el uso de redes sociales por parte de los abogados siempre debe hacerse respetando las normas de la plataforma que se use, pero muy especialmente la legislación española y –claro está- el código deontológico de la abogacía.
Y, como decía, si bien las redes sociales ofrecen innumerables oportunidades, también plantean problemas relacionados con la suplantación de identidad, revelación de información confidencial, y otras situaciones que deben evitarse. Por eso es muy importante no entrar en redes sociales sin antes conocer el ecosistema en el que se va a mover la cuenta del despacho, porque cada red social es distinta, como también los son sus usuarios. No todas son buenas para nuestro despacho.
Y siempre conviene apoyarse en especialistas del social media. Numerosos despachos cuentan entre sus filas con un Community manager o un Social Media Manager, para gestionar sus comunidades o diseñar su estrategia en redes. En este campo hay que reconocer la buena labor que se lleva a cabo desde la Asociación de Responsables de Comunidades Online y Profesionales del Social Media (AERCO-PSM) para que la presencia en redes sea lo mejor posible.
P.: ¿El uso de la tecnología supone riesgos inevitables?
Respuesta:
Si, aunque son gestionables. No es un problema de la tecnología, porque la tecnología es el mundo en el que nos toca vivir. Y no podemos huir de eso. Hay que adaptar la tecnología a nuestra vida personal y profesional en la medida que queramos o podamos gestionar.
Esos riesgos siempre van a estar ahí, por lo que lo que toca hacer es conocerlos y evitarlos. Por eso es tan importante la formación, la concienciación y la sensibilización, especialmente en asuntos de tanta importancia como puede ser la ciberseguridad. Y más aún en profesiones que manejan información sensible y confidencial.
No hay que tener miedo de la tecnología, sino ser conscientes de que su mal uso conlleva consecuencias que pueden ser importantes para nuestro negocio.
Yo soy un gran promotor del uso de las nuevas tecnologías entre la abogacía, aunque su uso debe hacerse de manera informada y responsable.
Mercedes Rey