¿Por qué los ejecutivos ocultan las violaciones de datos?

Cada vez que una gran empresa sufre una infracción, parece transcurrir un período de tiempo incómodo (semanas, a veces meses o incluso un año) hasta que se informa a las víctimas de que sus datos personales podrían estar en manos de un grupo de malhechores.

Para proporcionar algo de contexto, Uber, una empresa que ofrece una alternativa a los taxis en todo el mundo, ha sabido de una infracción desde octubre de 2016 que no reveló hasta que Bloomberg lo informó en noviembre de 2017. Peor aún, incluso pagaron un rescate a los piratas informáticos que lo atacaron, con la esperanza de que no apareciera en la portada de las noticias (un plan que aparentemente fracasó horriblemente).

¿Cual es el problema? ¿Por qué empresas como Uber, Equifax y Yahoo ocultan sus brechas durante tanto tiempo?

No quiero que sus clientes pierdan la confianza

Esto suena un poco contraproducente, pero algunos ejecutivos imaginan que si barren sus brechas debajo de la alfombra, sus clientes de alguna manera seguirán confiando en ellos. Sus dedos están cruzados, esperando que la brecha no sea tan dañina para todos. Una vez que el polvo se asiente, entonces podrían hacer un anuncio sin tanto impacto.

De alguna manera, es como un niño que saca malas notas y duda en mostrarle a su madre su boleta de calificaciones. Ella sabe que tiene que llegar, pero él espera que se olvide, que obtendrá mejores calificaciones en el próximo semestre y luego podrá mostrarle las mejores calificaciones junto a las peores. «¡Mira, no es tan malo!» él diría.

Desafortunadamente, esta práctica es tan contraproducente como parece. Los clientes tienden a sentirse traicionados cuando descubren que sus datos personales se han vuelto locos durante meses sin su conocimiento. Esto es especialmente cierto cuando se trata de números de seguro social, números de tarjetas de crédito u otros datos confidenciales.

No quiero que su stock caiga

Siguiendo la misma lógica, las empresas cuyas acciones se negocian en una de las principales bolsas de valores podrían ocultar sus filtraciones de datos por la misma razón. La diferencia aquí es que no quieren que sus accionistas se alarmen. Si la infracción no se considera extraordinariamente dañina, los precios de sus acciones no se hundirán hasta el fondo de un abismo.

Los accionistas podrían ser un poco más indulgentes. Por ejemplo, cuando Equifax anunció su incumplimiento el 7 de septiembre de 2017, se cotizaba a alrededor de $ 464 por acción. Inmediatamente después, el 11 de septiembre, el precio de la acción alcanzó los 474 dólares. Equifax no se vio afectado. A medida que avanzaba el mes, experimentó una pendiente descendente y finalmente se cotizó a 434 dólares el 26 de septiembre.

Luego, cuando el ciclo de noticias se calmó un poco, nunca volvió a alcanzar ese número tan bajo. En noviembre, cotizaba por encima de la cifra del 11 de septiembre, alcanzando un máximo de 492 dólares por acción.

Además, la vergüenza

Imagínese en la posición de un director ejecutivo: dirige una empresa con mil empleados, miles de millones de dólares en activos, decenas de millones de usuarios / clientes, los nueve metros completos. De repente, un hacker vago encuentra una vulnerabilidad en sus servidores que su departamento de TI olvidó parchear hace meses. Solo hizo falta un abandono de la universidad en su apartamento tipo estudio para ponerte de rodillas.

¡Eso es un gran éxito para el ego! ¿Qué crees que haría la mayoría de las personas con un sentido de autoestima inflado?

A veces, incluso los ejecutivos con el mejor sentido de integridad optarán por capear la tormenta y ver si todo simplemente desaparece. Entonces se trata de morderlos, y resulta que se arrepienten de esta decisión, ya que ahora es demasiado tarde. Tenían una responsabilidad y no pudieron reunir el valor para admitir que cometieron un error ante las mismas personas a las que fue víctima el ataque.

Soluciones

En la mayor parte del mundo desarrollado, existen leyes de ciberseguridad dentro de los códigos de comercio que no permiten que pase demasiado tiempo entre el descubrimiento de una infracción y su anuncio. Los encubrimientos como el de Uber en noviembre de 2017 conllevan fuertes sanciones por parte de la Comisión Federal de Comercio de los Estados Unidos (FTC), por nombrar un ejemplo.

Incluso hay un proyecto de ley en trámite en el Congreso de los EE. UU. Que dar penas de prisión a los ejecutivos que ocultan infracciones durante un período de tiempo prolongado e irrazonable.

En este punto, no hay nada que pueda hacer personalmente con respecto a estas violaciones, excepto ser prudente con sus datos personales, pero los gobiernos tienen leyes vigentes que penalizan a estas empresas. Estados Unidos simplemente está dando un paso más al agregar tiempo de cárcel a las posibles sanciones.

Vale la pena repetir una vez más que no debe poner demasiado de sus cosas sensibles en Internet, independientemente de cuán confiable sea la entidad a la que se lo confía, a menos que sea absolutamente necesario hacerlo.

¿Qué piensas? ¿Deberían ir a prisión los ejecutivos por ocultar violaciones de datos que afectan a los clientes de las empresas que representan? ¡Cuéntanos lo que piensas en un comentario!