Los bufetes de abogados se han convertido en objetivos prioritarios para los hackers, ya que almacenan gran parte de los datos valiosos de las empresas de la lista Fortune 500. Manuales de fusiones y adquisiciones, cifras de acuerdos, comunicaciones, registros de propiedad intelectual y mucho más de numerosas empresas se encuentran incluso en bufetes de tamaño mediano, lo que los convierte en un blanco fácil para los ciberdelincuentes.
Según la Regla Modelo 1.6(c) de la ABA , proteger esos datos es un deber ético fundamental de los bufetes de abogados, pero la sofisticación de los ciberataques lo ha vuelto más difícil en los últimos años, sin actualizaciones constantes.
Las cifras no son nada alentadoras para los bufetes de abogados. El Informe Tecnológico de Ciberseguridad de la ABA de 2023 reveló que el 29 % de los bufetes encuestados sufrieron una brecha de seguridad y otro 19 % desconocía si habían sido víctimas de alguna. Los atacantes son conscientes de esta brecha en la detección y, por ello, ajustan el precio de sus ataques.
El ataque de NotPetya contra DLA Piper en 2017 dejó fuera de servicio el correo electrónico global de la firma durante cuatro días. Reconstruirlo requirió 15 000 horas extras de personal de TI, sin mencionar el daño a la reputación. Desde entonces, firmas como Kirkland & Ellis, K&L Gates y Proskauer Rose han revelado incidentes similares. Los ataques son ahora bastante frecuentes.
A menudo, la forma más sencilla para que un hacker acceda a un sistema es a través de un error humano. Puede tratarse de una instrucción de transferencia bancaria falsa emitida por un supuesto cliente o de una oportunidad inmobiliaria fraudulenta. Sea cual sea el motivo, su objetivo es recopilar información para infiltrarse en su sistema.
Un ataque de ransomware ocurre cuando los hackers instalan un programa que bloquea tus sistemas y/o datos, impidiéndote acceder a ellos. Luego, te exigen un rescate para recuperarlos. Es una estrategia de ataque muy común y efectiva, y los hackers pueden vender tus datos en la dark web si no pagas.
En relación con los ataques de phishing, otros tipos de errores humanos también pueden provocar filtraciones de datos. Un ejemplo común es que alguien se lleve accidentalmente información confidencial de la oficina a casa o, si trabaja desde casa, la transfiera a un sistema inseguro.
Con el trabajo híbrido y remoto, han surgido nuevos desafíos, como vulnerabilidades en redes Wi‑Fi y en dispositivos personales, que resultan más difíciles de controlar para una empresa.
La Regla Modelo 1.6(c) exige que los abogados realicen esfuerzos razonables para prevenir la divulgación no autorizada de la información del cliente. A partir de la Opinión Formal 477R de la ABA, se exige específicamente que el término “esfuerzo razonable” incluya un programa real de ciberseguridad, no solo una contraseña de Wi-Fi segura. El RGPD, HIPAA y los cuestionarios de seguridad del cliente también se están convirtiendo en prácticas habituales para garantizar el cumplimiento normativo.
Los proveedores de TI especializados en despachos de abogados comprenden su flujo de trabajo y, por lo tanto, pueden proteger mejor sus puntos débiles. Los despachos almacenan y transfieren una gran cantidad de datos confidenciales mediante estructuras de archivos específicas para cada caso, comprobaciones de conflictos y sistemas de gestión documental como iManage o NetDocuments. Un proveedor de servicios gestionados genérico no podrá manejar estos sistemas con la misma eficacia.
Los fundamentos no han cambiado mucho. Pero la necesidad de ellos ha aumentado.
El primer paso es inventariar todos los sistemas informáticos que posee. Esto le permitirá auditar cada uno de ellos e identificar las superficies de ataque y los puntos débiles.
Una vez identificados, puede comparar sus sistemas con las directrices de la ABA para establecer una capa fundamental de protección. Posteriormente, las opiniones de los colegios de abogados estatales y las regulaciones del sector relativas a su clientela probablemente constituirán una buena base para un segundo nivel de protección y de cumplimiento normativo.
Una vez que haya definido cómo debe ser el cumplimiento normativo en su área, puede elegir una estructura de seguridad ya reconocida como plantilla. El Marco de Ciberseguridad del NIST o los Controles CIS son opciones sólidas para los bufetes de abogados.
Incluso una vez que su infraestructura esté configurada, es importante mantener su nivel de seguridad y actualizarla. Las revisiones trimestrales con su socio de TI son una buena práctica.
¿Qué ha ocurrido últimamente? La IA ha sido protagonista en ciberseguridad, gracias a su capacidad para detectar y explotar vulnerabilidades con mayor rapidez que nunca. Además, se está revisando y reforzando la ciberseguridad para alcanzar estándares más exigentes. Las arquitecturas de confianza cero se están convirtiendo en la norma para lograr una seguridad general más sólida y las auditorías de seguridad se realizan con mayor frecuencia.
Busque experiencia en TI específica para el sector legal, incluyendo familiaridad con sistemas de gestión documental (DMS), referencias de otros bufetes y soporte fuera del horario laboral para momentos críticos, como durante un juicio. Verifique si han gestionado un ataque de ransomware en un bufete y cuál fue el resultado.
Los despachos de abogados pequeños y medianos se han convertido cada vez más en blanco de grupos de hackers debido al valor de la información que manejan y a la falta de ciberseguridad. Los clientes preguntan con mayor frecuencia, y con razón, a los despachos de abogados qué tan seguros están sus datos. Es fundamental sentar las bases correctas y colaborar con especialistas que comprendan los flujos de trabajo legales.
Las empresas poseen datos privilegiados y de alto valor y tienen el deber ético, según la Regla Modelo 1.6(c) de la ABA, de protegerlos.
Servicios informáticos especializados para despachos de abogados. El soporte informático jurídico estándar abarca plataformas de gestión documental, flujos de trabajo centrados en casos, cumplimiento normativo y seguridad.
Empiece por la autenticación multifactor (MFA), la protección de los dispositivos, las copias de seguridad seguras, la capacitación del personal y un plan de respuesta a incidentes probado. El siguiente paso importante es contar con soporte técnico especializado.
Compromiso del correo electrónico empresarial, ransomware, errores internos y configuraciones incorrectas en la nube o en el trabajo remoto. El error humano suele ser la causa del problema.
Get A FREE Subscription To Weekly Cybersecurity Tips So Your Company Doesn’t Become The Next Victim.
