Poco más de 1 año después de la entrada en vigor de la nueva regulación sobre protección de datos en Europa, hemos visto como la agencia de protección de datos inglesa, la Oficina del Comisionado de Información de Reino Unido (ICO) ha anunciado su intención de imponer las primeras multas millonarias en Europa: 203 millones de euros a British Airways y 110 millones de euros para Marriott.
En ambos casos, las propuestas de sanciones se impondrían como consecuencia de una brecha de seguridad y en ambos casos la ICO ha valorado, multitud de factores, siendo probablemente el más relevante, la existencia de fallos en las medidas de seguridad.
Si la empresa no tiene implementadas las medidas de seguridad necesarias para proteger los datos personales, las sanciones van a ser muy elevadas. Es cierto que la sofisticación de los ciberataques es cada vez mayor y que no existe ninguna medida de seguridad 100 % infalible, no obstante, lo que los reguladores van a tener en consideración en este tipo de casos es si las empresas se lo han puesto fácil a los atacantes porque no tenían implementadas las medidas adecuadas.

Y ambas multas son prueba de ello. En el caso de British Airways la ICO ha manifestado que la aerolínea no cumplía con los estándares básicos de seguridad que hay que aplicar cuando se trata información de pagos con tarjetas (PCI) y no tenía encriptados los códigos de seguridad (CVV) de las tarjetas de crédito.

Qué tipo de información se ve afectada por la brecha y las consecuencias que pueden derivarse para los usuarios es otro factor a tener en consideración en este tipo de investigaciones. Las consecuencias no son las mismas si los datos afectados son, por ejemplo, direcciones de email, que si además, como es el caso de British Airways, los atacantes tienen acceso a datos financieros como números de tarjetas de crédito que pueden fácilmente ser usados con fines fraudulentos.
El número de afectados también es otro criterio a tener en cuenta, en el caso de British Airways estamos hablando de 500.000 clientes , pero en el caso de Marriott se cree que la brecha afectó a la información de alrededor de 500.000.000 de clientes. La duración de la brecha, esto es, el tiempo durante el cual los hackers han podido acceder a la información hasta que se descubre la brecha es otro criterio a valorar; en el caso de Bristirh Airways fueron dos semanas mientras que en el de Marriott fueron 4 años.
Noticia original