Una fuga de información personal se confirmó en datos recopilados para verificar si las instituciones financieras protegen adecuadamente la información de sus clientes. El 9 de noviembre, se detectó un ataque informático con fuga de datos en el sistema de evaluación continua de protección de información de la Agencia de Seguridad Financiera. ¿Quién verificó la capacidad defensiva de la institución responsable de supervisar la seguridad del sector financiero? Las autoridades financieras no deben tratar este incidente como un problema aislado de un único sistema.
Los datos filtrados incluyen aproximadamente 300 registros de información personal como nombres y fechas de nacimiento contenidos en formularios administrativos, así como unos 350 registros de usuarios del sistema con nombres y números de teléfono parcialmente ocultados. La Agencia de Seguridad Financiera explicó que no se filtraron planos de sistemas de instituciones financieras ni información sensible de clientes como números de identificación nacional o datos crediticios personales. El alcance del incidente debe delimitarse con precisión. Sin embargo, incluso con información identificable parcialmente enmascarada, los correos electrónicos pueden ser utilizados para suplantación de identidad y estafas de phishing. No debe minimizarse el daño argumentando que no se trata de información de transacciones financieras.
La Agencia de Seguridad Financiera anunció que este año realizaría inspecciones exhaustivas en aproximadamente 3.000 instituciones financieras, enfocándose en permisos de acceso, registros de conexión, cifrado, detección e interrupción de intrusiones. Según reportes de Yonhapnews, hackers aprovecharon vulnerabilidades en la autorización de permisos para acceder a datos usando cuentas falsas con autorización de la Agencia Financiera Supervisora. Si esto es cierto, significa que la agencia no cumplió con los controles básicos que exige a las instituciones financieras. Las investigaciones deben confirmarlo, pero no pueden permitir que las explicaciones sobre ataques sofisticados diluyan la responsabilidad.
Es difícil lograr una seguridad perfecta que bloquee todos los ataques. Sin embargo, no puede tratarse el incidente de una agencia especializada como algo inevitable. En la investigación de causas debe participar personal especializado externo para verificar la ruta de intrusión y el tiempo transcurrido entre el ataque, la detección y el bloqueo. Durante la recuperación, deben realizarse nuevas pruebas para verificar que las vulnerabilidades se hayan eliminado efectivamente. No puede darse por terminada la inspección simplemente porque se haya presentado un plan de mejora.
También debe examinarse el procedimiento de recopilación de formularios con información personal para las evaluaciones. Es necesario confirmar si era realmente necesaria la información personal real, o si se podría haber utilizado información ficticia o datos con identificadores eliminados. La información recopilada y los permisos de acceso deben minimizarse, y los datos cuya necesidad de conservación haya finalizado deben ser eliminados. El proceso de verificación de la protección de información personal no debe crear nuevos riesgos de fuga.
La Comisión de Finanzas y la Agencia Financiera Supervisora iniciaron inspecciones in situ el día 11. Las autoridades también habían anunciado el 5 de noviembre inspecciones exhaustivas de puntos de contacto externos y controles internos en aproximadamente 580 instituciones del sector financiero. Ahora también debe revelarse cuándo y cómo se verificó el nivel de seguridad de la Agencia de Seguridad Financiera. Si ese sistema fue excluido de las inspecciones, debe explicarse la razón de la omisión; si fue inspeccionado pero fue vulnerado, deben explicarse los límites de los criterios de evaluación y los métodos de verificación. No puede considerarse que se ha cumplido la responsabilidad supervisora solo con anuncios de medidas e instrucciones de inspección.
La responsabilidad tampoco debe recaer únicamente en el personal operativo. Debe investigarse si la dirección ejecutiva aseguró el personal e presupuesto necesarios, y si los informes de riesgos fueron recibidos pero las medidas se demoraron. Si se confirman negligencia gerencial u ocultamiento, la máxima autoridad de la agencia y los responsables deben rendir cuentas de manera proporcional. La dirección ejecutiva no puede evadir su responsabilidad de garantizar la inversión y el personal necesarios para la seguridad transfiriéndola al deber de diligencia de las víctimas.
La Agencia de Seguridad Financiera indicó que indemnizará si se producen daños secundarios. Debe notificar individualmente y con rapidez a los afectados sobre los elementos filtrados y los riesgos, proporcionando canales de recepción de reclamaciones y plazos de tramitación. También debe proporcionar la información necesaria para la reparación de daños, incluidas las circunstancias y elementos de la fuga. No puede dejarse a los ciudadanos merodeando entre instituciones financieras y agencias verificando hechos por su cuenta.
La institución que exige seguridad a las instituciones financieras debe cumplir primero con esos estándares. Las autoridades deben designar a los responsables de las medidas correctivas y los plazos de cumplimiento, y verificar los resultados de su implementación. Lo que el público necesita no es más inspecciones, sino fundamento para confiar y entregar información personal con seguridad.
* Este artículo ha sido traducido por IA.