Adaptado para el cumplimiento en materia de precios en comercio electrónico

Apto para la trazabilidad de la cadena de suministro

Permite elaborar informes de infracción al instante

Cree una prueba infalsificable de la fecha y hora del evento

Demuestre el cumplimiento de los precios promocionales

Demuestre a una autoridad de control que los precios promocionales aplicados cumplen la Directiva europea Ómnibus sobre precios promocionales

Garantizar la trazabilidad de la cadena de suministro

Registrar y sellar con fecha y hora la información de los productos, en cada etapa de la cadena de suministro (productor, transformador, distribuidor...)

Demuestre que se ha producido un suceso en una fecha concreta para ganar un caso: daños a una persona o propiedad, accidente, infracción, etc.

Una solución de sellado de tiempo flexible que se adapta a las necesidades de su empresa

Garantizar el cumplimiento de las normas y la preparación de auditorías

El sellado de tiempo es la mejor forma de garantizar el cumplimiento normativo de documentos digitales, como facturas, nóminas, documentos legales, etc...

1 - El cliente se conecta a la plataforma Vaultinum mediante una API. Una vez que recibimos el documento, se crea un hash

2 - Vaultinum añade una fecha y hora al hash y crea un token de sellado de tiempo.

3 - El cliente recibe el hash firmado y la marca de tiempo con el documento para su archivo.

• Automatización mediante la integración de una API

• Entorno Sandbox específico para las pruebas

• Centro de desarrollo para respaldar la integración

• Alto rendimiento y escalabilidad por diseño

• Compatible con el protocolo de sellado de tiempo RFC3161

Sellado de tiempo: fácil de implantar y de usar

¿Quiere saber más sobre nuestra solución de sellado de tiempo?

Sellado de tiempo certificado y seguro utilizado para crear una prueba infalsificable de la fecha y hora del evento. Sellado de tiempo automatizado conectado con una API.

Sellado de tiempo certificado | Vaultinum

Este es el segundo artículo de nuestra serie sobre la tecnología blockchain.  Si aún no lo has hecho, puedes consultarlos aquí.

Ahora sabemos que una de las principales razones de ser de blockchain era crear un sistema descentralizado y fiable para mantener un registro digital de transacciones.  Hoy nos centraremos en desentrañar esta premisa original de blockchain en su aplicación a la protección de la propiedad intelectual (PI).  En otras palabras, ¿elimina blockchain la necesidad de terceros de confianza a la hora de proteger y demostrar la titularidad de la propiedad intelectual?

De hecho, la promesa de blockchain parecía ilimitada con la creación de bitcoin en 2008.  Pronto le siguió el lanzamiento de un millar de criptomonedas diferentes.  Empresas de todos los tamaños, bancos y gobiernos estaban ansiosos por aprovechar la oportunidad que ofrecía esta nueva tecnología.  

Ahora que se ha calmado el ambiente, ¿está la realidad a la altura de las expectativas?

Al principio, eso parecía.  A principios de 2022, Bitcoin y otras criptomonedas alcanzaban un valor conjunto de 3 billones de dólares.[i]  Bolsas de valores como Nasdaq y Australia Securities Exchange (ASX) estudiaban integrar el libro mayor digital para rastrear y compensar operaciones.  Grandes empresas como Maersk, un grupo naviero, y Walmart, multinacional estadounidense del comercio minorista, anunciaron que utilizarían la plataforma para gestionar las cadenas de suministro.

Pero entonces, FTX, una de las principales bolsas de criptomonedas, implosionó.  Wintermute sufrió un hackeo catastrófico.[ii]   Y de la noche a la mañana, toda la plataforma DeFi (finanzas descentralizadas) quedó deslegitimada.  Pero incluso antes de que esto ocurriera, Nasdaq había anunciado que dejaría de utilizar blockchain para la negociación de valores privados.  ASX siguió su ejemplo a finales de 2022, cancelando discretamente su plan de utilizar la tecnología blockchain y amortizando unos 168 millones de dólares en pérdidas.[iii]  Walmart anunció que abandonaría la blockchain en favor de un sistema de trazabilidad más tradicional, y Maersk también declaró que pondría fin a su experimento blockchain .[iv]

¿A qué se debe este cambio tan repentino?

Tim Bray, que anteriormente trabajó para Amazon Web Services, explicó en una entrada de blog por qué Amazon decidió no integrar una blockchain propia: "blockchain es una solución que busca un problema".[v]  En otras palabras, Amazon tenía dudas sobre su utilidad y hasta qué punto el mundo en general quería realmente soluciones de confianza cero.  Y dados los ejemplos anteriores, puede que tuvieran algo de razón.

Blockchain frente a los intermediarios de confianza como modelos de protección de la propiedad intelectual

Aunque blockchain se asocia a menudo con las criptomonedas, su tecnología subyacente puede utilizarse para una variedad de otros fines, incluida la protección de la propiedad intelectual.  Sin embargo, hay razones de peso por las que sustituir a los intermediarios de confianza, como un notario o un servicio de custodia, por la tecnología blockchain no siempre es una buena opción, especialmente cuando se trata de proteger la propiedad intelectual de algo importante.

Recordemos primero las diferencias entre ambas: Blockchain es una tecnología de libro de contabilidad descentralizada y distribuida que registra y verifica los cambios en un historial digital compartido de forma segura y a prueba de manipulaciones. Un tercero de confianza, por su parte, es una entidad que presta un servicio para verificar y asegurar la información. En el contexto de la propiedad intelectual, un tercero de confianza actúa como repositorio central para asegurar y verificar la propiedad y autenticidad de activos digitales como el código fuente de software, música, vídeos, bases de datos u otras formas de trabajo creativo.

Dado que la propiedad intelectual digital es cada vez más importante para las operaciones empresariales y valiosa para el crecimiento y la innovación, es necesario comprender las implicaciones de asegurar la propiedad intelectual en blockchain frente a con un tercero de confianza.

1.      Probar la titularidad de los derechos

La cadena de bloques proporciona un registro seguro e inalterable, pero ¿puede verificar la identidad de la persona o empresa que realiza el registro?  En otras palabras, hoy en día cualquiera puede realizar una transacción de forma anónima o hacer hash de un elemento en la cadena de bloques, así que ¿cómo se puede estar seguro de que la persona que realiza el registro es el propietario de los materiales registrados (por ejemplo, datos, documentos, código, etc.)?  Cuando se trata de proteger la propiedad intelectual, demostrar la titularidad es esencial.

La respuesta corta es que la cadena de bloques, por sí misma, no puede probar la identidad de una persona que realiza un registro.  Para verificar la identidad de alguien utilizando la cadena de bloques, habría que aplicar tecnologías adicionales o recurrir a un proveedor externo.  Además, en el primer caso, la cadena de bloques dependería únicamente de la fiabilidad de estas tecnologías de verificación subyacentes.

En cambio, los intermediarios de confianza pueden verificar la identidad del propietario/titular de los derechos, así como la integridad de los activos digitales subyacentes.  Un tercero de confianza puede confirmar la identidad de sus clientes y, para mayor seguridad, se puede exigir a cada cliente que certifique legalmente que es el legítimo propietario de los activos confiados al tercero..  Además, al utilizar el mismo algoritmo criptográfico que la cadena de bloques (SHA 256 o SHA512), un intermediario de confianza puede garantizar transacciones seguras y a prueba de falsificaciones del mismo modo que la cadena de bloques.

Los sistemas jurídicos tradicionales reconocen y aplican los contratos y acuerdos celebrados con terceros de confianza, mientras que la aplicabilidad de los registros de blockchain sigue siendo objeto de debate jurídico.  En términos sencillos, se reduce al hecho de que la mayoría de las normas de prueba en varios sectores del derecho (administrativo, penal, civil, etc.) aún no abordan el tratamiento de los registros generados en un ordenador sin intervención humana.

En Europa, la legislación a este respecto ha tardado en entrar en vigor.  Pero hay casos atípicos, como Italia y Suiza, que han establecido una base jurídica para la tecnología blockchain en determinadas situaciones (por ejemplo, los contratos inteligentes en Italia (Decreto Ley n.º 135/2018 (art. 8-ter)) y los valores basados en ledgers en Suiza (DLT Act 2021)).  En el contexto de la PI, sin embargo, muchas jurisdicciones todavía requieren que ciertas categorías de propiedad intelectual se registren en una agencia gubernamental u otro tercero de confianza.

Las tecnologías de cadena de bloques plantean nuevos retos jurídicos, que sólo los legisladores pueden abordar adecuadamente.Hasta entonces, es mucho mejor pecar de precavido y recurrir a un proveedor externo cuya base jurídica esté validada desde hace tiempo.

Blockchain es una tecnología, pero no un servicio, y no pretende serlo.  Esto significa que si un usuario pierde su hash (es decir, la cadena de caracteres que representa la transacción), el acceso a su monedero (es decir, la frase semilla, la contraseña), muere o queda incapacitado por cualquier otro motivo, la prueba desaparece.  No hay línea de ayuda al cliente ni contacto por correo electrónico.  No se puede restablecer la contraseña ni duplicar el hash.  Las noticias están llenas de historias de personas que pierden su contraseña o extravían su frase semilla y pierden millones. Utilizar blockchain  significa que el usuario es el único responsable; no hay copia de seguridad.

Poner en marcha una solución de copia de seguridad o red de seguridad requeriría una herramienta o servicio adicional.  En este caso, el usuario necesitaría un servicio de almacenamiento.  Éste podría ser prestado por el propio usuario o por un tercero de confianza. Si el usuario confía en sus propios medios de almacenamiento, debe asegurarse de que sean infalibles.

En cambio, los terceros de confianza, como los proveedores de software escrow, están en el negocio de proporcionar servicio y experiencia.Garantizan sus servicios estableciendo planes de continuidad de negocio, disponiendo de servidores de copia de seguridad para sus servidores de copia de seguridad y, si un usuario pierde su contraseña, el tercero de confianza tendrá un plan de contingencia.En el ejemplo de una custodia de software, un tercero de confianza se basaría en otras pruebas legales de propiedad, como un documento de identidad, el registro de la empresa y otros medios para garantizar que el acceso a los materiales custodiados se da únicamente al único propietario. También tienen conocimientos especializados y experiencia en propiedad intelectual, pueden responder a consultas, ayudar a resolver problemas y asesorar durante todo el proceso.

Llegados a este punto, es posible que se pregunte: "bueno, ¿por qué no utilizar simplemente un tercero de confianza que proporcione acceso a la blockchain como modelo para proteger la propiedad intelectual?".  Esta pregunta plantea dos cuestiones importantes para la protección de la PI: la fiabilidad y la continuidad.

En cuanto a la primera, aunque los datos de la cadena de bloques son seguros y no pueden alterarse, en última instancia la seguridad de los datos sigue dependiendo de la fiabilidad de la plataforma o la empresa que ofrece el servicio. Cualquiera puede ser un proveedor externo, pero sólo se puede confiar en aquellos con un historial probado.  Si el tercero es descuidado o tiene una ciberseguridad débil, podría verse comprometido o pirateado.  Esto significa que la propiedad intelectual podría ser robada o utilizada indebidamente, y cualquier acuerdo de confidencialidad que haya establecido será difícil de aplicar en caso de ciberataque u otras formas de pérdida de datos.

En cuanto a la segunda, las pequeñas plataformas y start-ups que ofrecen modelos de propiedad intelectual de blockchain son, por definición, empresas en las primeras fases de funcionamiento.  En Europa, la mitad de las start-ups fracasan en los tres primeros años, cifra que se dispara hasta el 63% en el sector de las TI.[i] En el contexto de la PI, a menudo tratamos con contratos a largo plazo para asegurar el software como medio para garantizar la continuidad del negocio (es decir, tener un plan de respaldo).  Por lo tanto, uno querría estar seguro de que el proveedor al que confía su propiedad intelectual seguirá en activo dentro de tres, cinco o diez años.

Esto se aplica igualmente a la propia cadena de bloques.  El crecimiento y la evolución de la tecnología blockchain aún están en curso, y pasarán años antes de que podamos decir con certeza que está "probada".   Por lo tanto, la verdadera pregunta es si quiere hacer de conejillo de indias... con sus activos más valiosos.  O dicho de otro modo, ¿protegería sus servidores de copia de seguridad con una startup?

En resumen, no todos los proveedores externos son iguales. Es importante elegir un tercero de confianza que goce de una sólida reputación en materia de seguridad, fiabilidad y honradez.  Los proveedores como Vaultinum, que llevan 40 años en el negocio de la protección de la propiedad intelectual, han demostrado su eficacia y ciberseguridad, y garantizan además la confidencialidad aplicando un cifrado asíncrono automatizado (AES 256) para garantizar que la propiedad intelectual importante mantenga su confidencialidad y, por tanto, su valor.

La tecnología blockchain puede resultar difícil de entender para los usuarios no técnicos. Se requiere un cierto nivel de conocimientos técnicos para configurar y gestionar una red blockchain.  Además, el uso de una red blockchain para registrar y rastrear las modificaciones del código fuente con fines de propiedad intelectual puede volverse rápidamente muy complejo, especialmente cuando se aplica a grandes proyectos con muchos usuarios o actualizaciones frecuentes.

Para explicarlo, repasemos primero cómo funciona blockchain.  Blockchain aplica una función hash para asignar datos (por ejemplo, transacciones, bloques, etc.) a una cadena de caracteres de tamaño fijo, conocida como "hash". Cada bloque de una cadena de bloques contiene un hash del bloque anterior, formando una cadena de bloques (de ahí "cadena de bloques"). La función hash garantiza que cualquier cambio en los datos dará como resultado un hash completamente diferente, lo que hace que la cadena de bloques sea inmutable. El hash actúa como un identificador único para cada bloque, garantizando la integridad de los datos dentro de la cadena de bloques.

Así pues, en la práctica, un equipo de desarrolladores que modifica con frecuencia un código fuente debe asegurarse de que se registra siempre el mismo código, ya que el más mínimo cambio dará lugar a una cadena diferente, con lo que se perderá todo registro de prueba. La complejidad reside también en el hecho de que el "hash" no tiene en cuenta el versionado del código fuente, las bases de datos o las fórmulas de secreto comercial.  Cada "hash" es único. Por lo tanto, para probar el progreso de un código fuente a través de diferentes versiones, alguien debe asegurarse de registrar regularmente el hash con una herramienta específica.  Una vez más, se requiere una herramienta o servicio complementario para lograr el resultado que se necesita (estamos empezando a ver un asunto aquí...).

Por el contrario, utilizar un tercero de confianza para proteger la propiedad intelectual del código fuente es sencillo y no requiere el mismo nivel de conocimientos técnicos que una solución de blockchain.  Además, un tercero de confianza gestionará el versionado, los enlaces entre versiones a través de un cuadro de mandos accesible a su propietario, que no necesita grandes conocimientos técnicos para utilizarlo.

6.      Consumo de energía. ¿Cumple la ESG?

Por último, hay quien teme que los costes medioambientales del uso de blockchain sean demasiado elevados. Una de las principales fuentes de esta preocupación es el consumo de energía asociado al proceso de minería utilizado para validar los "bloques" en algunas redes blockchain.

La minería, en este contexto, se refiere al proceso de verificar bloques y añadirlos a la cadena de bloques. Este proceso requiere potentes ordenadores para resolver complejos problemas matemáticos que validen efectivamente el bloque.  Resolver estos problemas requiere mucha potencia de cálculo, lo que a su vez requiere mucha energía para alimentar los ordenadores. Cuanta más potencia de cálculo se añade a la red, más difícil resulta resolver los problemas y más energía se consume, y el círculo vicioso continúa.

Además, el consumo energético de la minería se ve agravado por el hecho de que se trata de un proceso competitivo. Los mineros compiten por ser los primeros en resolver el problema matemático y añadir el siguiente bloque a la cadena de bloques. Esta competencia aumenta la demanda de potencia de cálculo, lo que a su vez incrementa el consumo de energía.  De hecho, se calcula que el consumo de energía asociado a la minería de Bitcoin es tan elevado como el de pequeños países.

En otras palabras, numerosos mineros compiten para verificar 1 solo bloque, utilizando ordenadores cada vez más potentes para poder ser los primeros.El resultado final es una simple transacción que podría haberse realizado utilizando entre 500 y 2.000 veces menos energía. En general, es importante tener en cuenta el impacto medioambiental de cualquier tecnología y esforzarse por minimizarlo en la medida de lo posible.

En conclusión, la tecnología blockchain no es una solución adecuada para proteger la propiedad intelectual.  De hecho, parece que ya existe una solución, en forma de un tercero de confianza.

Blockchain es una tecnología que puede ser muy adecuada para determinados tipos de transacciones, principalmente aquellas en las que la confidencialidad y los derechos de propiedad son menos preocupantes. Sin embargo, su aplicación al ámbito de la protección de la propiedad intelectual es incompleta.  Un intermediario de confianza puede proporcionar un registro seguro e inmutable (al igual que la cadena de bloques) y también puede: demostrar los derechos de propiedad ante un tribunal, garantizar la confidencialidad, aportar conocimientos especializados y prestar un servicio sencillo, directo y probado.

Por último, es importante elegir un tercero de confianza que tenga una sólida reputación en materia de seguridad, fiabilidad y honradez, ya que la fiabilidad y credibilidad del tercero es crucial para la seguridad y protección de los activos digitales. Vaultinum lleva 40 años en el negocio de la seguridad y la protección de la propiedad intelectual, cuenta con la certificación ISO 27001 y está preparada para eIDAS: se ha ganado el título de "tercero de confianza".

¿Cuál es la solidez de su estrategia de propiedad intelectual?

Más información sobre auditorías de PI con Vaultinum.

[i] https://www.coingecko.com/en/global-charts#:~:text=The%20global%20cryptocurrency%20market%20cap,a%20Bitcoin%20dominance%20of%2036.79%25.

[ii] https://techcrunch.com/2022/09/20/crypto-market-maker-wintermute-loses-160-million-in-defi-hack/?guce_referrer=aHR0cHM6Ly93d3cuZ29vZ2xlLmNvbS8&guce_referrer_sig=AQAAAK7BYwN8NJGNeK2E4kjmmtSHs70Awjkj-v7vBtLTDS2GyuKQ5j20Fcm3do-K0RwkNnVW0fCyV7PU9qqQMUl_setBvB3v016CpAL6xwg-inNqhupcaOc5xiHxGwZxuLpNqqD132GTg5c_6sDXjMe8EN7Bhsi-4hfQPJIzy3yoe220&_guc_consent_skip=1675699186

[iii] https://www.forbes.com/sites/michaeldelcastillo/2022/11/16/seminal-blockchain-project--goes-down-the-drain-chairman-apologizes/?sh=1335c8fa17d3

[iv] https://www.coindesk.com/business/2022/11/30/ibm-and-maersk-abandon-ship-on-tradelens-logistics-blockchain/

[v] https://www.tbray.org/ongoing/When/202x/2022/11/19/AWS-Blockchain

[vi] https://moneyzine.com/startup-resources/what-percentage-of-startups-fail/

Kristin es abogada colegiada estadounidense, especializada en las áreas de propiedad intelectual y derecho tecnológico. Es miembro de las Comisiones de Estrategia y Jurídico de Vaultinum, encargadas de supervisar y aplicar las políticas y procesos relacionados con la protección de los activos digitales.

Kristin Avon

Por qué Blockchain no puede sustituir al tercero de confianza, especialmente para proteger tu propiedad intelectual

Blockchain, propiedad intelectual y tercero de confianza

Protección de la propiedad intelectual: 6 razones por las que blockchain no sustituye al tercero de confianza

Una custodia SaaS es un acuerdo contractual celebrado entre un proveedor de software, su cliente y un tercero independiente, conocido como agente de custodia. El objetivo principal de un escrow SaaS es proteger el acceso del cliente al software y sus datos asociados en caso de que el proveedor no pueda cumplir sus obligaciones debido a circunstancias imprevistas, como quiebra, insolvencia o incumplimiento de contrato.

Un escrow SaaS bien estructurada debe incluir los siguientes componentes clave:

La elección de un agente de custodia acreditado y con experiencia es fundamental para el éxito de cualquier acuerdo de escrow de SaaS. El agente debe tener conocimientos en el campo de escrow de software y un historial probado de gestión de acuerdos de escrow SaaS. Además, debe contar con medidas de seguridad sólidas para proteger los datos almacenados y el código fuente. Por ejemplo, debe emplear algoritmos de cifrado potentes tanto para los datos en reposo como para los datos en tránsito para garantizar la confidencialidad y la integridad del material depositado. Además, deben contar con la certificación ISO 27001 y adherirse a otras normas y regulaciones pertinentes del sector, como el RGPD.

El proveedor del software debe entregar al agente de escrow los materiales necesarios para su depósito. Estos materiales suelen incluir el código fuente, cualquier documentación asociada y cualquier otro recurso esencial necesario para el funcionamiento del software. Los materiales deben actualizarse periódicamente para garantizar que el cliente tenga acceso a la versión más reciente del software en caso de cesión.

Si bien las custodias de software tradicionales y las custodias SaaS comparten muchas similitudes, existen diferencias clave en los materiales depositados. En un escrow de software tradicional, el código fuente y la documentación relacionada suelen ser los principales materiales entregados al agente de escrow para su depósito. Sin embargo, las escrow SaaS requieren materiales adicionales para garantizar el funcionamiento y el acceso sin problemas en caso de cesión. Estos materiales

pueden incluir credenciales de inicio de sesión, contraseñas, claves API y cualquier otra información esencial necesaria para acceder a la plataforma SaaS.

Además, las escrow SaaS pueden requerir un plan detallado para la migración de datos, ya que los datos se almacenan a menudo de forma remota en los servidores del proveedor. Esto garantiza que el cliente pueda transferir y proteger eficazmente sus datos en caso de cesión. Al abordar estos requisitos únicos, las escrow SaaS proporcionan una protección más completa para las empresas que confían en soluciones de software basadas en la nube.

El acuerdo de custodia de SaaS debe describir claramente las condiciones específicas en las que el agente deescrow está autorizado a entregar los materiales depositados al cliente. Las condiciones de cesión ambiguas o mal definidas pueden dar lugar a disputas, retrasos y problemas legales, que pueden ser perjudiciales para ambas partes. Unas condiciones de cesión claras también protegen al proveedor de software al garantizar que su propiedad intelectual no se cede al cliente a menos que se cumplan las condiciones especificadas. De este modo se evita el acceso no autorizado al código fuente y a otros materiales propios. Las condiciones de cesión pueden incluir la quiebra o insolvencia del proveedor, o su incapacidad para proporcionar asistencia y mantenimiento continuos.

Los servicios de verificación desempeñan un papel crucial a la hora de garantizar que los materiales depositados son completos, precisos y utilizables. El agente de custodia debe proporcionar estos servicios para asegurar que el cliente podrá de desplegar y utilizar de manera satisfactoria el software en caso de cesión.

Dado que las soluciones SaaS suelen manejar datos empresariales sensibles, el acuerdo de custodia SaaS debe abordar la protección y seguridad de los datos. El agente de custodia debe contar con medidas estrictas para salvaguardar los materiales depositados y cualquier dato asociado, como el cifrado y las instalaciones de almacenamiento seguras.

En conclusión, un acuerdo de custodia SaaS bien estructurado es esencial para que las empresas que confían en soluciones SaaS garanticen la continuidad y la seguridad de su software y sus datos. Al abordar los requisitos clave descritos en este artículo, las empresas salvaguardarán sus inversiones y mitigarán los riesgos potenciales asociados con sus proveedores de software.

Gracias a la experiencia de Vaultinum y su compromiso con la seguridad, puede estar seguro de que su acuerdo de custodia SaaS está en buenas manos. Al elegir a Vaultinum como su socio de custodia de confianza, no solo se beneficia de sus avanzadas medidas de seguridad, sino que también obtiene acceso a su amplia experiencia en la industria de custodia SaaS. El compromiso de Vaultinum a la hora de proporcionar soluciones de vanguardia, como la auditoría de due diligence tecnológica con herramientas de escaneo de código, lo convierte en un socio ideal para proteger su software y sus datos, garantizando la continuidad de su negocio y su tranquilidad.

Las opiniones, presentaciones, cifras y estimaciones expuestas en el sitio web, incluido este blog, tienen únicamente fines informativos y no deben interpretarse como asesoramiento jurídico.  Para obtener asesoramiento jurídico debe ponerse en contacto con un profesional del derecho de su jurisdicción.

El uso de cualquier contenido de este sitio web, incluido este blog, para cualquier fin comercial, incluida la reventa, está prohibido, a menos que se obtenga primero el permiso de Vaultinum.  La solicitud de permiso debe indicar el propósito y el alcance de la reproducción.  Para fines no comerciales, todo el material de esta publicación puede ser citado o reproducido libremente, pero se requiere un reconocimiento, junto con un enlace a este sitio web.

Philippe es el Director General de Vaultinum. Experto en nuevas tecnologías y altas finanzas, y tras 20 años en la industria fintech internacional, Philippe dirige ahora Vaultinum.

Philippe Thomas

A medida que más empresas recurren a soluciones de software como servicio (SaaS) para sus necesidades operativas, la importancia de proteger estas aplicaciones y sus datos se ha vuelto primordial. Una forma de garantizar la continuidad y fiabilidad de una solución SaaS es un escrow SaaS. En este artículo, exploraremos los requisitos clave de una custodia SaaS y cómo puede beneficiar a su empresa.

Comprenda los requisitos de un acuerdo de custodia de SaaS y lo que debe incluirse en el escrow, para proteger sus datos críticos y garantizar la continuidad de su negocio.

¿Cuáles son los requisitos clave de un escrow de SaaS?

Según el Instituto de Fusiones, Adquisiciones y Alianzas (IMAA), los acuerdos de M&A de alta tecnología ocupan el segundo lugar en el total de transacciones M&A desde 1985, con contratos totales valorados en casi 5 billones de dólares.  El aumento continuo de la inversión y adquisición de alta tecnología ha puesto en relieve los riesgos inherentes de los presentes contratos, así como la necesidad de ampliar los procesos de diligencia debida para que incluyan auditorías de software completas y automatizadas.  

En este artículo analizamos los 3 mayores riesgos a los que se enfrentan los inversores y adquirentes potenciales y que deben conocer antes de firmar los contratos, así como lo que pueden hacer para reducirlos.  

Source: Thomson Financial, Institute for Mergers, Acquisitions and Alliances (IMAA) analysis.

Las transacciones M&A son un terreno fértil para los ciberdelincuentes, ya que les ofrecen oportunidades tanto a corto como a largo plazo.  

A corto plazo, durante la transición de las operaciones comerciales, los datos son más vulnerables y corren un mayor riesgo de que los ataquen. Más de uno de cada tres ejecutivos encuestados por IBM informaron haber sufrido filtraciones de datos que podrían atribuirse a las actividades M&A durante su integración.  

A largo plazo, las transacciones M&A brindan una excelente oportunidad de infiltrarse en las redes de la empresa sometida a fusión o adquisición, frecuentemente mediante el uso de Amenazas Persistentes Avanzadas o APTs, en un esfuerzo por tener acceso al entorno y a la información de la empresa objetivo durante un prolongado periodo de tiempo.  

Sorprendentemente, más del 50 por ciento de las empresas encuestadas por IBM esperaron hasta que se completara la diligencia debida antes de realizar algún tipo de evaluación tecnológica de las M&A.  Las amenazas cibernéticas a las que se enfrentan este tipo de acuerdos destacan la importancia de realizar la correspondiente diligencia debida del software en la fase previa a la adquisición para poder encontrar vulnerabilidades ocultas.  

Aunque una empresa tenga seguridad cibernética de última generación, si se hace con otra empresa cuya seguridad sea débil o tenga vulnerabilidad, podría ser responsable de cualquier daño provocado durante incidentes ocurridos antes de la fusión, como se vio en la violación de datos del grupo hotelero Marriott. 

Aunque la brecha de datos se descubrió en 2018, se llegó hasta una intrusión cibernética ocurrida en 2014 en Starwood, un grupo hotelero adquirido en 2016.  Si Marriott hubiera realizado una diligencia debida del software durante la etapa previa a la adquisición, esta vulnerabilidad se podría haber descubierto y / o se podrían haber tomado medidas junto con una evaluación revisada. Además, adquirir una empresa que pueda tener vulnerabilidad puede suponer meter en casa al caballo de Troya.  

Tanto en Europa como en EE UU y en el resto del mundo, la normativa referente a la privacidad de los datos y la divulgación obligatoria de la brecha varía de manera considerable, lo que convierte a la diligencia debida en un aspecto esencial para las empresas, sobre todo para las multinacionales. El grupo hotelero Marriot tuvo que enfrentarse a numerosas demandas y acciones normativas en múltiples jurisdicciones, además de a una multa de más de  130 millones de dólares solo en Reino Unido a causa de dicho problema.  

La implementación de la RGPD en Europa ha provocado un aumento de notificaciones de quejas. Según la empresa legal Pinsent Manson, entre marzo de 2019 y mayo de 2020, las autoridades competentes en materia de protección de datos a nivel europeo impusieron un total de 190 multas relativas a la RGPD, con un valor de casi 500 millones de dólares.  Otras multas destacables incluyen la impuesta a Google en Francia, por un importe de 57 millones de dólares, o la de 41 millones que tuvo que abonar H&M en Alemania. 

En EE UU, las demandas por la brecha de datos van en aumento, con los bufetes de abogados y las empresas financieras buscando activamente cómo iniciar acciones legales, animadas por las recientes decisiones legales, como la sentencia por la brecha de datos de Capital One, en la que se utilizó un informe forense cibernético realizado tras una violación de datos para declarar la responsabilidad de la empresa. Dada la utilidad de estos informes y su necesidad para que una empresa comprenda lo que se hizo mal, esta sentencia significa que otros, como clientes o usuarios, pueden acceder a dicho informe para buscar la responsabilidad de las empresas en caso de brecha de datos.  

La importancia de los derechos de PI en la evaluación general de las empresas cada vez tiene más reconocimiento a nivel mundial. En 1975, los activos intangibles de PI representan solo alrededor del 17% del valor de mercado de las empresas del S&P 500, pero en 2015 crecieron hasta alcanzar el 87% y, en un análisis sobre 2019, las industrias que utilizan este tipo de derechos de manera intensiva generan alrededor del 45% del PIB de la UE (unos 6,6 mil billones de euros).

Si va a adquirir o invertir en una empresa que comercializa con software, es esencial comprobar si en realidad es la propietaria del mismo. El software se está creando a un gran ritmo, pero raramente es 100% original. Cada vez es más común que el software comercial esté formado por fragmentos de código de otros programas.  

Si bien el uso de código de terceros, independientemente de que se trate de código comercial o abierto, ahorra tiempo y reduce los costes, también puede crear problemas potenciales que pueden restringir la libertad de comercializar el producto final. Estas limitaciones pueden impedir que una empresa de software disfrute de todos los beneficios de sus propias creaciones. Además, el uso indebido o la dependencia excesiva del software de terceros puede ralentizar el crecimiento de una empresa o, incluso, llegar a amenazar su supervivencia.   

Del mismo modo, incluso aunque la empresa objetivo no comercialice software, si se utiliza un software que contenga o integre software de terceros, podrían surgir problemas de adaptabilidad y mantenimiento. Dicho software se ofrece como programas descargables para máquinas o servicios o como un servicio alojado. Por lo general, las licencias se ceden a las empresas, en vez de venderlas. En otras palabras: las empresas confían en un software que alquilan, pero no poseen.  

Esto tiene varias implicaciones que pueden contrarrestar las ventajas de utilizar el software en primer lugar.  

1)  Esto significa que se aplican restricciones de uso y distribución del software.  

2) Crea dependencias entre la empresa y su proveedor de software, además de plantear la pregunta sobre qué ocurriría si el proveedor quebrara o cancelara el uso de su software.   

3)  Crea riesgos de seguridad. De hecho, al no tener acceso al código fuente o no tener la capacidad de escanearlo en busca de errores o problemas crea un riesgo inherente respecto a las operaciones en las que la empresa lo utiliza.  

4. La importancia de la Diligencia Debida Tecnológica

La tecnología o el software de una empresa, como los registros financieros o los contratos legales, están formados por una serie de componentes que, vistos individualmente o en conjunto, dan testimonio de su solidez frente a una multitud de riesgos.  

A medida que aumenta el número de empresas que confían en el software, ya sea para ejecutar sus operaciones o como producto final, no es suficiente con que un inversor potencial analice las consideraciones legales, financieras y estratégicas. La diligencia debida tecnológica es una manera sistemática de evaluar y reducir el riesgo tecnológico desde una perspectiva comercial o de inversión.  

En un informa integral de diligencia debida tecnológica se debe proporcionar la información sobre los puntos fuertes de una empresa, así como recomendaciones prácticas para mejorar y orientación para abordar los riesgos más comunes.  

NUESTRAS SOLUCIONES DE DILIGENCIA DEBIDA TECNOLÓGICA

Tanto si la idea es prepararse para vender una empresa como si es para conseguir inversores, captar nuevos clientes o mejorar la estructura operativa, el objetivo del conjunto de las soluciones KYS es ofrecer a empresas e inversores las herramientas para obtener el conocimiento esencial de la tecnología de una empresa, reducir los riesgos y potenciar el crecimiento.  

La solución KYS de Vaultinum ofrece un enfoque múltiple para hacer auditoría de software. A un nivel, las encuestas de autoevaluación online de KYS evalúan la gestión, el funcionamiento y el uso del software, además de revelar los problemas potenciales relacionados con la propiedad intelectual, la ciberseguridad, la adaptabilidad y el mantenimiento. En el siguiente nivel, la auditoría completa de KYS escanea el código fuente en busca de amenazas y vulnerabilidad comunes.  

De manera global, KYS ofrece una visión completa del software y de los procesos de gestión de la tecnología de la organización.  

[1] Institute for Mergers, Acquisitions and Alliances (IMAA)

[2] Benchmark Insights (2020) Assessing cyber risk in M&A. IBM Corporation.

[4] Brewster, T. “Revealed: Marriott's 500 Million Hack Came After A String Of Security Breaches”. Forbes, 3 Dec. 2018, 

[5] Dobie, G., Whitehead, J. (2020). Managing the impact of increasing interconnectivity: Trends in Cyber Risk. Allianz Global Corporate & Specialty.

[6] Dobie, G., Whitehead, J. (2020). Managing the impact of increasing interconnectivity: Trends in Cyber Risk. Allianz Global Corporate & Specialty.

[8] International Chamber of Commerce (ICC). “The ICC Intellectual Property Roadmap”, 14th edition, 2020.

El continuo aumento de las inversiones y adquisiciones de empresas de alta tecnología ha puesto de relieve los riesgos inherentes a estas operaciones y la necesidad de ampliar los procesos de diligencia debida para incluir auditorías de software completas y automatizadas.  

En este artículo se examinan los tres mayores riesgos que los posibles inversores y adquirentes deben tener en cuenta a la hora de realizar estas operaciones y lo que pueden hacer para mitigarlos.

Descubra los tres mayores riesgos para los inversores y adquirentes en las operaciones de fusiones y adquisiciones de alta tecnología y lo que puede hacer para evitarlos

3 riesgos tecnológicos relacionados con las adquisiciónes

Los 3 riesgos principales a tener en cuenta en los acuerdos M&A de alta tecnología

¿A quién pertenece el código fuente? ¿Y la propiedad intelectual?

Detrás de cada programa informático, de cada aplicación móvil, de cada sitio web, hay un código fuente que permite su funcionamiento. Al igual que con cualquier obra intelectual, como un invento, su propiedad intelectual pertenece a su creador. Es lo que se conoce como derechos de autor. Desde una perspectiva simplificada, hay dos tipos de creadores. El creador puede ser un individuo, como un desarrollador, o una entidad jurídica (empresa comercial, organización, comunidad...).

Además del código fuente, también están protegidos la arquitectura del software, la documentación que lo acompaña y su interfaz.

Además, para ser reconocidos como una creación intelectual, debe demostrarse el carácter original de los programas informáticos y de su código fuente. En otras palabras, debe ser posible probar que el programa informático es el resultado de una aportación intelectual propia, de un esfuerzo realizado por el desarrollador o la empresa propietaria y expresa una opción creativa propia.

Mientras que un desarrollador autónomo posee automáticamente los derechos de su software, un empleado de una empresa cede automáticamente los derechos de autor a la organización que le emplea. La titularidad de la propiedad intelectual del código fuente por parte del empleado sólo es posible tras un acuerdo específico entre él y su empleador. Hay que señalar que existen algunos casos especiales de identificación del autor de una obra que no se tratarán en este artículo.

Más información sobre nuestra auditoría PI

¿Cómo proteger un código fuente de la falsificación?

Desde el momento en que crean un programa informático, un desarrollador o una empresa posee automáticamente los derechos sobre el mismo. Sin embargo, para evitar la falsificación y el uso indebido del código fuente por parte de terceros, es recomendable adoptar medidas específicas que refuercen la protección del código fuente.

Sea cual sea la forma del programa, realizar un depósito de software le permite aportar una prueba irrefutable de la fecha de creación y, por tanto, reclamar su autoría en caso de litigio. Puede realizar este depósito ante un tercero especializado de confianza incluso antes de ofrecer la aplicación al público en general. Es incluso muy recomendable realizar este depósito desde las primeras fases de desarrollo y no olvidarse de realizar actualizaciones periódicas.

De hecho, tras su primer depósito, es aconsejable actualizarlo con cada parche de seguridad o evolución. El tercero de confianza en el que se haya depositado el código fuente emitirá un certificado con sello de tiempo que servirá como prueba en caso de que se cuestione la autoría de su software.

Además del código fuente, las interfaces gráficas de un sitio web, los procesos, los métodos y la documentación técnica, las bases de datos, los sistemas operativos, las imágenes en 3D, los planos y dibujos de videojuegos, etc., también están protegidos por derechos de autor si cumplen la condición de originalidad.

Tómese el tiempo necesario para redactar la licencia de uso del program

Por regla general, los programas informáticos, las aplicaciones para móviles y las aplicaciones web no se venden al cliente. En su lugar, se concede a este último una licencia de uso del software, que le permite beneficiarse de los servicios relacionados con el programa informático. En otras palabras, se informa al cliente de sus derechos y sus límites, especialmente en lo que respecta a la copia y el acceso a los códigos fuente.

Por razones de interoperabilidad, a veces algunos programas informáticos se ven obligados a revelar parcial o totalmente su código fuente a sus clientes. Esto no significa que pierdan sus derechos de propiedad intelectual. Al contrario, un acuerdo de licencia no implica en modo alguno una transferencia de propiedad intelectual y la empresa que publica el software conserva la plena titularidad de sus derechos de autor.

Si el cliente hace un uso indebido del código fuente, aunque sea parcialmente, fuera de los límites impuestos por los avisos legales y el contrato de licencia, se expone a acciones judiciales. En caso de duda sobre los límites de los derechos y usos relacionados con la protección del código fuente de su software, le aconsejamos que se ponga en contacto con un asesor en derecho de propiedad intelectual que podrá orientarle.

Comprobación de la seguridad del software

Ya sea un software para PC/Mac/Linux, una aplicación para móviles iOS/Android, una tienda online o un SaaS (Software as a Service), el código fuente puede suponer una brecha de seguridad y convertirse en la puerta de entrada de los piratas informáticos a sus sistemas.

Para garantizar la ciberseguridad de su programa y proteger a sus clientes, realice tantas pruebas de seguridad como sea posible y siga las recomendaciones de su organismo nacional competente en materia de ciberseguridad para aplicar buenas prácticas de seguridad informática. Si no sabe por dónde empezar, contrate una auditoría de ciberseguridad de una empresa independiente.

Siempre que se detecte una vulnerabilidad, aplíquele un parche de seguridad lo antes posible. Aunque su creación de software se base en parte en software de terceros, especialmente de código abierto, usted es responsable de la totalidad de su producción y de su nivel de seguridad.

Hay que tener en cuenta que el enfoque de ciberseguridad debe ser cíclico: incluso después de que se hayan hecho y publicado los parches, las pruebas deben continuar regularmente para evitar que los piratas informáticos acaben encontrando el fallo en su aplicación y lo utilicen para robar los datos de sus clientes o bloquear sus sistemas.

En resumen: respuestas a sus preguntas sobre la propiedad intelectual del código fuente

Desde la firma del Convenio de Berna en 1979, las sucesivas decisiones del Tribunal de Apelación y del Tribunal de Casación franceses han permitido determinar que los programas informáticos pertenecen a su creador si este los ha desarrollado individualmente. En una empresa, si los empleados desarrollan un programa en el marco de su función y con los medios de la empresa, la propiedad intelectual del programa pertenece íntegramente a la empresa. Si, por el contrario, un empleado crea una aplicación fuera del horario de trabajo y por sus propios medios, la obra le pertenece sin que el empresario tenga ningún derecho de control, salvo en caso de infracción de su propiedad intelectual. En algunos casos, la atribución del autor a la obra es más compleja (por ejemplo, en el caso de un consultor, o en el caso de coautores) y requerirá la celebración de un contrato de cesión de derechos. En caso de duda, le aconsejamos que se ponga en contacto con su asesor en materia de derecho de propiedad intelectual.

¿Cuál es la definición de código fuente?

La definición de código fuente puede simplificarse como el lenguaje comprensible para el ser humano que se utiliza para crear un programa informático. Esto puede contrastarse con el código objeto, que es el lenguaje comprensible por la máquina. Todos los programas informáticos, aplicaciones móviles, sitios web o incluso SaaS (Software As A Service, en la nube) contienen código fuente.

La primera protección del código fuente es ante todo jurídica. En efecto, como producción original, está protegido automáticamente por el artículo L112-2 del Código de la Propiedad Intelectual. Por lo tanto, cualquier persona que copie, utilice, traduzca o explote su código o software sin su consentimiento podrá ser objeto de medidas procesales. Puede reclamar una indemnización por los perjuicios sufridos. Para demostrar la autoría de su programa informático, deposítelo ante un tercero de confianza acreditado que le pondrá un sello de tiempo certificado. Este depósito puede realizarse ya en la fase de los primeros prototipos y versiones de prueba del software.

El código fuente puede analizarse para detectar errores técnicos y corregirlos. También puede analizarse un código fuente para determinar si ha sido plagiado por un programa o sitio de la competencia. La auditoría de un código fuente también puede servir para determinar su nivel de seguridad y la presencia o ausencia de vulnerabilidades conocidas en el código. Los equipos de desarrollo pueden utilizar herramientas como Review Board o Crucible para analizar su código, pero sólo las herramientas de exploración del código fuente, como las que ofrece Vaultinum, revelarán todas las vulnerabilidades de ciberseguridad y propiedad intelectual del código.

Las opiniones, presentaciones, cifras y estimaciones expuestas en el sitio web, incluido este blog, tienen únicamente fines informativos y no deben interpretarse como asesoramiento jurídico. Para obtener asesoramiento jurídico debe ponerse en contacto con un profesional del derecho de su jurisdicción.

El uso de cualquier contenido de este sitio web, incluido este blog, para cualquier fin comercial, incluida la reventa, está prohibido, a menos que se obtenga primero el permiso de Vaultinum. La solicitud de permiso debe indicar el propósito y el alcance de la reproducción. Para fines no comerciales, todo el material de esta publicación puede ser citado o reproducido libremente, pero se requiere un reconocimiento, junto con un enlace a este sitio web.

Marine es nuestra Directora de Marketing. Es especialista en branding y activación de marcas con experiencia internacional en BtoB y BtoC.

Marine YBORRA

El código fuente de un programa informático está protegido por el Código de la Propiedad Intelectual francés. Como ocurre con cualquier creación, este código fuente puede falsificarse por personas malintencionadas. Pueden adoptarse diversas medidas para protegerlo y preservar así el valor añadido del programa informático o del sitio web.

La protección intelectual del código fuente es una cuestión importante para los desarrolladores de programas informáticos, aplicaciones y sitios web. En varios aspectos, es necesario proteger el programa informático para preservar su valor añadido. Descubra nuestros consejos.

Propiedad intelectual del código fuente: ¿cómo protegerse?

Propiedad intelectual del código fuente. ¿Cómo protegerse?

Una auditoría de ciberseguridad es un reto estratégico importante para toda empresa. En un mundo ultraconectado, el sistema de información está expuesto a multitud de amenazas externas e internas. Sepa cuándo realizar este análisis y cuáles son las mejores prácticas para llevar a cabo cada etapa de la auditoría de seguridad de su sistema informático.

Definición de auditoría de ciberseguridad

Una auditoría de ciberseguridad puede definirse como una inspección minuciosa del sistema de información de una empresa en su totalidad y en detalle. El objetivo es verificar y probar la integridad de las infraestructuras físicas y de software frente a las distintas amenazas.

Este análisis también tiene por objeto verificar la utilización de las distintas herramientas y su mantenimiento. Al final de la auditoría se formulan recomendaciones para subsanar las lagunas detectadas y corregir las actitudes de riesgo de los usuarios.

Una auditoría puede llevarse a cabo internamente si se dispone de los recursos necesarios (departamento de TI y RSSI). De lo contrario, es necesario recurrir a los servicios de una empresa especializada o de un consultor. En la mayoría de los casos, dada la complejidad de la tarea, es aconsejable recurrir a un experto acreditado en seguridad informática.

¿Qué tipo de empresa debe realizar auditoría de ciberseguridad ?

Todas las organizaciones conectadas a Internet están expuestas a ciberataques. Estos ataques pueden adoptar muchas formas, como ataques de denegación de servicio (DoS), phishing o incluso ransomware o secuestro de datos que puede congelar todo el sistema y paralizar así la empresa. Estos ataques aprovechan vulnerabilidades de software o humanas, como los malos hábitos de uso de los empleados, para accerder a los sistemas de información. Con una empresa atacada cada once segundos en todo el mundo, cualquier empresa, por grande o pequeña que sea, es un objetivo y debe asegurarse de que su sistema de seguridad es sólido. Una auditoría de seguridad informática puede ayudar a garantizarlo.

Desde que el reglamento europeo entró en vigor el 25 de mayo de 2018, todas las empresas deben cumplir con los requisitos del RGPD o Reglamento General de Protección de Datos. De hecho, todas las empresas están, por tanto, afectadas por la seguridad informática. En efecto, en caso de fuga o robo de datos tras un ciberataque, la empresa puede ser objeto de acciones judiciales colectivas por parte de las víctimas o incluso de una condena penal.

¿Cuándo debe realizarse auditoría de ciberseguridad

Las buenas prácticas para mejorar la seguridad informática sugieren que se lleve a cabo una auditoría de ciberseguridad al menos una vez al año. Su coste debería incluirse en el presupuesto de su sistema informático.

También es aconsejable realizar una auditoría de seguridad del sistema de información en caso de sospecha de ataque o robo de datos. En este caso, es necesario reaccionar lo más rápidamente posible para solucionar los problemas y poner en marcha una protección eficaz y duradera. En algunos casos, las amenazas también pueden proceder de los socios con los que trabaja la empresa. Las interconexiones entre estos socios y la empresa, tanto en términos de intercambio de datos como de derechos compartidos, pueden aumentar los riesgos y hacer vulnerable el sistema.

También es habitual programar una auditoría cuando hay que instalar un programa crítico. Un programa crítico puede ser el software de trabajo de sus empleados, pero también la aplicación de control de accesos a su empresa, el sistema de gestión de accesos remotos, la puesta en marcha de la computación en la nube... Dependerá de la empresa. Pero una cosa es segura, una auditoría garantizará que el despliegue se realiza en un entorno digital saludable.

Para las empresas que manejan gran cantidad de datos por cuenta de terceros, la conformidad con la norma ISO 27001 es una garantía de confianza para clientes y socios. Esta norma internacional de seguridad de los sistemas de información se obtiene tras un largo proceso de auditoría y conformidad

¿Cuáles son las diferentes etapas de una auditoría de ciberseguridad?

El plan de una auditoría de ciberseguridad debe estar claramente establecido para garantizar una detección eficaz de las amenazas y vulnerabilidades. Cada experto tiene su propia metodología para llevar a cabo la auditoría, pero como norma general, entre las buenas prácticas que deben observarse se incluyen los siguientes pasos.

Definir el alcance de la auditoría de ciberseguridad

El plan de una auditoría de ciberseguridad debe estar claramente establecido para garantizar una detección eficaz de las amenazas y vulnerabilidades. Cada experto tiene su propia metodología para llevar a cabo la auditoría, pero como norma general, entre las buenas prácticas que deben observarse se incluyen los siguientes pasos

Las amenazas pueden estar relacionadas con acciones humanas externas, como piratería informática, ataques de denegación de servicio, suplantación de identidad, etc., pero también pueden proceder de acciones internas. La negligencia y la incompetencia humanas internas también pueden constituir graves amenazas para la seguridad informática. Por ejemplo, algunos empleados malintencionados que tienen acceso a las herramientas de administración de los sistemas de información pueden provocar un ataque o robar datos. Según el informe de IBM (IBM Security X-Force Threat Intelligence de 2003, el factor humano está implicado en más del 90 % de los incidentes. Hay que tener en cuenta que las inclemencias meteorológicas también constituyen una amenaza, ya que pueden afectar a las infraestructuras de almacenamiento y comunicación.

Existe una diferencia entre amenazas y vulnerabilidades. Las amenazas son riesgos para el sistema informático, mientras que las vulnerabilidades son fallos inherentes a las instalaciones. La auditoría de seguridad analizará ambas.

Un ejemplo es la implementación de software de código abierto con licencia GNU GPL, Apache o MIT. El software base puede ser totalmente seguro, pero las dependencias o módulos adjuntos pueden estar obsoletos. Esto representa una vulnerabilidad. Entre los factores humanos, la política de identificación es una vulnerabilidad que debe tenerse en cuenta.

Comprobación de la seguridad del sistema de informació

Para que una auditoría sea realmente eficaz, debe incluir la comprobación del sistema de seguridad instalado. Esto implica no sólo intentos de intrusión desde el exterior, sino también pruebas sucesivas desde los distintos puestos de trabajo. En función del puesto del empleado, se conceden diferentes derechos de acceso y control. Un fallo en la concesión de estos privilegios constituye un alto riesgo.

Las pruebas de un sistema de información también deben tener en cuenta el entorno físico y virtual de la empresa. Por ejemplo, se examinará si existe un sistema eficaz de copias de seguridad para proteger los datos en caso de inclemencias meteorológicas, vandalismo, denegación de servicio o robo de datos.

Enumere claramente las recomendaciones para mejorar la seguridad

Al final de una auditoría de ciber seguridad, el experto o proveedor de servicios encargado de llevarla a cabo debe redactar un informe completo, pero también legible y comprensible, en el que se detallen las distintas amenazas y vulnerabilidades. Para cada vulnerabilidad detectada, debe proponer una solución eficaz, la forma de aplicarla y las medidas que deben tomarse para mantener un alto nivel de seguridad. Las mejoras a introducir afectan tanto a la infraestructura como al software, pero también al proceso de conexión a Internet, que puede dar lugar a errores humanos.

Respuestas a sus preguntas sobre la auditoría de ciberseguridad

¿Por qué hacer auditoría de ciberseguridad

El objetivo de la auditoría de seguridad del sistema informático de una empresa es poner de manifiesto las distintas amenazas y vulnerabilidades. Las distintas pruebas realizadas no se centran únicamente en la infraestructura y el software, sino también en el aspecto organizativo de las instalaciones.

¿Cómo hacer una auditoría de ciberseguridad?

Para realizar una auditoría de seguridad informática hay que ser muy riguroso y proceder por etapas. Dado que el tema es complejo, conviene contar con el apoyo de un experto. La primera fase es analítica y consiste en enumerar todas las amenazas y vulnerabilidades externas e internas del sistema informático. A continuación, deben realizarse pruebas reales o simulaciones realistas (pen tests) para comprobar la seguridad instalada. Por último, a partir de los resultados obtenidos, ha de elaborarse una lista de correcciones y recomendaciones que deben aplicarse.

CONTACTE CON NOSOTROS PARA SU AUDITORÍA DE CIBERSEGURIDAD

Todo lo que necesita saber sobre las auditorías de ciberseguridad para empresas. Cómo detectar vulnerabilidades y prevenir posibles ataques.

Sellado de tiempo certificado

Una solución de sellado de tiempo flexible que se adapta a las necesidades de su empresa

Demuestre el cumplimiento de los precios promocionales

Garantizar la trazabilidad de la cadena de suministro

Proporcionar una prueba de suceso

Garantizar el cumplimiento de las normas y la preparación de auditorías

¿Tiene alguna otra necesidad?

¿Cómo funciona el sellado de tiempo?

Sellado de tiempo: fácil de implantar y de usar

¿Quiere saber más sobre nuestra solución de sellado de tiempo?