Este sitio web utiliza cookies para mejorar la experiencia del usuario. Puede obtener más información sobre cómo tratamos sus datos en nuestro aviso legal. 

Utilice el mapa del sitio para encontrar lo que busca en el sitio de Vaultinum e ir directamente a las secciones que desee.

Mapa del sitio | Vaultinum

El mapa del sitio

Sobre Vaultinum

Legal

No se puede subestimar la importancia de contar con un sólido programa de gestión de riesgos cibernéticos.  Es más, todos los consejos de administración deben hacerse a la idea de que la ciberseguridad nunca está realmente conseguida. Cada día se descubren nuevas tecnologías y fallos de seguridad. Cada nuevo empleado o contratista es un nuevo riesgo que hay que gestionar. Un hacker sólo necesita tener éxito una vez, mientras que las medidas de seguridad de una empresa deben tener éxito el 100% de las veces. Este informe destaca los principales riesgos e impactos asociados a los ciberataques.

Informes del sector

Tendencias mundiales en materia de ciberriesgos

A pesar del mayor reconocimiento mundial de la magnitud de los riesgos cibernéticos, muchas organizaciones no han tomado las medidas necesarias para crear o adaptar sus políticas de ciberseguridad ante estas nuevas amenazas. El documento traza un panorama exhaustivo del estado de las ciberamenazas en todo el mundo y pone de relieve lo que está en juego.

Riesgos relacionados con el aumento de la frecuencia y el coste de los incidentes de ransomware

Interrupción del negocio, aumento de la responsabilidad, robo de propiedad intelectual: comprender las consecuencias de los ciberataques

Mitigación de riesgos de ciberseguridad: por dónde empezar

¿A QUIÉN VA DIRIGIDO ESTE INFORME SOBRE CIBERTENDENCIAS?

Vaultinum es un tercero de confianza independiente especializado en la protección y auditoría de activos digitales.
Desde 1976, Vaultinum ha conseguido que miles de creadores, empresas e inversores digitales aseguren sus innovaciones gracias a nuestras soluciones : Depósitos De Propiedad Intelectual, Contratos de escrow y Due Diligencias Tecnológicas.

Informe completo sobre las tendencias y amenazas de la ciberseguridad en 2021. Comprender el impacto para las empresas y descubrir cómo identificar, evaluar y solucionar los ciberriesgos.

Informe sobre las tendencias en ciberriesgos | Vaultinum

Un sistema de IA es un sistema basado en máquinas que está diseñado para funcionar con diversos niveles de autonomía y que puede mostrar capacidad de adaptación tras su despliegue, y que, para objetivos explícitos o implícitos, infiere, a partir de la entrada que recibe, cómo generar salidas tales como predicciones, contenidos, recomendaciones o decisiones que pueden influir en entornos físicos o virtuales. 

¿Qué es la "Oficina de Inteligencia Artificial"?

"Oficina de Inteligencia Artificial": la función de la Comisión de contribuir a la aplicación, el seguimiento y la supervisión de los sistemas de IA, los modelos de IA de propósito general y la gestión de la IA. Se entenderá que las menciones en la Ley relativa a la IA de la Oficina de Inteligencia Artificial se refieren a la Comisión. 

La "alfabetización en IA" se refiere a las capacidades, conocimientos y comprensión que permiten a los proveedores, usuarios y personas afectadas, teniendo en cuenta sus respectivos derechos y obligaciones en el contexto de la Ley de IA, hacer un despliegue informado de los sistemas de IA, así como concienciarse sobre las oportunidades y riesgos de la IA y los posibles daños que puede causar. 

¿Qué es un "espacio aislado de regulación de la IA"?

Un "espacio aislado de regulación de la IA" es un marco concreto y controlado establecido por una autoridad competente que ofrece a los proveedores o posibles proveedores de sistemas de IA la posibilidad de desarrollar, entrenar, validar y probar, en su caso en condiciones del mundo real, un sistema de IA innovador, con arreglo a un plan de espacio aislado durante un tiempo limitado bajo supervisión reguladora; 

"Plan de espacio aislado" significa un documento acordado entre el proveedor participante y la autoridad competente en el que se describen los objetivos, las condiciones, el calendario, la metodología y los requisitos de las actividades realizadas dentro del espacio aislado. 

"Representante autorizado" significa una persona física o jurídica situada o establecida en la Unión que ha recibido y aceptado un mandato escrito de un proveedor de un sistema de IA o de un modelo de IA de propósito general para, respectivamente, ejecutar y llevar a cabo en su nombre las obligaciones y procedimientos establecidos por la Ley de IA. 

¿Qué es una "herramienta básica de IA"?

Una herramienta básica de IA es un sistema de inteligencia artificial basado en reglas, compuesto por un conjunto de reglas codificadas por el ser humano que dan lugar a resultados predefinidos. Estos sistemas son adecuados para proyectos y aplicaciones que requieren pequeñas cantidades de datos y reglas sencillas y directas. 

¿Qué es un "sistema de categorización biométrica"?

Un "sistema de categorización biométrica" es un sistema de IA destinado a asignar personas físicas a categorías específicas sobre la base de sus datos biométricos, a menos que sea auxiliar de otro servicio comercial y estrictamente necesario por razones técnicas objetivas. 

Los "datos biométricos" son los datos personales resultantes de un tratamiento técnico específico relativo a las características físicas, fisiológicas o de comportamiento de una persona física, como las imágenes faciales o los datos dactiloscópicos. 

¿Qué es la "identificación biométrica"?

La "identificación biométrica" es el reconocimiento automatizado de rasgos humanos físicos, fisiológicos, conductuales o psicológicos con el fin de establecer la identidad de una persona física mediante la comparación de datos biométricos de dicha persona con datos biométricos de individuos almacenados en una base de datos. 

¿Qué es la "verificación biométrica"?

La "verificación biométrica" es la verificación automatizada de la identidad de personas físicas mediante la comparación de sus datos biométricos con datos biométricos facilitados previamente (verificación uno a uno, incluida la autenticación). 

¿Qué es un "sistema de identificación biométrica a distancia"?

Un "sistema de identificación biométrica a distancia" es un sistema de IA destinado a identificar a personas físicas, sin su participación activa, normalmente a distancia, mediante la comparación de los datos biométricos de una persona con los datos biométricos contenidos en una base de datos de referencia. 

¿Qué se entiende por "sistema de identificación biométrica a distancia en tiempo real"?

Por "sistema de identificación biométrica a distancia en tiempo real" se entiende un sistema de identificación biométrica a distancia en el que la captura de los datos biométricos, la comparación y la identificación se producen sin demora significativa. Esto comprende no solo la identificación instantánea, sino también demoras breves limitadas para evitar la elusión. 

¿Qué es un "sistema de identificación biométrica a distancia posterior"?

Un "sistema de identificación biométrica a distancia posterior" es un sistema de identificación biométrica a distancia distinto de un sistema de identificación biométrica a distancia en tiempo real. 

¿Qué significa "marcado CE de conformidad"?

"Marcado CE de conformidad" (marcado CE) significa un marcado por el que un proveedor indica que un sistema de IA es conforme a los requisitos establecidos en el capítulo III, sección 2, y en otra legislación de armonización de la Unión aplicable que armonice las condiciones de la comercialización de los productos ("legislación de armonización de la Unión") y que disponga su colocación. 

¿Qué significa "especificación común"?

"Especificación común" significa un conjunto de especificaciones técnicas, tal como se definen en el artículo 2, punto 4, del Reglamento (UE) nº 1025/2012, que proporciona medios para cumplir determinados requisitos establecidos en virtud de la Ley relativa a la IA. 

¿Qué es una "evaluación de la conformidad"?

"Evaluación de la conformidad" es el proceso de demostrar si se han cumplido los requisitos establecidos en el capítulo III, sección 2 de la Ley de IA relativos a un sistema de IA de alto riesgo. 

¿Qué es un "organismo de evaluación de la conformidad"?

Un "organismo de evaluación de la conformidad" es un organismo que realiza actividades de evaluación de la conformidad por terceros, incluidos los ensayos, la certificación y la inspección. 

La gestión del contexto implica integrar los cambios en el contexto para permitir que el modelo de IA mantenga los niveles de rendimiento en un mundo real en evolución. Por otro lado, el almacenamiento en caché implica la reutilización de los datos almacenados para minimizar el uso de recursos. Ambos son elementos importantes para la mejora continua de los modelos de IA. 

¿Qué son las "infraestructuras críticas"?

 Una "infraestructura crítica" es un bien, una instalación, un equipo, una red o un sistema, o una parte del mismo, que sea necesario para la prestación de un servicio esencial en el sentido del artículo 2, punto 4, de la Directiva (UE) 2022/2557. 

El aumento de datos es una técnica utilizada para ampliar y diversificar artificialmente los conjuntos de datos de formación. Esto ayuda a mejorar la calidad y cantidad de los datos disponibles sin consumir recursos. Esto es esencial en DL, donde unos datos limitados podrían conllevar un sobreajuste. 

La visualización de datos es importante en términos de transparencia, ya que tiende un puente entre la toma de decisiones de la IA y los usuarios. Convierte los complejos resultados de la IA en formatos intuitivos y visuales, haciendo accesibles y comprensibles los patrones abstractos y a menudo intrincados de los algoritmos de IA. 

Un "deep fake" es un contenido de imagen, audio o vídeo generado o manipulado por IA que se asemeja a personas, objetos, lugares, entidades o acontecimientos existentes y que a una persona le parecería falsamente auténtico o veraz. 

El aprendizaje profundo es un tipo de IA y ML que utiliza redes multicapa para construir modelos inspirados en el cerebro humano.

Un "implantador" es una persona física o jurídica, autoridad pública, agencia u otro organismo que utilice un sistema de IA bajo su autoridad, excepto cuando el sistema de IA se utilice en el curso de una actividad personal no profesional. 

¿Qué es un "perturbador" en el contexto de los modelos de IA?

En el contexto de la perturbación económica, se refiere al proceso de poner en riesgo los modelos de negocio y las industrias tradicionales, lo que puede modificar sectores enteros o causar una importante perturbación económica. 

Un "distribuidor" es una persona física o jurídica de la cadena de suministro, distinta del proveedor o del importador, que comercializa un sistema de IA en el mercado de la Unión. 

Un "proveedor intermedio" es un proveedor de un sistema de IA, incluido un sistema de IA de propósito general, que integra un modelo de IA, con independencia de que el modelo de IA sea proporcionado por ellos mismos e integrado verticalmente o proporcionado por otra entidad sobre la base de relaciones contractuales. 

¿Qué es un "sistema de reconocimiento de emociones"?

 Un "sistema de reconocimiento de emociones" es un sistema de IA destinado a identificar o deducir emociones o intenciones de personas físicas a partir de sus datos biométricos.

¿Qué se entiende por "habilitador" en el contexto de los modelos de IA?

En el sentido social y económico, se entiende que mejora la productividad y, en particular, aumentando las capacidades humanas (ayudando a realizar tareas con mayor rapidez, eficacia y precisión, ayudando a analizar enormes cantidades de datos con mayor rapidez para tomar decisiones más rápidas y mejor informadas), resuelve problemas sociales como los relacionados con el cambio climático, el crecimiento demográfico o los problemas de salud, y fomenta la innovación ayudando a generar nueva tecnología. 

Los experimentos pueden implicar diversas pruebas, y su seguimiento es importante desde el punto de vista de la eficiencia y la productividad. Los experimentos suelen incluir el uso de datos de entrenamiento y de prueba, modelos con distintos hiperparámetros, ejecución de códigos diferentes, ejecución del mismo código pero en distintas configuraciones de entorno, etc.

La IA explicable (XAI) engloba técnicas y procesos diseñados para que las decisiones y resultados de los modelos de IA sean comprensibles y transparentes para los usuarios humanos. El objetivo de estos métodos es fomentar la confianza y la claridad en las aplicaciones de IA aclarando cómo obtienen sus predicciones los modelos, facilitando tanto la confianza de los usuarios como el cumplimiento normativo.

¿Qué es un "bucle de retroalimentación"?

Un bucle de retroalimentación es esencial para que el modelo de IA confirme o invalide sus decisiones. Permite ajustar los parámetros para mejorar el rendimiento. Un bucle de retroalimentación beneficioso suele implicar la introducción en el sistema de información externa imparcial.

¿Qué es una "operación en coma flotante"?

Por "operación en coma flotante" se entiende cualquier operación matemática o asignación que implique números en coma flotante, que son un subconjunto de los números reales típicamente representados en los ordenadores por un número entero de precisión fija escalado por un exponente entero de base fija. 

¿Qué es un "modelo de IA de propósito general"?

Por "modelo de IA de propósito general" se entenderá un modelo de IA, incluso cuando dicho modelo de IA se entrene con una gran cantidad de datos utilizando la autosupervisión a escala, que muestre una generalidad significativa y sea capaz de realizar de forma competente una amplia gama de tareas distintas, independientemente de la forma en que se comercialice el modelo, y que pueda integrarse en una variedad de sistemas o aplicaciones posteriores. Esto no incluye los modelos de IA que se utilicen para actividades de investigación, desarrollo o creación de prototipos antes de su comercialización. 

¿Qué es un "sistema de IA de propósito general"?

Por "sistema de IA de propósito general" se entiende un sistema de IA que se basa en un modelo de IA de propósito general y que tiene capacidad para servir a diversos fines, tanto para su uso directo como para su integración en otros sistemas de IA. 

La IA generativa utiliza el ML y la DL (a través de técnicas como las redes generativas adversarias (GAN) y los autocodificadores variacionales (VAE)) para generar contenidos nuevos y únicos, como imágenes, vídeos o incluso texto. 

 "Norma armonizada": una norma europea tal como se define en el artículo 2, apartado 1, letra c), del Reglamento (UE) nº 1025/2012. 

¿Qué son las "capacidades de alto impacto"?

Por "capacidades de alto impacto" en los modelos de IA de propósito general se entienden las capacidades que igualan o superan las capacidades registradas en los modelos de IA de propósito general más avanzados. 

Un "importador" es una persona física o jurídica situada o establecida en la Unión que comercializa un sistema de IA que lleva el nombre o la marca comercial de una persona física o jurídica establecida en un tercer país. 

El "consentimiento informado" es la manifestación libre, específica, inequívoca y voluntaria de un sujeto de su voluntad de participar en un ensayo concreto en condiciones reales, tras haber sido informado de todos los aspectos del ensayo que son relevantes para la decisión del sujeto de participar. 

Por "datos de entrada" se entiende los datos proporcionados a un sistema de IA o adquiridos directamente por éste, a partir de los cuales el sistema produce un resultado. 

Por "instrucciones de uso" se entiende la información facilitada por el proveedor para informar al usuario, en particular, sobre la finalidad prevista y el uso adecuado de un sistema de IA. 

La "finalidad prevista" es el uso al que el proveedor destina un sistema de IA, incluidos el contexto y las condiciones de uso específicos, tal como se especifica en la información facilitada por el proveedor en las instrucciones de uso, el material promocional o de venta y las declaraciones, así como en la documentación técnica. 

Una invarianza es una propiedad por la que una salida permanece invariable independientemente de las transformaciones aplicadas a la entrada. Por ejemplo, en el tratamiento de imágenes, esto podría significar que el contenido de una imagen sigue siendo relevante y reconocible independientemente de si la imagen se amplía o gira. Identificar estas invarianzas es crucial para garantizar que los modelos de IA sigan siendo sólidos y precisos a pesar de las diversas modificaciones de las entradas. 

¿Qué se entiende por "autoridad policial"? 

(a) cualquier autoridad pública competente en materia de prevención, investigación, detección o enjuiciamiento de infracciones penales o de ejecución de sanciones penales, incluida la salvaguardia y prevención de amenazas para la seguridad pública; o  

(b) cualquier otro organismo o entidad al que la legislación de un Estado miembro encomiende el ejercicio de la autoridad pública y de los poderes públicos con fines de prevención, investigación, detección o enjuiciamiento de infracciones penales o de ejecución de sanciones penales, incluidas la salvaguardia y la prevención de amenazas para la seguridad pública. 

¿Qué se entiende por "aplicación de la ley"?

Por "aplicación de la ley" se entienden las actividades llevadas a cabo por las autoridades policiales o judiciales o en su nombre para la prevención, investigación, detección o enjuiciamiento de delitos o la ejecución de sanciones penales, incluida la protección contra las amenazas a la seguridad pública y su prevención. 

¿Qué es el "aprendizaje automático" (ML)?

El aprendizaje automático es un tipo de IA que utiliza algoritmos para aprender y mejorar a partir de datos de entrenamiento.

Por "comercialización" se entiende el suministro de un sistema de IA o de un modelo de IA de propósito general para su distribución o uso en el mercado de la Unión en el transcurso de una actividad comercial, ya sea a cambio de una remuneración o de forma gratuita. 

Póngase en contacto con nosotros para obtener más información sobre la evaluación de la IA

1 https://data.consilium.europa.eu/doc/document/ST-5662-2024-INIT/en/pdf

Kristin es una abogada registrada en los EE. UU. especializada en las áreas de propiedad intelectual y derecho tecnológico. Ella es miembro de las Comisiones de Estrategia y Legal de Vaultinum encargada de supervisar e implementar las políticas y procesos relacionados con la protección de activos digitales.

Kristin A.

Nuestro amplio glosario le guiará a través del lenguaje de la Inteligencia Artificial (IA). Esta colección se ha recopilado meticulosamente a partir de términos que figuran en la Ley de Inteligencia Artificial de la UE[1], junto con vocabulario adicional esencial para comprender la IA. Vaultinum, como proveedor líder de servicios de evaluación de IA, comprende la importancia de la claridad y la comprensión a la hora de navegar por este campo en evolución. Con la intención de ayudar a profesionales, aficionados y partes interesadas por igual, hemos elaborado este glosario para ofrecer definiciones y explicaciones concisas de los términos clave recogidos en la Ley relativa a la IA. Tanto si es usted un experto como si acaba de iniciar su andadura en el ámbito de la regulación de la IA, este recurso le servirá como valioso punto de referencia.  

Le invitamos a explorar estos términos a su conveniencia de cara a dotarse de los conocimientos necesarios para participar eficazmente en los debates en torno a la ética, la gestión y el cumplimiento en materia de IA.

Descifrar la gestión de la IA: descubra nuestra Guía sobre los términos esenciales de las leyes relativas a IA a través de este glosario

Glosario de términos relacionados con la Ley de Inteligencia Artificial de la UE

Glosario de la Ley relativa a la IA: Términos esenciales y definiciones

La diligencia debida en materia de ciberseguridad es el proceso de identificación y tratamiento de estas posibles ciberamenazas para que no puedan ser explotadas por los ciberdelincuentes. Suele llevarse a cabo mediante una auditoría de ciberseguridad que evalúa la infraestructura de TI de una empresa con respecto a una norma específica que valida si se cumplen las necesidades exactas en términos de seguridad de la red.

La diligencia de ciberseguridad proporciona información sobre el programa actual de gestión de riesgos de una organización, los procedimientos de protección de datos, las certificaciones y las protecciones de la infraestructura, para garantizar que la organización recibirá resultados que le permitan abordar los retos a los que podría enfrentarse en el panorama cibernético en constante evolución.

Todas las empresas, independientemente de su sector o tamaño, deben ser cautelosas en cuanto a su capacidad de recuperación en materia de ciberseguridad. Además, cuando se trata de la diligencia de ciberseguridad, deben hacerse preguntas como las siguientes

¿Tiene la empresa la certificación ISO/9001, ISO/27001 o cuenta con una atestación SOC-2? 

¿Se almacenan los datos del cliente, se accede a ellos o se transmiten fuera del país del que proceden? 

¿Con qué frecuencia se cambian las contraseñas del router y del cortafuegos? 

Estas preguntas sobre la solidez de la ciberseguridad de una organización pueden obtenerse mediante una auditoría de ciberseguridad.

¿Quién debe llevar a cabo la diligencia de ciberseguridad?

La diligencia de ciberseguridad puede ser llevada a cabo por organizaciones de todos los sectores, que saben que deben poner en marcha los procesos correctos para protegerse contra la ciberdelincuencia. Las auditorías de ciberseguridad permiten a las organizaciones mejorar su concienciación en materia de ciberseguridad, mitigar los riesgos y establecer políticas y procedimientos de ciberseguridad recomendados basados en las normas del sector, todo lo cual les protegerá a lo largo de su trayectoria de crecimiento. 

Por otro lado, los inversores utilizan la diligencia debida en materia de ciberseguridad como parte del proceso general de diligencia debida para comprender mejor las posibles amenazas que una empresa objetivo podría plantear a través de vulnerabilidades como un algoritmo de cifrado débil o riesgos de violación de datos. Mediante la realización de auditorías de ciberseguridad, los responsables de las fusiones y adquisiciones pueden obtener información esencial sobre la resistencia cibernética de un objetivo y, por tanto, mejorar su toma de decisiones.

Importancia de la resiliencia en ciberseguridad

Es más importante que nunca que las organizaciones obtengan una visión de su nivel de resistencia cibernética y tomen medidas para implementar políticas y procedimientos para mitigar el riesgo cada vez mayor. No hacerlo tiene un gran coste, que incluye posibles sanciones económicas, daños a la reputación, pérdida de datos y productividad.  Para los inversores, no llevar a cabo la diligencia de ciberseguridad y auditar adecuadamente la resistencia de la ciberseguridad de un objetivo puede dejarlos expuestos a una serie de riesgos, incluyendo la disminución de los ingresos, los beneficios, el valor del mercado y la cuota de mercado.

Realización de una auditoría de ciberseguridad

Llevar a cabo la diligencia de ciberseguridad con una auditoría de ciberseguridad requiere experiencia y conocimientos que se obtienen mejor de un experto independiente y que puede garantizar una auditoría de 360° de su panorama de ciberseguridad.

Con esto en mente, Vaultinum ha desarrollado su auditoría de ciberseguridad.  

Con 45 años de experiencia, Vaultinum se ha comprometido a ayudar a las empresas a llevar a cabo la diligencia de ciberseguridad de manera que se garantice que: las vulnerabilidades, los riesgos y las amenazas que podrían ocurrir se evalúan en las siguientes áreas:

IDENTIFIQUE Y MITIGUE SUS RIESGOS DE CIBERSEGURIDAD

¿Cómo funciona la Auditoría de ciberseguridad de Vaultinum?

La auditoría de ciberseguridad de Vautinum es accesible en una plataforma en línea fácil de usar que ofrece a los clientes la combinación única de autoevaluación, escaneo de código fuente y pen test para permitir la más profunda diligencia de ciberseguridad.

La auditoría básica incluye un cuestionario de autoevaluación que evalúa la preparación en materia de ciberseguridad y la resistencia de la organización en términos de seguridad de la red con respecto a los puntos de referencia del sector, proporcionando al cliente un informe con una tarjeta de puntuación y recomendaciones de mejora. La autoevaluación de la ciberseguridad, desarrollada en consonancia con las normas y las mejores prácticas internacionales por un equipo de expertos en gestión de riesgos de ciberseguridad, ofrece una puntuación precisa y recomendaciones pertinentes y actualizadas.

La autoevaluación de ciberseguridad tarda aproximadamente 1 hora y 30 minutos en completarse y, para facilitar el proceso, recomendamos que un experto residente en la materia realice la evaluación para garantizar la puntuación más precisa y, por tanto, las recomendaciones.

Los clientes pueden optar por realizar una auditoría de ciberseguridad completa añadiendo un escaneo en profundidad del código fuente y una prueba de penetración que revela toda la información sobre las vulnerabilidades de seguridad existentes en el código fuente, como un algoritmo de cifrado débil, riesgos de fuga de contraseñas, ofreciendo un servicio completo de diligencia de ciberseguridad.

Para lograr la máxima seguridad, el código fuente cargado se cifra inmediatamente utilizando el cifrado SHA256 y se borra inmediatamente del sistema una vez que se ha completado el análisis, lo que le proporciona una total tranquilidad.

Los resultados de la autoevaluación y del escaneo del código fuente son revisados por nuestros expertos en diligencia de ciberseguridad, que identifican las áreas de mejora y ofrecen evaluaciones y recomendaciones destinadas a optimizar los procesos y las operaciones de una empresa.

Las opiniones, presentaciones, cifras y estimaciones expuestas en el sitio web, incluido este blog, tienen únicamente fines informativos y no deben interpretarse como asesoramiento jurídico.  Para obtener asesoramiento jurídico debe ponerse en contacto con un profesional del derecho de su jurisdicción.

El uso de cualquier contenido de este sitio web, incluido este blog, para cualquier fin comercial, incluida la reventa, está prohibido, a menos que se obtenga primero el permiso de Vaultinum.  La solicitud de permiso debe indicar el propósito y el alcance de la reproducción.  Para fines no comerciales, todo el material de esta publicación puede ser citado o reproducido libremente, pero se requiere un reconocimiento, junto con un enlace a este sitio web.

Kristin es abogada colegiada estadounidense especializada en las áreas de propiedad intelectual y derecho tecnológico. Es miembro de las Comisiones de Estrategia y Jurídica de Vaultinum, encargadas de supervisar y aplicar las políticas y procesos relacionados con la protección de los activos digitales.

Ya has oído el viejo proverbio. Una cadena es tan fuerte como su eslabón más débil.  Nunca ha sido más cierto que en el contexto de la ciberseguridad.  

Hoy en día, con el uso de software de terceros y la integración de sistemas en muchas organizaciones, a menudo existe una compleja red de cadenas formada por numerosos eslabones que se conectan, y cada uno de ellos supone una amenaza potencial para toda la organización. ¿Cómo asegurarse de que estos eslabones son fuertes? Realizando la diligencia debida en materia de ciberseguridad.

La solución de diligencia debida en ciberseguridad de Vaultinum ayuda a las empresas a descubrir y prevenir los riesgos mediante la evaluación de las áreas clave de las ciberamenazas

¿Qué es la diligencia debida de ciberseguridad ? | Vaultinum

¿Qué es la diligencia debida de ciberseguridad?

Definición de auditoría de ciberseguridad

Una auditoría de ciberseguridad puede definirse como una inspección minuciosa del sistema de información de una empresa en su totalidad y en detalle. El objetivo es verificar y probar la integridad de las infraestructuras físicas y de software frente a las distintas amenazas.

Este análisis también tiene por objeto verificar la utilización de las distintas herramientas y su mantenimiento. Al final de la auditoría se formulan recomendaciones para subsanar las lagunas detectadas y corregir las actitudes de riesgo de los usuarios.

Una auditoría puede llevarse a cabo internamente si se dispone de los recursos necesarios (departamento de TI y RSSI). De lo contrario, es necesario recurrir a los servicios de una empresa especializada o de un consultor. En la mayoría de los casos, dada la complejidad de la tarea, es aconsejable recurrir a un experto acreditado en seguridad informática.

¿Qué tipo de empresa debe realizar auditoría de ciberseguridad ?

Todas las organizaciones conectadas a Internet están expuestas a ciberataques. Estos ataques pueden adoptar muchas formas, como ataques de denegación de servicio (DoS), phishing o incluso ransomware o secuestro de datos que puede congelar todo el sistema y paralizar así la empresa. Estos ataques aprovechan vulnerabilidades de software o humanas, como los malos hábitos de uso de los empleados, para accerder a los sistemas de información. Con una empresa atacada cada once segundos en todo el mundo, cualquier empresa, por grande o pequeña que sea, es un objetivo y debe asegurarse de que su sistema de seguridad es sólido. Una auditoría de seguridad informática puede ayudar a garantizarlo.

Desde que el reglamento europeo entró en vigor el 25 de mayo de 2018, todas las empresas deben cumplir con los requisitos del RGPD o Reglamento General de Protección de Datos. De hecho, todas las empresas están, por tanto, afectadas por la seguridad informática. En efecto, en caso de fuga o robo de datos tras un ciberataque, la empresa puede ser objeto de acciones judiciales colectivas por parte de las víctimas o incluso de una condena penal.

¿Cuándo debe realizarse auditoría de ciberseguridad

Las buenas prácticas para mejorar la seguridad informática sugieren que se lleve a cabo una auditoría de ciberseguridad al menos una vez al año. Su coste debería incluirse en el presupuesto de su sistema informático.

También es aconsejable realizar una auditoría de seguridad del sistema de información en caso de sospecha de ataque o robo de datos. En este caso, es necesario reaccionar lo más rápidamente posible para solucionar los problemas y poner en marcha una protección eficaz y duradera. En algunos casos, las amenazas también pueden proceder de los socios con los que trabaja la empresa. Las interconexiones entre estos socios y la empresa, tanto en términos de intercambio de datos como de derechos compartidos, pueden aumentar los riesgos y hacer vulnerable el sistema.

También es habitual programar una auditoría cuando hay que instalar un programa crítico. Un programa crítico puede ser el software de trabajo de sus empleados, pero también la aplicación de control de accesos a su empresa, el sistema de gestión de accesos remotos, la puesta en marcha de la computación en la nube... Dependerá de la empresa. Pero una cosa es segura, una auditoría garantizará que el despliegue se realiza en un entorno digital saludable.

Para las empresas que manejan gran cantidad de datos por cuenta de terceros, la conformidad con la norma ISO 27001 es una garantía de confianza para clientes y socios. Esta norma internacional de seguridad de los sistemas de información se obtiene tras un largo proceso de auditoría y conformidad.

¿Cuáles son las diferentes etapas de una auditoría de ciberseguridad?

El plan de una auditoría de ciberseguridad debe estar claramente establecido para garantizar una detección eficaz de las amenazas y vulnerabilidades. Cada experto tiene su propia metodología para llevar a cabo la auditoría, pero como norma general, entre las buenas prácticas que deben observarse se incluyen los siguientes pasos.

Definir el alcance de la auditoría de ciberseguridad

El plan de una auditoría de ciberseguridad debe estar claramente establecido para garantizar una detección eficaz de las amenazas y vulnerabilidades. Cada experto tiene su propia metodología para llevar a cabo la auditoría, pero como norma general, entre las buenas prácticas que deben observarse se incluyen los siguientes pasos

Las amenazas pueden estar relacionadas con acciones humanas externas, como piratería informática, ataques de denegación de servicio, suplantación de identidad, etc., pero también pueden proceder de acciones internas. La negligencia y la incompetencia humanas internas también pueden constituir graves amenazas para la seguridad informática. Por ejemplo, algunos empleados malintencionados que tienen acceso a las herramientas de administración de los sistemas de información pueden provocar un ataque o robar datos. Según el informe de IBM (IBM Security X-Force Threat Intelligence de 2003, el factor humano está implicado en más del 90 % de los incidentes. Hay que tener en cuenta que las inclemencias meteorológicas también constituyen una amenaza, ya que pueden afectar a las infraestructuras de almacenamiento y comunicación.

Existe una diferencia entre amenazas y vulnerabilidades. Las amenazas son riesgos para el sistema informático, mientras que las vulnerabilidades son fallos inherentes a las instalaciones. La auditoría de seguridad analizará ambas.

Un ejemplo es la implementación de software de código abierto con licencia GNU GPL, Apache o MIT. El software base puede ser totalmente seguro, pero las dependencias o módulos adjuntos pueden estar obsoletos. Esto representa una vulnerabilidad. Entre los factores humanos, la política de identificación es una vulnerabilidad que debe tenerse en cuenta.

Comprobación de la seguridad del sistema de informació

Para que una auditoría sea realmente eficaz, debe incluir la comprobación del sistema de seguridad instalado. Esto implica no sólo intentos de intrusión desde el exterior, sino también pruebas sucesivas desde los distintos puestos de trabajo. En función del puesto del empleado, se conceden diferentes derechos de acceso y control. Un fallo en la concesión de estos privilegios constituye un alto riesgo.

Las pruebas de un sistema de información también deben tener en cuenta el entorno físico y virtual de la empresa. Por ejemplo, se examinará si existe un sistema eficaz de copias de seguridad para proteger los datos en caso de inclemencias meteorológicas, vandalismo, denegación de servicio o robo de datos.

Enumere claramente las recomendaciones para mejorar la seguridad

Al final de una auditoría de ciber seguridad, el experto o proveedor de servicios encargado de llevarla a cabo debe redactar un informe completo, pero también legible y comprensible, en el que se detallen las distintas amenazas y vulnerabilidades. Para cada vulnerabilidad detectada, debe proponer una solución eficaz, la forma de aplicarla y las medidas que deben tomarse para mantener un alto nivel de seguridad. Las mejoras a introducir afectan tanto a la infraestructura como al software, pero también al proceso de conexión a Internet, que puede dar lugar a errores humanos.

Respuestas a sus preguntas sobre la auditoría de ciberseguridad

¿Por qué hacer auditoría de ciberseguridad

El objetivo de la auditoría de seguridad del sistema informático de una empresa es poner de manifiesto las distintas amenazas y vulnerabilidades. Las distintas pruebas realizadas no se centran únicamente en la infraestructura y el software, sino también en el aspecto organizativo de las instalaciones.

¿Cómo hacer una auditoría de ciberseguridad?

Para realizar una auditoría de seguridad informática hay que ser muy riguroso y proceder por etapas. Dado que el tema es complejo, conviene contar con el apoyo de un experto. La primera fase es analítica y consiste en enumerar todas las amenazas y vulnerabilidades externas e internas del sistema informático. A continuación, deben realizarse pruebas reales o simulaciones realistas (pen tests) para comprobar la seguridad instalada. Por último, a partir de los resultados obtenidos, ha de elaborarse una lista de correcciones y recomendaciones que deben aplicarse.

CONTACTE CON NOSOTROS PARA SU AUDITORÍA DE CIBERSEGURIDAD

Las opiniones, presentaciones, cifras y estimaciones expuestas en el sitio web, incluido este blog, tienen únicamente fines informativos y no deben interpretarse como asesoramiento jurídico. Para obtener asesoramiento jurídico debe ponerse en contacto con un profesional del derecho de su jurisdicción.

El uso de cualquier contenido de este sitio web, incluido este blog, para cualquier fin comercial, incluida la reventa, está prohibido, a menos que se obtenga primero el permiso de Vaultinum. La solicitud de permiso debe indicar el propósito y el alcance de la reproducción. Para fines no comerciales, todo el material de esta publicación puede ser citado o reproducido libremente, pero se requiere un reconocimiento, junto con un enlace a este sitio web.

Philippe es el Director General de Vaultinum. Experto en nuevas tecnologías y altas finanzas, y tras 20 años en la industria fintech internacional, Philippe dirige ahora Vaultinum.

Philippe Thomas

Una auditoría de ciberseguridad es un reto estratégico importante para toda empresa. En un mundo ultraconectado, el sistema de información está expuesto a multitud de amenazas externas e internas. 

Sepa cuándo realizar este análisis y cuáles son las mejores prácticas para llevar a cabo cada etapa de la auditoría de seguridad de su sistema informático.

Todo lo que necesita saber sobre las auditorías de ciberseguridad para empresas. Cómo detectar vulnerabilidades y prevenir posibles ataques.

¿Cómo realizar con éxito una auditoría de ciberseguridad?

 ¿Qué es la Due Diligence Tecnológica?

La auditoría de Due Diligence Tecnológica es el proceso evaluación de los activos tecnológicos y la propiedad intelectual de una empresa con objeto de identificar posibles riesgos o problemas. Esto es especialmente importante en el sector tecnológico, donde los activos inmateriales, como el software, pueden ser el activo más valioso de una empresa. Ayuda a las empresas a tomar decisiones informadas y a mitigar los riesgos potenciales antes de que se conviertan en problemas reales.

¿Por qué es importante la Due Diligence Tecnológica?

La Due Diligence Tecnológica es importante porque ayuda a las empresas a:

Identificar los posibles riesgos jurídicos o reglamentarios.

Evaluar la calidad y el valor de los activos tecnológicos de una empresa, incluida su adaptabilidad.

Evaluar los posibles riesgos de ciberseguridad.

Garantizar la protección de la propiedad intelectual de la empresa.

Sin la Due Diligence Tecnológica, las empresas podrían enfrentarse a consecuencias jurídicas o financieras debido a riesgos o problemas pasados por alto.

¿En qué consiste la Due Diligence Tecnológica?

La auditoría de Due Diligence Tecnológica suele implicar una revisión exhaustiva de los activos tecnológicos de una empresa, como:

Licencias de software, incluido el de código abierto.

En Vaultinum, nuestras soluciones de Due Diligence Tecnológica se llevan a cabo en 3 pasos: una evaluación en línea, un escaneo completo del código para identificar cualquier problema potencial de codificación o vulnerabilidades, y una entrevista con un experto en TI que contextualiza los resultados y proporciona un informe procesable comprensible para los no técnicos. De este modo, las soluciones de Due Diligence Tecnológica de Vaultinum evaluarán toda la infraestructura informática con un enfoque de 360 grados basado en datos.

La auditoría de Due Diligence Tecnológica es un proceso crítico para las empresas del sector tecnológico o sus inversores. Su objetivo es evaluar la calidad del software de una empresa tecnológica en términos de ciberseguridad, propiedad intelectual, adaptabilidad y capacidad de mantenimiento, y garantizar que cumple los requisitos normativos y se ajusta a la estrategia empresarial de la empresa. Los resultados serán más reveladores si la metodología de Due Diligence Tecnológica del proveedor incluye un análisis exhaustivo del código. 

Al trabajar con un tercero de confianza como Vaultinum, las empresas pueden estar seguras de que sus activos tecnológicos han sido evaluados a fondo y de que se ha identificado cualquier riesgo potencial.

NUESTRA SOLUCIÓN DE DUE DILIGENCE TECNOLÓGICA

Marine es nuestra Directora de Marketing. Es especialista en branding y activación de marcas con experiencia internacional en BtoB y BtoC.

Marine Yborra

Conozca la importancia de la due diligence tecnológica a la hora de preparar una inversión en una empresa tecnológica con la guía definitiva de Vaultinum.

La guía definitiva de la auditoría de due diligence tecnológica

La guía definitiva de la auditoría de Due Diligence Tecnológica

Dado que continuamos alejándonos del modelo tradicional de economía física y cada vez estamos más cerca de las realidades virtuales, las empresas se enfrentan a nuevas amenazas emergentes, como los fallos de software, las brechas de datos, los problemas de privacidad, las cuestiones de propiedad intelectual del software de código abierto, las amenazas cibernéticas o la sostenibilidad, entre otras muchas. En este nuevo escenario digital, la seguridad y la protección de los activos digitales cobra un nuevo sentido. Por consiguiente, es más importante que nunca, tanto si es inversor como comprador potencial, saber que la empresa en la que está interesado funciona conforme con las mejores prácticas y tiene las bases adecuadas para un crecimiento sólido. 

En este artículo hemos destacado las 4 áreas principales: Propiedad Intelectual, Software de Terceros, Rendimiento Tecnológico y Ciberseguridad, así como las preguntas clave que debemos hacernos a la hora de gestionar la diligencia debida tecnológica. 

La gestión de la PI es un elemento esencial para el crecimiento y el éxito de una empresa. Además, los derechos de PI cada vez tienen más peso global en la evaluación general de una empresa. Los activos intangibles de PI solo suponían el 17% del valor de mercado de las empresas S&P 500 en 1975. En 2015 ha alcanzado un 87% y en el análisis de 2019, los sectores que han hecho un uso más intensivo de los derechos de PI han generado alrededor del PIB de la UE (6,6 mil billones de euros).

Preguntas Clave a tener en cuenta relativas a la Propiedad Intelectual

¿La compañía objetivo ha actuado para proteger los derechos de PI de su código fuente de software depositándolo en una tercera parte de confianza o en una oficina de copyright?
El software, al igual que las obras de arte o de literatura, está protegido por las leyes del copyright. Para poder reivindicar este derecho, se debe depositar el código fuente y cualquier actualización del mismo en una tercera parte de confianza o en una oficina de copyright. Un depósito sienta las bases de la propiedad del código fuente en un momento dado. 

¿Los contratos de transferencia de PI se realizan con todos los consultores y empleados que trabajan o han trabajado en el desarrollo del software?
En algunos países, la transferencia de PI puede ser automática en las relaciones entre empleados, pero no siempre sucede y aún menos en la relación con los consultores. Esto supone un potencial riesgo de litigio y puede, si se da el caso, tener cierto impacto tanto económico como en lo relativo a la reputación de la empresa. 

¿La empresa tiene todos los derechos necesarios para crear, utilizar, vender u ofrecer su productos reales y propuestos?
El uso de licencias de terceros de alto riesgo (de uso libre, con copyright o de propiedad) sin tener un proceso eficaz para gestionar la PI que identifique y gestione estas licencias y otros derechos de PI, supone un problema potencial que pueda restringir la libertad para comercializar el producto final. 

DESCUBRA LAS SOLUCIONES DE DILIGENCIA DEBIDA TECNOLÓGICA DE VAULTINUM

Las empresas cada vez confían más en el software de terceros para llevar a cabo sus operaciones y/o desarrollar sus propios productos de software. El software de terceros puede ser de código abierto o con licencia comercial. En ambos casos, hay licencias típicas que condicionan su uso. El uso incorrecto o la dependencia excesiva en un software de un tercero puede frenar el crecimiento de una empresa e, incluso, suponer una amenaza para su supervivencia. 

¿Preparado para invertir? No querrá pasar por alto estas preguntas clave al realizar su diligencia debida en materia de tecnología.

El mapa del sitio

Sobre Vaultinum

Soluciones

Recursos

Blog

Faq