Ciberseguridad logística: riesgos, LGPD de Brasil y protección

El uso de nuevas tecnologías se ha convertido en una parte importante de las operaciones de transporte. Sin embargo, con el crecimiento de este uso, también debemos ser conscientes de la importancia de la seguridad de la información en la logística.

Los drones para entregas, las etiquetas RFID que permiten dar seguimiento a los bultos a lo largo de la cadena, el checklist electrónico, el control de abastecimiento de combustible, entre otros, son ejemplos de herramientas que mejoran la eficiencia y la productividad de una operación. Sin embargo, también representan un riesgo de violaciones de la privacidad y de los datos.

Aunque revolucionan el sector y lo vuelven más eficiente y rápido, los beneficios traen ciertos riesgos que deben tenerse en cuenta al garantizar la seguridad de la información en la logística.

Hay además un punto que cambió desde que comenzó este debate: una parte relevante de esta información son datos personales (de conductores, clientes y proveedores), y en Brasil su tratamiento se rige por la Ley General de Protección de Datos (LGPD, Ley n.º 13.709/2018). Esto traslada la seguridad de la información del campo de las buenas prácticas al de las obligaciones legales, con deberes, plazos y sanciones previstos en la norma.

¿Qué es la seguridad de la información en la logística?

La seguridad de la información en la logística es la protección de la información y de los sistemas digitales en la cadena de suministro. Es el conjunto de esfuerzos y diferentes acciones para evitar que los datos de la empresa se pierdan o sean atacados.

Esto incluye todas las categorías de datos, desde la información interna sobre procesos, vehículos y empleados hasta los registros de clientes y proveedores almacenados en el sistema de la empresa de transporte.

Esta distinción importa a la hora de definir prioridades. Un dato operativo perdido es una pérdida interna; un dato personal expuesto es, además, un evento con consecuencias jurídicas, y es la naturaleza del dato, no el tamaño de la empresa, lo que define qué régimen se aplica. Si todavía no ha analizado este punto, conviene empezar por la aplicación de la LGPD en la gestión de flotas (en portugués).

¿Cómo pueden las empresas proteger sus datos?

Una acción fundamental que las empresas deben llevar a cabo es la creación de un plan para hacer frente a los ciberataques, que incluya quién será responsable de responder y qué medidas se tomarán. Además, todos los empleados deben recibir instrucciones sobre cómo protegerse en el entorno digital, sabiendo identificar correos electrónicos o sitios web sospechosos.

Este plan dejó de ser solo una recomendación. En Brasil, la LGPD establece, en su art. 46, que los agentes de tratamiento deben adoptar medidas de seguridad, técnicas y administrativas, aptas para proteger los datos personales de accesos no autorizados y de situaciones accidentales o ilícitas de destrucción, pérdida, alteración, comunicación o cualquier forma de tratamiento inadecuado o ilícito. La ley no enumera las herramientas que se deben usar: el § 2 del mismo artículo solo dice que esas medidas deben observarse desde la fase de concepción del producto o del servicio hasta su ejecución.

Hace algunos años, un antivirus básico contra el malware podía parecer suficiente, pero hoy la tecnología ya está muy difundida y vemos a gigantes del mercado sufrir ataques. Por eso, este aspecto exige atención y dedicación.

Para empezar, la empresa debe centrarse en dar a conocer las medidas a su equipo. La implementación de nuevas medidas, esfuerzos y procedimientos siempre debe comenzar internamente.

Si dispone de recursos para ello, puede crear un departamento de TI dentro de su gestión de flotas o contratar a un agente especializado en el tema.

Un error común en la seguridad de la información en la logística es la falta de un sistema de respaldo. Usted necesita determinar qué datos deben guardarse, cada cuánto tiempo hacer las copias y dónde quedarán guardadas de forma segura.

Y conviene probar la restauración de vez en cuando: un respaldo que nunca se ha restaurado es una hipótesis, no una garantía. La prueba también revela cuánto tiempo tardaría la operación en volver a funcionar, un dato que suele faltar justo el día en que se necesita.

¿Qué son las violaciones de seguridad en la logística?

Las violaciones de la seguridad de la información pueden ocurrir cuando personas no autorizadas acceden a los datos o los roban. Esto puede suceder a través de hackers, ataques de malware o simplemente mediante el robo de dispositivos físicos que contienen datos confidenciales.

Otro riesgo es la pérdida de datos por el mal funcionamiento de un dispositivo. A veces, un simple corte de energía puede provocar la falla de una computadora y dañar los datos que estaban guardados en ella.

Por eso es importante contar con medidas que eviten que usted pierda por completo sus historiales o que los datos caigan en las manos equivocadas.

Al fin y al cabo, cuando estos datos se ven comprometidos, pueden provocar pérdidas financieras, pérdida de la confianza del cliente y consecuencias previstas en la ley.

Cuando el incidente involucra datos personales, existe un deber de comunicar. En Brasil, el art. 48 de la LGPD determina que el controlador deberá comunicar a la autoridad nacional y al titular la ocurrencia de un incidente de seguridad que pueda acarrear riesgo o daño relevante para los titulares, informando, como mínimo, la naturaleza de los datos afectados, los titulares involucrados, las medidas de seguridad utilizadas, los riesgos del incidente, los motivos de una eventual demora y las medidas adoptadas para revertir o mitigar los efectos. El plazo no está en la ley (el § 1 remite a la autoridad nacional), y la ANPD, la Autoridad Nacional de Protección de Datos de Brasil, lo fijó en su reglamento: según la página oficial del organismo sobre el tema, el controlador debe hacer la comunicación a la ANPD y al titular en hasta 3 días hábiles, conforme a los arts. 6 y 9 de la Resolución CD/ANPD n.º 15, del 24 de abril de 2024.

Observe el alcance: el deber recae sobre el controlador y se aplica a los incidentes que puedan acarrear riesgo o daño relevante para los titulares, no a cualquier falla técnica. Como la evaluación depende del caso concreto, es una decisión que debe tomarse con apoyo jurídico y no a partir de un artículo de blog.

En cuanto a las sanciones, en Brasil el art. 52 prevé, entre otras, el apercibimiento con indicación de un plazo para adoptar medidas correctivas y la multa simple de hasta el 2 % de la facturación de la persona jurídica de derecho privado, grupo o conglomerado en Brasil en su último ejercicio, excluidos los tributos, limitada, en total, a R$ 50 millones por infracción. El § 1 del mismo artículo condiciona su aplicación: las sanciones se imponen tras un procedimiento administrativo que permita una amplia defensa, de forma gradual, aislada o acumulativa, considerando parámetros como la gravedad de la infracción, la buena fe del infractor, la reincidencia y el grado del daño.

Las organizaciones deben ser conscientes de los riesgos asociados al uso de la tecnología en la logística y tomar medidas para protegerse de ellos. Entonces:

¿Cómo garantizar la seguridad de la información en la logística?

Ya sea con la implementación de políticas y procedimientos sólidos de seguridad de la información, la capacitación de los empleados sobre cómo proteger datos confidenciales o el uso de la propia tecnología de cifrado para proteger los datos contra accesos no autorizados.

Contra algunas de las amenazas, las empresas de transporte también pueden contar con firewalls y software antivirus modernos. Además, el uso de la nube es una tendencia en la logística (en portugués) y el motivo es claro: aunque pierda un dispositivo por una falla técnica, sus datos quedan a salvo y almacenados para acceder a ellos desde otros lugares.

La nube, sin embargo, cambia la forma del riesgo en lugar de eliminarlo: el acceso pasa a depender de credenciales, y una credencial compartida entre el equipo del patio puede comprometer buena parte del control contratado. Conviene combinar la elección del proveedor con reglas internas de acceso: quién entra en qué y qué sucede cuando alguien deja la empresa.

Al tomar estas precauciones, las organizaciones pueden ayudar a reducir el riesgo de violaciones de la seguridad de la información en la logística y proteger sus intereses comerciales.

Dedicar tiempo a planificar y ejecutar adecuadamente una estrategia de seguridad puede ayudar a evitar violaciones de datos y otros ataques costosos. Las principales etapas incluyen:

1. Realización de una evaluación de riesgos, que ayuda a identificar posibles vulnerabilidades y a determinar qué áreas necesitan más protección.
2. Establecimiento de políticas y procedimientos adaptados a las necesidades específicas de su empresa, con los que todos en la organización deben estar familiarizados.
3. Implantación de soluciones de seguridad adecuadas, que pueden incluir firewalls, software de cifrado, programas antivirus, etc.
4. Pruebas periódicas de los sistemas: al verificar los puntos débiles y realizar pruebas de penetración, usted puede detectar todas las vulnerabilidades antes de que las exploten personas malintencionadas.

Una precaución sobre la última etapa: la prueba de penetración se acuerda antes de comenzar, con el alcance, la ventana de ejecución y la autorización formal registrados, incluso cuando quien la realiza es el propio equipo de TI. Sin ese acuerdo previo, la prueba suele detenerse a la mitad o confundirse con un ataque real por parte del equipo que debería responder a él.

¿Cuáles son los procedimientos de seguridad de la información en la logística?

Cinco categorías organizan bien lo que hay que garantizar: control de acceso, integridad, autenticación, confidencialidad y no repudio. No son un estándar creado para la logística: son los servicios de seguridad descritos en la arquitectura de seguridad para la interconexión de sistemas abiertos, publicada en la Recomendación UIT-T X.800, técnicamente alineada con la norma ISO 7498-2. El propio documento delimita su alcance: trata de los aspectos visibles del camino de comunicación entre sistemas, y no de las medidas de seguridad necesarias en las instalaciones y en la organización. Es decir, sirven como guía de lo que hay que verificar, no como una certificación para exhibir.

Para proteger los datos y los sistemas contra el acceso no autorizado, las empresas deben implementar medidas de seguridad rigurosas, como identificadores de usuario y contraseñas, firewalls y sistemas de detección de intrusiones.

Los datos también deben copiarse y vigilarse periódicamente para que cualquier actividad inusual pueda atenderse de inmediato.

El uso creciente de dispositivos móviles y de soluciones de almacenamiento en la nube ha facilitado que los empleados accedan a los datos de la empresa desde cualquier lugar y en cualquier momento, otro riesgo que debe tenerse en cuenta y planificarse para aumentar la seguridad digital de su empresa.

Como resultado, las empresas deben asegurarse de que sus protocolos de seguridad estén actualizados y de que los empleados reciban la capacitación adecuada sobre cómo usar estas tecnologías de forma segura.

En las operaciones de transporte, este punto tiene un agravante práctico: buena parte del acceso ocurre fuera de la oficina, en el celular del conductor, la tableta de la portería o la computadora compartida del taller. Definir lo que ve cada perfil y revisar esa lista cuando alguien cambia de función suele rendir más que invertir en una herramienta más.

Ahora que ya conoce la importancia de tener una estrategia de seguridad de la información en la logística, vea las principales tecnologías para incluir en su flota:

(video en portugués)