“La información de los empleados subcontratados se filtra, las empresas también son responsables”... Suenan las alarmas por el incidente del deepfake en Busan

En relación con un incidente reciente en el que un empleado de mantenimiento y mantenimiento subcontratado eliminó 220.000 archivos de PC de profesores y personal de una escuela en el área de Busan y creó materiales de explotación sexual ultrafalsos, hay llamados a un reexamen general de los sistemas externos de gestión de recursos humanos de las empresas.

Este incidente es evaluado como un caso que va más allá de un simple delito individual y expone lagunas en la responsabilidad de gestión y supervisión de las empresas de subcontratación y del sistema de protección de la información. En particular, se plantea la preocupación de que puedan ocurrir incidentes similares de fuga de información en entornos corporativos donde el personal externo está frecuentemente involucrado, como el mantenimiento de TI (información y comunicaciones) y la gestión de instalaciones.

Según la comunidad jurídica del día 14, el artículo 26 de la vigente Ley de Protección de Datos Personales estipula que la empresa a la que se le encomienda el trabajo debe gestionar y supervisar el proceso de procesamiento de datos personales del fiduciario. La explicación es que si el personal subcontratado accede a las PC de trabajo o a los sistemas en la nube y filtra información, a la empresa subcontratada también le resulta difícil eludir su responsabilidad.

Ji-woon Jang, abogado de Bufete de abogados Daeryun, explicó: "El tribunal juzga cuán fielmente se han cumplido las obligaciones de gestión y supervisión hacia el fideicomisario. Si una empresa no ha establecido adecuadamente un sistema de control, existe una alta posibilidad de que incluso los actos ilegales del fiduciario conduzcan a responsabilidad corporativa".

El abogado Jang expresó especial preocupación por el hecho de que muchas empresas creen que han cumplido con sus obligaciones legales simplemente escribiendo un acuerdo de confidencialidad (NDA) durante el proceso del contrato de subcontratación. Señaló que “la NDA puede servir como base para exigir responsabilidades después de que ocurre un accidente, pero tiene limitaciones a la hora de demostrar que se implementó un sistema de gestión de antemano”.

Añadió: "Hay muchos casos en los que es realmente difícil reclamar una compensación después del hecho cuando la empresa de subcontratación es pequeña o carece de capital", y añadió: "Al final, es muy probable que la empresa soporte directamente la carga financiera y legal".

El abogado Jang también enfatizó que los sistemas de seguridad corporativos están recientemente pasando de un método "basado en la confianza" a un método de "confianza cero". La explicación es que se necesita una estructura para controlar sistemáticamente no sólo al personal externo sino también a los empleados internos y mantener todos los registros.

Aconsejó: "Es obligatorio establecer un bloqueo automático de pantalla de PC interno, un sistema de prevención de fuga de datos (DLP) y una solución de control de medios de almacenamiento. También necesitamos un sistema de gestión de registros que pueda comprobar objetivamente si el personal externo está trabajando solo y archivar registros de acceso".

También dijo: “En lugar de una simple cláusula de compensación, se debe incluir en el contrato una cláusula de penalización que pueda reclamarse sin demostrar daños reales” y “Exigir a las empresas de subcontratación que suscriban un seguro de responsabilidad de seguridad cibernética también es una medida realista de respuesta al riesgo”.

El abogado Jang enfatizó: "Este incidente demuestra en última instancia que la protección de la información es imposible confiando únicamente en las personas" y agregó: "La seguridad corporativa debe operarse sobre la base de un sistema de control verificable y registrable, no sobre la ética personal".

[Ver artículo completo]

“Fuga de información de empleados subcontratados, las empresas también son responsables”... Sonido de advertencia sobre el incidente deepfake de Busan (enlace)