El incidente cibernético de Rideau Hall resultó ser un “incidente cibernético sofisticado” según correos electrónicos internos
Salió a la luz una nueva revelación sobre la brecha de seguridad en Rideau Hall el año pasado. A altos funcionarios del gobierno se les dijo que era un " incidente cibernético sofisticado " solo unos días antes de anunciarlo al público.
La prensa canadiense consiguió los correos electrónicos internos del gobierno a través de la Ley de Acceso a la Información. Según los funcionarios, “[ellos] no pudieron confirmar el alcance total de la información a la que se accedió".
Por esta misma razón, la Oficina del Secretario del Gobernador General ha estado buscando hacer que los servicios de control de crédito sean accesibles para los empleados, ya que los empleados estaban muy preocupados de que cierta información confidencial pudiera haber sido robada.
De acuerdo con un borrador del 17 de noviembre de 2021, que se compartió con los empleados de Rideau Hall, se alentó a todos los gerentes a “reflexionar sobre las existencias de información que administran en sus respectivas unidades” y a que se aborden sus inquietudes, si las tienen.
Aparentemente, dicho anuncio supuestamente se hizo a altos funcionarios casi dos semanas antes de que se revelara al público la noticia de la filtración.
Según el comunicado de prensa del 2 de diciembre, la Oficina del Secretario del Gobernador General dijo que hubo "un acceso no autorizado a su red interna". La violación también estaba siendo investigada por el Centro Canadiense de Seguridad Cibernética. Informaron que habrá esfuerzos para mejorar la seguridad de la red informática, incluidas consultas con la oficina del comisionado federal de privacidad.
Ciara Trudeau, vocera de la Oficina del Secretario, dijo que la noticia sobre la violación se comunicó a los empleados de Rideau Hall, así como a “socios externos que pueden haber sido afectados por el incidente”.
Sin embargo, ella no fue comunicativa sobre los detalles relacionados con la violación, como cómo y por qué se produjo la violación o mucho menos a qué tipo de información se accedió. También se negó a comentar sobre la adquisición de los servicios de control de crédito para los empleados.
Con base en el contenido de los correos electrónicos internos que revisó The Canadian Press, se indicó que muchos altos funcionarios de la Oficina del Consejo Privado sabían sobre la violación dos semanas antes de que el público se enterara. El portavoz de la Oficina del Consejo Privado se negó a comentar sobre el incidente.
Evan Koronewski, un vocero del Establecimiento de Seguridad de las Comunicaciones, dijo que el CSE y el centro cibernético no tenían la libertad de discutir los detalles particulares de la violación. Aunque sí dijo: “Lo que puedo decirles es que continuamos trabajando diligentemente con (la Oficina del Secretario del Gobernador General) para garantizar que cuenten con sistemas y herramientas sólidos para monitorear, detectar e investigar cualquier posible nueva amenaza. ,”
Agregó además que el CSE proporcionaría activamente servicios de defensa cibernética a la Oficina del Secretario junto con Shared Services Canada como socios.
Chantal Bernier, excomisionada interina de privacidad de Canadá, compartió sus observaciones de que los ciberdelincuentes han encontrado extremadamente atractivo el pirateo de bancos de datos. “Es seguro, muy barato y muy rentable”, dijo. “Lamentablemente, también hay mucho pirateo respaldado por el estado”.
Bernier apreció cómo Rideau Hall manejó toda la situación. Ella creía que tomaron la decisión correcta al informar de inmediato al CSE sobre la violación, buscar formas de proteger a los empleados e incluso comunicarse con la oficina del comisionado de privacidad a pesar de que la Oficina del Secretario no es responsable de la Ley de Privacidad.
Según ella, cree que esta brecha subraya cómo el comisionado debería llegar a tener más derechos para suavizar el desequilibrio de poder entre las organizaciones que albergan la información personal de las personas y las personas mismas. Además, comprueba la diferencia entre Ciberseguridad Proactiva y reactiva.
También dijo: “Ahora es tan complejo. Y no podemos, cada uno de nosotros individualmente, responsabilizar a las organizaciones, está más allá de nosotros”.
Actualmente, Bernier está manejando el caso de privacidad y seguridad cibernética en un incendio legal de Dentos y afirma: "La magnitud de las infracciones y las consecuencias es tal que necesitamos tener un regulador que sea lo suficientemente fuerte como para responsabilizar a todas las organizaciones que responsabilizan a nuestros datos".