Otro acuerdo de la FCA en materia de ciberseguridad pone de manifiesto su compromiso constante con las prioridades de aplicación de la normativa
El anuncio realizado este mes por el Departamento de Justicia de Estados Unidos (DOJ) sobre otro acuerdo alcanzado en virtud de la Ley de Reclamaciones Falsas (FCA) con un contratista federal ofrece una prueba más de que el Gobierno sigue dando prioridad a la aplicación de la normativa en materia de ciberseguridad. Según el comunicado de prensa del DOJ, el contratista gubernamental Honeywell Aerospace Inc. (Honeywell Aerospace) acordó pagar más de 2 millones de dólares para resolver un asunto relacionado con la FCA, que surgió a raíz de acusaciones relacionadas con las prácticas de ciberseguridad de la empresa en el marco de sus contratos con el Departamento de Defensa.
El acuerdo con Honeywell
Honeywell Aerospace es una empresa con sede en Arizona que ofrece productos y soluciones aeroespaciales a clientes gubernamentales y comerciales. Una antigua empleada del departamento de TI presentó una denuncia «qui tam» tras haber sido presuntamente despedida de forma implícita por la empresa por plantear preocupaciones en materia de ciberseguridad relacionadas con los contratos de la empresa con el Departamento de Defensa.
Según la demanda, en virtud de los contratos, Honeywell Aerospace prestó al Gobierno servicios de computación cuántica. Los contratistas federales del sector de la defensa, como Honeywell Aerospace, están obligados a aplicar determinados controles de ciberseguridad recogidos en la Publicación Especial 800-171 del Instituto Nacional de Estándares y Tecnología (NIST SP 800-171). Sin embargo, según esta demanda, Honeywell Aerospace no cumplió dichos requisitos en relación con su trabajo en los «Contratos Cuánticos».
La denuncia alegaba innumerables fallos de ciberseguridad por parte de Honeywell Aerospace en relación con los «Contratos Quantum» desde abril de 2020 hasta diciembre de 2023, en particular en lo que respecta al tratamiento que la empresa daba a la información controlada no clasificada (CUI) alojada en su «Red Gris», una red electrónica utilizada para su trabajo en los «Contratos Quantum». El denunciante alegó que Honeywell Aerospace se basaba en un cortafuegos para proteger la «Gray Network» que no era más que «una cortina de humo para ocultar sus prácticas de seguridad inadecuadas», y que la empresa empleaba medidas insuficientes de protección contra código malicioso, control de acceso, pruebas y respuesta ante incidentes, y supervisión de actividades sospechosas. Además, la denuncia alegaba que la empresa no notificó los presuntos incidentes cibernéticos o violaciones de seguridad tal y como exigían los Contratos Quantum y los requisitos federales de ciberseguridad.
Honeywell Aerospace no admitió estas acusaciones, pero aceptó pagar más de 2 millones de dólares para resolver las reclamaciones, de los cuales el denunciante «qui tam» recibirá 375.823 dólares.
Repercusiones del acuerdo con Honeywell Aerospace
Este acuerdo sirve para recordar que la labor de control del Gobierno en materia de ciberseguridad en el marco de la FCA sigue más viva que nunca. Tal y como señaló el fiscal general adjunto Brett A. Shumate, de la División Civil del Ministerio de Justicia, en relación con el acuerdo con Honeywell Aerospace: «El Ministerio de Justicia seguirá investigando posibles incumplimientos de estos requisitos de ciberseguridad para proteger esta información crítica».
Este caso sigue la pauta de otros acuerdos recientes en materia de ciberseguridad en el marco de la Ley contra el Fraude (FCA) que afectan a contratistas de defensa federales cuyos contratos incluyen cláusulas que exigen el cumplimiento de los requisitos de la norma NIST SP 800-171 para el tratamiento de la información controlada (CUI). Definir qué constituye CUI y delimitar los límites de los sistemas de información que contienen CUI es un reto notoriamente difícil. La amenaza de la aplicación de la Ley contra el Fraude (FCA) aumenta aún más lo que está en juego a la hora de afrontar ese reto.
Además, esto también pone de relieve el riesgo de que se produzcan demandas en virtud de la FCA presentadas por personas con información privilegiada, ya que la FCA es una de las pocas leyes que permite a particulares interponer demandas en nombre de los Estados Unidos. Al igual que en muchos otros acuerdos recientes relacionados con la FCA en materia cibernética, el denunciante en este caso era un empleado del departamento de TI de la empresa que, supuestamente, había expresado su preocupación por el cumplimiento de la empresa en materia de ciberseguridad.
Recomendaciones
Los contratistas gubernamentales y otros beneficiarios de fondos federales deben considerar las siguientes medidas para mejorar el cumplimiento de la ciberseguridad y reducir el riesgo de la FCA:
- Catalogue y supervise el cumplimiento de todas las normas de ciberseguridad impuestas por el Gobierno. Asegúrese de que su organización disponga de una lista exhaustiva de todos los requisitos de ciberseguridad y de los sistemas afectados dentro de la misma. Estos requisitos pueden derivarse no solo de contratos públicos principales, sino también de subcontratos, subvenciones u otros programas federales. Esto incluye no solo un conocimiento constante de los contratos de la organización, sino también la clasificación rigurosa de los tipos de información que maneja la organización (como la CUI) y de los sistemas que procesan dicha información. Esto también implica supervisar y evaluar de forma continua el programa de ciberseguridad de la organización para identificar y corregir vulnerabilidades, así como para evaluar el cumplimiento de dichas normas contractuales de ciberseguridad. Esta evaluación también debe tener en cuenta las relaciones con terceros, incluidos los proveedores y los prestadores de servicios.
- Desarrollar y mantener un programa de cumplimiento sólido y eficaz que aborde las cuestiones de ciberseguridad. En muchas empresas, el programa de cumplimiento y las funciones de seguridad de la información no están bien integradas. Un programa de cumplimiento eficaz abordará las preocupaciones en materia de ciberseguridad y animará a los empleados a comunicar dichas preocupaciones. Cuando se identifican estas preocupaciones, es fundamental escalarlas e investigarlas sin demora; las acusaciones contenidas en la denuncia de Honeywell Aerospace sirven de advertencia y ponen de relieve las posibles consecuencias de no responder de manera eficaz a las preocupaciones de los empleados. Además, las empresas deben velar por que no se produzcan represalias contra los empleados que comuniquen sus inquietudes de buena fe. A menudo puede resultar beneficioso contar con la participación de un asesor jurídico en la investigación de estas inquietudes, ya que la intervención temprana es clave para evaluar y minimizar el riesgo.
- Cuando se identifica un incumplimiento de las normas de ciberseguridad, las organizaciones deben evaluar los posibles pasos a seguir. Esto incluye decidir si revelar el asunto al gobierno y cooperar con los investigadores gubernamentales. Las organizaciones deben trabajar con asesores legales con experiencia en este ámbito. Trazar de forma proactiva una estrategia para investigar y responder a posibles incumplimientos puede infundir disciplina al proceso y agilizar el enfoque de la organización. Además, un enfoque proactivo puede mitigar el impacto de las consecuencias a largo plazo.
Si tiene alguna duda sobre la ciberseguridad o la Ley de Reclamaciones Falsas, póngase en contacto con los autores o con su abogado de Foley & Lardner.
