El valor de la gestión de datos

Seguridad informática en las empresas: data loss vs data leakage

Posted on Thu, Aug 30, 2018

La seguridad informática en las empresas debe considerarse una prioridad, no sólo para preservar los activos informacionales del negocio, sino para proteger a los clientes. Sin embargo, data loss y data leakage son conceptos distintos y hay que conocer las diferencias, tanto en cuanto a su detección, como a su gestión, para poder garantizar una protección efectiva.

seguridad de la informacion en las organizaciones

gintas77

Aunque ambos fenómenos, la pérdida de datos y la fuga de datos, pueden dar como resultado un brecha de información la forma de actuar frente a uno u otro será diferente. En las siguientes líneas repasaremos los principales puntos de divergencia.

 

Seguridad informática en las empresas, cuestión de prevención

La prevención de la pérdida de datos

Una de las formas más básicas de garantizar la seguridad informática en las empresas es estableciendo las políticas adecuadas de data loss.

La gestión de data loss se centra en la detección y prevención de la exfiltración de datos confidenciales y / o pérdida de datos. Puede hacer referencia a una variedad de escenarios, como los siguientes:

  • Pérdida de una memoria extraíble.
  • Robo de la misma o de un cd.
  • Ataques de ransomware.

En una pérdida de datos, los datos desaparecen y pueden ser recuperables o no. Y, si bien se puede suponer que las protecciones que garantizan la seguridad del sistema de registros están en su lugar, la pérdida de datos puede ocurrir cuando los datos se conectan en cascada a sistemas complementarios, a menos que se aplique el mismo nivel de protección de datos.

Algunos ejemplos de sistemas de registros, que pueden residir en la red corporativa o alojarse en la nube, son:

  • Recursos humanos, por ejemplo, PeopleSoft o Workday, entre otros.
  • Sistemas ERP, como SAP u Oracle E-Business Suite.
  • CRM, SAP o Salesforce se encontrarían entre los más populares.

Para detectar y prevenir la fuga de datos es preciso:

  1. Desarrollar capacidades que permitan identificar y priorizar entre los sistemas de registros, descubrir la información confidencial de esos sistemas y clasificar los elementos de datos más sensibles. De ellas depende la seguridad informática en las empresas. Es importante trabajar por aumentar la automatización de los procesos, un requisito prioritario en un momento en que la transformación se produce a tanta velocidad y los cambios en el ecosistema de información son una constante.
  2. Identificar y analizar los datos confidenciales y las funciones que contribuyen a enviarlos al exterior de los sistemas, como procesos de reporting o analíticos, su uso en entornos de prueba o el consumo de usuarios en su interacción con diferentes tipos de aplicaciones del negocio. En este proceso de identificación suele resultar muy útil contar con un mapa donde queden reflejados los flujos de información entrantes y salientes. El mapeo permite arrojar luz sobre el ciclo de vida del dato, facilitando la comprensión de los riesgos que pueden afectar a la integridad de los activos informacionales del negocio. SI bien puede llevarse a cabo de forma manual, una vez más resulta interesante optar por la automatización, que reduce errores y permite ganar en agilidad, una cuestión crucial en temas de seguridad.
  3. Detectar flujos de información de carácter sensible en otros países del mundo, con distintos ordenamientos jurídicos y, por tanto, una legislación en materia de privacidad de datos diferente. En ocasiones, el almacenamiento de estos datos en repositorios ubicados en diferentes regiones tendrá carácter permanente, otras se deberá al desplazamiento circunstancial de los usuarios de negocios, en cualquier caso, la identificación temprana es el mejor seguro para prevenir consecuencias legales.
  4. Ganar visibilidad sobre el uso de datos, especialmente en aplicaciones clave. En ellas, así como en los almacenes de datos, debería monitorizarse de forma continua, tanto la actividad, como los perfiles de los usuarios conectados, puesto que, de este modo, es más sencillo diferenciar las actividades típicas de a las anómalas. Las amenazas internas de usuarios malintencionados, contratistas de terceros o socios o el uso de credenciales robadas deberían detectarse lo más rápido posible, algo que puede conseguirse con el análisis de comportamiento del usuario, que es una de las combinaciones analíticas más efectivas al respecto.

 

La prevención de la fuga de datos

La fuga de datos es más compleja e incluye el riesgo de que fluyan datos confidenciales entre los sistemas críticos de una organización, que generalmente son sistemas de registros.

Cuando se identifican datos confidenciales o se detecta actividad anómala del usuario, la prevención de fugas de datos puede basarse en cualquiera de las siguientes medidas:

  • BLoqueo
  • Controles de acceso.
  • Tokenización.
  • Alertas.
  • Cifrado.
  • Enmascaramiento de datos persistente o dinámico.
  • Puesta en cuarentena de la información o la aplicación.

La defensa en profundidad que asegura la adecuada protección de los activos informacionales del negocio y, por extensión, la de sus clientes, se puede implementar mediante el uso de una combinación de cifrado de datos en reposo, así como acciones de remediación dinámica desencadenadas por políticas que detectan violaciones de condiciones de alto riesgo o actividades anómalas fuera de la norma.

La prevención de la pérdida de datos merece tanta consideración como la prevención de la fuga de datos. La primera se centra en los flujos de datos confidenciales en toda la organización (pueden estar dentro o atravesar firewalls), mientras que la segunda sólo puede enfocarse en datos confidenciales que salen de la organización.

A medida que la red de las organizaciones se expande y sus límites se vuelven menos definidos, la prevención de fugas de datos gana en relevancia, resultando las medidas que se toman para llevar a cabo este pronóstico prematuro en una garantía de supervivencia para el negocio.

 

powerdata_transicion_nube

Topics: Cloud