La seguridad de la información en la corporación

En este material te contaremos cómo se garantiza la seguridad de la información en la corporación en la era digital.

Analicemos las definiciones básicas.

Corporación — es el conjunto de personas o empresas autorizadas a actuar como una sola entidad y reconocidas legalmente como tal con el fin de alcanzar objetivos comunes. Se basa en la propiedad compartida y en la separación de funciones entre propietario y gerente. Por regla general, las corporaciones tienen una estructura compleja y pueden contar con numerosas sucursales o grupos enteros de subsidiarias.

La seguridad de la información corporativa es la protección de los datos de la corporación frente al acceso no autorizado, el uso indebido, la divulgación, el sabotaje, la alteración o la destrucción. Abarca los métodos, herramientas y operaciones que las organizaciones implementan para proteger sus propios activos de información

¿Por qué es necesario garantizar la seguridad de la información en la corporación?

En un sentido amplio, la seguridad corporativa comprende las medidas adoptadas dentro de la corporación para proteger los activos físicos, financieros, intelectuales y de otro tipo frente a amenazas internas y externas. Dichas amenazas pueden estar relacionadas con malversación, fraude, ciberataques, uso indebido de información privilegiada, filtraciones de datos confidenciales, desastres naturales, ataques terroristas y otras.

Lamentablemente, existen numerosas situaciones que pueden desencadenar amenazas internas y externas, y precisamente por ello proteger la información corporativa debe ser una prioridad para las organizaciones de todos los tamaños.

La materialización de algunas amenazas en instalaciones de producción especialmente grandes, así como en objetos de infraestructura de información crítica (IIC), puede tener consecuencias catastróficas: daños a la salud y la vida de las personas, perjuicios al medio ambiente, etc.

A continuación, analizaremos los motivos para implementar un sistema eficaz de seguridad de la información dentro de la corporación.

Protección de activos físicos e intelectuales

Por lo general, un sistema corporativo de seguridad de la información está diseñado para proteger activos físicos e intelectuales, incluidos equipos, instalaciones, secretos comerciales, patentes, derechos de autor y marcas registradas. Al implementar medidas de seguridad robustas, las empresas pueden minimizar los riesgos de robo, espionaje industrial y uso no autorizado de la propiedad intelectual. Dicha protección reduce considerablemente los riesgos de que se materialicen amenazas a la seguridad de la información. Esto ayuda a mantener una ventaja competitiva y una posición estable en el mercado.

Prevención de filtraciones de datos personales

Sin medidas de seguridad eficaces, las filtraciones pueden ocurrir fácilmente y pasar desapercibidas.

Al mismo tiempo, los ciberdelincuentes son cada vez más eficaces y hábiles para robar datos personales (en adelante, «DP»), sorteando redes con sistemas de seguridad débiles. Según algunas fuentes comerciales, se espera que el número de filtraciones de datos aumente un 7,76 % en 2024, pese al notable endurecimiento de la legislación sobre DP. 

Si los datos personales que procesa la corporación quedan expuestos a terceros, esto puede derivar en perjuicios financieros y reputacionales, así como en posibles litigios y multas por parte de los reguladores. 

Protección de datos sensibles

En una era en la que los datos son un recurso valioso, mantener la confidencialidad de la información sensible es de suma importancia. Las medidas de seguridad de la información pueden prevenir el acceso no autorizado a los datos corporativos, la información de los clientes y los registros financieros. 

Además, los clientes confían en que las empresas protejan sus datos — y cualquier vulneración de esa confianza puede dañar la reputación, la posición en el mercado y acarrear consecuencias legales. Implementar medidas robustas de seguridad de la información ayuda a mantener la confianza y a proteger la información sensible de la corporación, sus clientes y demás partes interesadas.

Reducción de pérdidas financieras

La seguridad corporativa ayuda a las empresas a mitigar las pérdidas financieras que pueden derivarse de la materialización de diversos riesgos de seguridad de la información. Por ejemplo, medidas eficaces de seguridad física pueden disuadir a los intrusos y, por supuesto, reducir la probabilidad de robo, daño o destrucción de productos, equipos o inventario. Del mismo modo, métodos fiables de ciberseguridad minimizan los riesgos de exfiltración de datos, que pueden ocasionar pérdidas monetarias significativas, costos legales y erosión de la confianza del cliente. Así, invertir en seguridad corporativa puede ahorrarles a las empresas sumas considerables de dinero a largo plazo.

Garantía de la continuidad de los procesos

Eventos imprevistos, como desastres naturales, ciberataques o cortes de servicio, pueden interrumpir las operaciones comerciales o detener la producción. Implementar planes de continuidad del negocio como parte de la seguridad corporativa garantiza que las empresas puedan responder eficazmente ante cualquier incidente, minimizar el tiempo de inactividad y reanudar la operación completa lo antes posible. Al mantener la continuidad de los procesos, las empresas pueden proteger sus ingresos, conservar la satisfacción del cliente y evitar posibles daños financieros y reputacionales.

Amenazas a la seguridad de la información en las corporaciones

Los modelos más difundidos de amenazas a la seguridad de la información proponen clasificarlas de la siguiente manera.

Amenazas externas

Provienen del exterior: de estafadores, grupos cibercriminales, virus, bots. Un ejemplo común de amenaza externa es un ataque DDoS. Se trata de un ataque virtual contra los recursos de información de una empresa que impide su disponibilidad y ralentiza o detiene por completo el funcionamiento de los recursos o de todo el sistema de información (en adelante, SI).

Según su principio de funcionamiento, un ataque DDoS parece como si miles de usuarios intentaran acceder simultáneamente a un recurso de información. El servidor donde se aloja dicho recurso no logra procesar semejante volumen de solicitudes y termina apagándose. Sin embargo, las solicitudes no provienen de personas reales, sino de bots. Los grupos cibercriminales pueden atacar tanto servidores como canales de comunicación utilizados dentro del perímetro de seguridad de una organización.

Los objetivos de los ataques DDoS pueden variar según los propósitos de los atacantes: los competidores los lanzan para inhabilitar recursos de Internet; los estafadores, para extorsionar a los propietarios de la corporación exigiendo un rescate o simplemente por diversión.

Otro tipo de amenaza son los virus. Se infiltran en las estaciones de trabajo y en los sistemas de control automatizados, y a partir de ahí:

• espían, transmitiendo datos de los sistemas corporativos a terceros interesados;

• destruyen o inutilizan equipos;

• alteran o destruyen datos;

• cifran la información, y después los ciberdelincuentes exigen un rescate.

Amenazas internas

Por regla general, son amenazas relacionadas con las actividades del personal dentro de la corporación. Se dividen en accidentales e intencionales.

Amenazas accidentales. Suelen asociarse a la baja concienciación en seguridad de la información y en higiene cibernética entre los empleados de la corporación. 

Entre otras, se destacan las siguientes amenazas accidentales a la seguridad de la información.

• Errores en la introducción de datos. Los empleados pueden ingresar datos incorrectos por accidente, lo que genera información engañosa o errores en el sistema.

• Divulgación involuntaria de información. Los empleados pueden divulgar información confidencial a terceros sin querer, o publicarla accidental o negligentemente de forma pública.

• Incumplimiento de las políticas de seguridad corporativa. Los empleados pueden no seguir las normas de seguridad al manejar datos, por ejemplo, usando métodos de transmisión inseguros o dejando dispositivos de trabajo accesibles para personas no autorizadas.

• Uso de aplicaciones y dispositivos inseguros, visita a sitios web o servicios inseguros. Los empleados pueden usar aplicaciones no confiables o conectar dispositivos no verificados para trabajar con datos corporativos, lo que puede provocar la exfiltración de datos.

• Incumplimiento de las políticas de acceso a la información. Los empleados pueden vulnerar las políticas de acceso a la información al otorgar acceso a usuarios no autorizados o al utilizar cuentas ajenas.

Amenazas deliberadas

Los empleados pueden infringir deliberadamente las normas de seguridad de la información dentro de la corporación. Los motivos pueden variar: suele ocurrir durante conflictos entre compañeros o al finalizar una relación laboral, cuando el personal se lleva parte de la cartera de clientes o la vende a la competencia. Lo que tienen en común estas amenazas es que sus autores son conscientes de las consecuencias de los incidentes.

Entre los posibles autores de este tipo de amenazas se encuentran competidores, accionistas descontentos, directivos y gerentes, y empleados desleales a la corporación.

Es importante reconocer que una amenaza deliberada puede provenir de un empleado de confianza, que no da la impresión de ser un infiltrado o un potencial atacante. 

Entre otras, se reconocen las siguientes amenazas intencionales a la seguridad de la información.

• Robo, daño o destrucción de equipos — dispositivos de almacenamiento de datos, servidores, etc.

• Uso indebido de recursos corporativos, abuso de facultades: uso irracional de los recursos de la corporación (internet, impresoras, computadoras) con fines personales.

• Robo de información confidencial y bases de datos personales con intención maliciosa o con el propósito de venderla o transferirla a terceros.

• Copia, alteración y destrucción no autorizadas de información propiedad de la corporación. 

• Corrupción, comisiones ilícitas de proveedores y contratistas. 

• Espionaje industrial.

Ejemplos de incidentes de seguridad de la información corporativa

A continuación, veremos ejemplos de incidentes de seguridad de la información que el sistema Anexet DLP logró detectar y prevenir. 

Fuga de información al despedirse un empleado 

Un especialista de una empresa cliente, donde estaba instalado el sistema Anexet DLP, decidió dejar su puesto de trabajo. Antes de irse, comenzó a descargar una base de datos de clientes para usarla en su nueva empresa. El sistema alertó oportunamente al oficial de seguridad sobre la operación (copia de archivos a una unidad flash) y así impidió la fuga de información muy sensible de la base de datos.

El posible daño puede ascender a millones, y los riesgos reputacionales son incalculables.

Asignación irracional del tiempo de trabajo en la organización

El sistema Anexet se implementó en la empresa cliente. Así, a partir de las observaciones realizadas en las pantallas de los monitores, se descubrió que los gerentes dedicaban el 30 % de su jornada laboral a realizar acciones improductivas en el programa 1C. Ante esto, se decidió impartir cursos de capacitación sobre el programa. Los empleados se capacitaron y pudieron dedicar más tiempo a las ventas, lo que contribuyó a un incremento del 15 % en las ganancias de la empresa. Los fondos y el tiempo invertidos en la capacitación contribuyeron a un uso más eficiente del programa 1C. La ganancia de la empresa en un mes fue superior al costo de implementación del sistema.

Ausencia de mecanismos suficientemente eficaces para identificar a tiempo a empleados desleales y extremistas

Con la ayuda de un sistema DLP implementado entre los empleados de una gran empresa de fabricación aeronáutica, se identificó a un miembro del personal con posturas extremistas durante la etapa de reclutamiento de una organización terrorista prohibida. Las consecuencias para la empresa podrían haber sido catastróficas.

Particularidades de la seguridad de la información en las corporaciones

Por lo general, las corporaciones tienen una estructura compleja y cuentan con divisiones distribuidas en distintas sucursales y, a veces, entidades legales. Esto plantea desafíos de seguridad particulares, ya que numerosas redes locales deben integrarse en un único perímetro de control.

Es importante entender que un SI dentro de la corporación  casi siempre será complejo y de varios niveles: con múltiples redes informáticas, divisiones, equipos y estaciones de trabajo remotas.

Características del SI corporativo en el contexto de la seguridad de la información:

• complejidad estructural del SI, necesidad de un ajuste de alta precisión de sus componentes;

• al menos tres niveles de intercambio de datos: entre las subdivisiones y la sede central, entre subdivisiones, y entre las unidades estructurales y los usuarios finales de los datos (clientes, empleados, socios, contrapartes, etc.);

• el gran volumen de datos que debe procesarse como resultado de las comunicaciones entre departamentos.

Las corporaciones deben implementar y mantener altos niveles de seguridad de los datos, incluso en sus subsidiarias y filiales. 

Principios de la seguridad de la información en las corporaciones

Estos principios se formulan a partir de la norma internacional ISO 27014:

• la seguridad de la información a nivel de la empresa debe ser integral, multicapa y abarcar todos los aspectos;

• cada decisión debe basarse en la política de seguridad de la información de la corporación;​

• la estrategia de adquisición e inversión en seguridad del SI debe alinearse con los requisitos del negocio, sin que el costo de organizar el sistema de seguridad de la información supere el valor de los activos protegidos. 

• cumplimiento de los requisitos legales y regulatorios descritos en las normas internacionales. 

• fomentar actitudes positivas hacia las medidas de seguridad entre todas las partes interesadas, mediante un proceso educativo continuo orientado a aumentar la concienciación sobre temas de ciberseguridad.

• las medidas adoptadas no deben obstaculizar las actividades de la corporación ni interferir con sus procesos, etc.

Componentes clave de la seguridad corporativa

A continuación se enumeran los elementos clave de una sólida política de seguridad corporativa.

Implementación de medidas legales

Como se mencionó antes, si las medidas de seguridad de la información son insuficientes, la corporación puede recibir multas. Para evitar sanciones y multas de los reguladores, es necesario cumplir con los requisitos descritos en las normativas.

Las normas internacionales son elaboradas por organizaciones como ISO (Organización Internacional de Normalización) e IEC (Comisión Electrotécnica Internacional). Algunas de ellas son:

• ISO/IEC 27001:2022 «Tecnología de la información. Métodos de seguridad. Sistemas de gestión de la seguridad de la información. Requisitos».

• ISO/IEC TR 19791:2018 «Tecnología de la información. Computación en la nube. Arquitectura de referencia para la protección de datos».

En función de lo anterior, un oficial de seguridad está obligado a conocer bien las particularidades de la legislación en materia de seguridad de la información. Por ello, a menudo es necesario recurrir a asesoría profesional.

Control de incidentes de seguridad de la información

La seguridad corporativa está directamente relacionada con la gestión de incidentes. Estos incluyen, en particular, infracciones de la política de seguridad corporativa vigente, pérdida (o robo) de equipos, cambios no autorizados en el funcionamiento de sistemas y servicios, filtraciones de información sensible, etc.

Lamentablemente, hoy en día no existen métodos ni equipos capaces de ofrecer una protección del 100 % frente a la aparición de incidentes de seguridad de la información. Sin embargo, su detección, respuesta y resolución oportunas reducen considerablemente las posibles pérdidas materiales, financieras y reputacionales.

Además de preservar la integridad, la disponibilidad y la confidencialidad de los activos de información de la corporación, debe existir una política de seguridad sólida que, entre otras cosas, describa respuestas proactivas ante diversas amenazas.

Concienciación del personal en seguridad

Cada unidad de negocio, departamento y empleado individual debe tomarse en serio los asuntos de seguridad de la información dentro de la corporación.

Capacitar al personal en los fundamentos de la conducta segura en línea puede reducir considerablemente el riesgo de incidentes cibernéticos causados por los empleados.

Por lo general, este sistema de capacitación incluye:

• organización de seminarios, webinars, capacitaciones, elaboración de manuales y material de apoyo;

• envíos periódicos que describen esquemas de fraude en Internet nuevos o vigentes;

• realización de los llamados simulacros cibernéticos, es decir, pruebas para evaluar qué tan al tanto están los empleados de la corporación de los temas de ciberseguridad, etc.

Cooperación entre unidades

El nivel general de seguridad de la información en la corporación puede evaluarse por la consistencia de las medidas adoptadas en la división o sucursal menos protegida perteneciente al SI.

Por eso, la colaboración a nivel de toda la corporación es fundamental para garantizar una estrategia de seguridad sólida.

Mecanismos clave para garantizar la seguridad de la información

Al desarrollar e implementar un sistema de seguridad de la información dentro de la corporación, por regla general, se aplican medidas organizativas y técnico-informáticas. Los mecanismos implementados y el principio de su funcionamiento deben describirse en detalle en la política de seguridad de la corporación.

Entre otros, se identifican los siguientes mecanismos para hacer cumplir la seguridad de la información. 

1. Cortafuegos y software antivirus. Esta es la primera línea de defensa contra las ciberamenazas. Los cortafuegos monitorean el tráfico entrante y saliente, bloqueando la actividad sospechosa, mientras que el software antivirus detecta y elimina el malware de tus dispositivos.

2. Cifrado de datos. Consiste en convertir tus datos en código para impedir el acceso no autorizado. Aunque los hackers logren interceptar datos cifrados, no podrán leerlos sin la clave de descifrado.

3. Implementación de sistemas SIEM y DLP. Los sistemas SIEM agregan datos sobre eventos de seguridad y permiten gestionar medidas proactivas para eliminar incidentes y minimizar los daños derivados de su ocurrencia. Los sistemas DLP permiten controlar la actividad de los empleados en sus estaciones de trabajo y reducen considerablemente la probabilidad de fuga de información protegida por culpa del personal.

4. Distinción y control de acceso. No todos en la corporación necesitan acceso a todos los datos a la vez. Implementar un control de acceso estricto garantiza que solo el personal autorizado pueda ver o modificar información sensible. Y la introducción del principio de confianza cero reducirá los riesgos de acceso no autorizado a los datos protegidos.

5. Actualizaciones y parches oportunos. Los ciberdelincuentes explotan constantemente vulnerabilidades en software desactualizado. Actualizar los sistemas con regularidad y aplicar parches ayuda a cerrar estas brechas de seguridad.

6. Restricción del entorno de software. Eliminación de software, servicios y componentes que los empleados no utilizan, gestión de archivos temporales, control de la instalación de programas y servicios, etc.

7. Y otros.

Conclusión

La seguridad corporativa desempeña un papel fundamental en la protección de los activos, la reputación y la competitividad de la empresa. Al implementar medidas integrales, las corporaciones pueden reducir la probabilidad de riesgos y amenazas, así como mitigar sus posibles consecuencias, protegiendo los activos físicos, la confidencialidad de la información sensible y la continuidad de las operaciones comerciales. 

La importancia de la seguridad corporativa no puede subestimarse, ya que determina literalmente la rentabilidad, la reputación y la fiabilidad de la corporación ante clientes, socios y demás partes interesadas. Por ello, invertir en una seguridad de la información confiable no es solo una necesidad — es una tarea estratégica para toda corporación.