Datos en Tránsito

Los equipos de seguridad suelen describir los datos en tres estados: almacenados en un disco (datos en reposo), abiertos y procesados por una aplicación (datos en uso) y desplazándose de un lugar a otro (datos en tránsito, también llamados datos en movimiento). El tercer estado abarca desde un mensaje a un colega hasta una copia de respaldo enviada a otra sede.

Los datos en tránsito están expuestos de una manera particular: salen de los sistemas que la organización controla y atraviesan redes, proveedores y dispositivos que no controla. Por eso los programas de protección de datos lo tratan como un problema aparte, con controles propios, y no como un efecto secundario de la seguridad del almacenamiento.

Los datos de una empresa viajan por unos pocos canales, y cada uno falla a su manera. El correo es el más antiguo: un mensaje puede pasar por varios servidores antes de llegar, y el monitoreo del correo lo ve con claridad solo mientras sigue en sistemas que la empresa controla.

La defensa estándar es TLS, el protocolo detrás de HTTPS y de muchas conexiones seguras de correo y transferencia de archivos. Sucedió al antiguo protocolo SSL, y la secuencia es la misma en la mayoría de las aplicaciones.

1. 1

   Negociar

   Cliente y servidor acuerdan una versión del protocolo y un conjunto de algoritmos de cifrado.

2. 2

   Autenticar

   El servidor presenta un certificado y el cliente lo verifica con las autoridades de certificación en las que confía.

3. 3

   Intercambiar claves

   Ambos lados obtienen claves de sesión compartidas sin enviarlas nunca en claro.

4. 4

   Proteger el tráfico

   Los datos se cifran y llevan una verificación de integridad, de modo que cualquier cambio en el camino se detecta.

Anexet vigila los datos en tránsito en la estación de trabajo mediante sus agentes y el control del tráfico de red y de sitios web. La pantalla del perfil muestra qué protocolos se interceptan y si se incluye el tráfico cifrado, y la de certificados muestra cómo las sesiones web cifradas pasan a ser legibles para el análisis.

1 / 2

• 
• 

El cifrado responde una sola pregunta: ¿alguien en la ruta puede leer o modificar los datos? No pregunta si el remitente debería enviarlos. En ese vacío ocurre la mayor parte de la exfiltración de datos, porque un empleado que sube un archivo por HTTPS usa una conexión perfectamente segura.

Las fallas rara vez vienen de algoritmos débiles. Vienen de suposiciones, y el shadow IT empeora la última, porque los servicios no aprobados añaden destinos que nadie revisó.

• Confiar en la red interna y dejar el tráfico entre servidores en texto plano
• Desactivar la verificación de certificados para que un error desaparezca, lo que elimina la protección contra la suplantación
• Mantener protocolos antiguos, como FTP o HTTP sin cifrado, porque hasta ahora nada ha fallado
• Suponer que el correo está cifrado de extremo a extremo cuando solo algunos tramos usan cifrado
• Considerar seguro el HTTPS hacia cualquier destino, incluidos el almacenamiento personal y los servicios no aprobados

La mayoría de los marcos de seguridad y privacidad esperan que los datos se protejan mientras se transmiten, aunque cada uno lo expresa a su manera. El GDPR pide medidas técnicas apropiadas y menciona el cifrado como ejemplo, la HIPAA Security Rule contiene un estándar de seguridad en la transmisión y PCI DSS exige criptografía robusta cuando los datos de tarjetas cruzan redes públicas abiertas.

En una auditoría lo que cuenta es la evidencia: qué canales llevan datos regulados, cuáles están cifrados y qué ocurre cuando alguno no lo está. Un mapa actualizado de los flujos de datos y una rutina eficaz de gestión del cumplimiento permiten responder rápido.

Empiece por mapear por dónde circulan realmente los datos confidenciales y regulados, luego cifre lo que aún viaja en texto plano e inspeccione lo que sale por canales cifrados. El cifrado cierra el camino a los externos, y un sistema DLP cubre el camino que los empleados usan de forma legítima.