Los tres objetivos que protege la seguridad de datos
Cada control de seguridad de datos sirve a uno de tres objetivos, conocidos en conjunto como la tríada CIA.
La confidencialidad significa que solo las personas y los sistemas autorizados pueden leer los datos. Lo garantizan el control de acceso, el cifrado y la supervisión de visualizaciones no autorizadas. La integridad significa que los datos no han sido alterados, corrompidos ni manipulados, ya sea por un atacante, un fallo del sistema o un empleado descuidado. La disponibilidad significa que los datos están presentes y se pueden usar cuando un usuario legítimo los necesita. Por eso, las copias de seguridad, la redundancia y la planificación de recuperación también forman parte de la seguridad de datos.
Un control que protege un objetivo puede debilitar otro. Cifrar todo al nivel más estricto puede frenar el acceso legítimo que exige la disponibilidad. Por eso, los programas reales equilibran los tres objetivos en lugar de maximizar solo uno.
Los controles técnicos centrales
La mayoría de los programas de seguridad de datos se construyen con el mismo grupo de controles, dispuestos en capas para que un solo fallo no exponga los datos.
La seguridad de red y de endpoints añade otra capa. Los cortafuegos, el control de dispositivos y la gestión de parches reducen las vías por las que un atacante puede llegar a los datos. Anexet cubre la capa de dispositivos con el control de dispositivos en endpoints.
| Control | Qué hace |
|---|---|
| Control de acceso e identidad | Limita los datos a las personas cuyo rol lo requiere |
| Cifrado | Hace los datos ilegibles sin la clave correcta |
| Prevención de Pérdida de Datos (DLP) | Revisa el contenido y bloquea, aísla o registra transferencias de riesgo |
| Monitoreo y registro de auditoría | Registra quién accedió a qué, desde dónde y qué hizo |
| Respaldo y recuperación | Mantiene copias separadas de producción, así la pérdida no es permanente |
La seguridad, la privacidad y el gobierno de datos no son lo mismo
Los tres términos se usan a menudo como sinónimos, lo que genera confusión en presupuestos y cargos.
La seguridad de datos protege los datos frente al acceso no autorizado o la pérdida. Es una función técnica y operativa. La privacidad de datos trata de los derechos que las personas tienen sobre sus datos personales y de las normas que una organización sigue al recopilarlos, usarlos o compartirlos. Es una función legal y regulatoria, recogida en normas como el RGPD o la HIPAA.
El gobierno de datos es el marco más amplio de propiedad, estándares de calidad y derechos de decisión sobre los datos como activo de negocio. La seguridad y la privacidad son dos de sus componentes, junto con temas como la calidad de los datos y la gestión de metadatos. En la práctica se solapan. Un programa sólido de seguridad de datos hace que la mayoría de los compromisos de privacidad y gobierno sean realmente exigibles, y no solo aspiracionales.
La seguridad de datos a lo largo del ciclo de vida
Los datos pasan por las mismas etapas, desde su creación hasta su destrucción, y en cada una se aplican controles. Todo empieza con la clasificación de datos.
- 1
Creación y clasificación
Los datos se etiquetan por sensibilidad en cuanto se generan o reciben, para que los controles posteriores sepan con qué rigor tratarlos.
- 2
Almacenamiento
Las bases de datos, los servidores de archivos y los repositorios en la nube aplican cifrado en reposo y restricciones de acceso acordes a la clasificación.
- 3
Uso y compartición
Los empleados copian los datos, los envían por correo o los suben a herramientas colaborativas. Ahí ocurre la mayoría de las fugas, por eso el DLP y la supervisión trabajan más en esta etapa.
- 4
Archivado
Los datos que ya no se usan activamente se conservan según una política documentada. Así se reduce la superficie expuesta sin destruir los registros que deben mantenerse.
- 5
Destrucción
Al terminar el periodo de retención, los datos se eliminan o el soporte se sanea para que no puedan recuperarse. Así no se acumulan indefinidamente.
Cómo se ve en Anexet
Una regla de bloqueo en Anexet DLP puede identificar datos por su etiqueta de sensibilidad de Microsoft o por el contenido de una transferencia web, con patrones integrados para números de tarjeta bancaria y correos electrónicos, o con una expresión regular propia. Las dos pantallas siguientes muestran ambos tipos de condición.
1 / 2
Por qué fallan en la práctica los programas de seguridad de datos
Los controles técnicos son bien conocidos. La mayoría de los fallos reales vienen de cómo se aplican.
La clasificación se omite o se aplica de forma inconsistente, así que las reglas de DLP y las políticas de acceso terminan protegiendo lo equivocado o nada. Los controles se configuran una vez, en la puesta en marcha, y nunca se revisan, aunque la organización añada nuevos servicios en la nube, herramientas para compartir archivos y canales de trabajo remoto que no estaban en el modelo de amenazas original.
La supervisión también falla cuando nadie revisa los registros. Un incidente se descubre semanas después, en lugar de en tiempo real. La causa individual más frecuente sigue siendo el insider: un empleado que se lleva datos al marcharse, un contratista que maneja mal un archivo o un simple error humano. Por eso, la visibilidad sobre lo que la gente realmente hace con los datos cierra brechas que la defensa perimetral deja abiertas. El lado humano de este riesgo se aborda en la detección de amenazas internas.
Revisar los incidentes a tiempo
Los registros solo sirven si alguien los revisa. Esta vista muestra los incidentes que aún no se han visto, con su estado y un gráfico de estadísticas. Revisarlos es el núcleo de la investigación de incidentes de seguridad.
Por dónde empezar
Empiece por los datos que causarían más daño si salieran de la empresa y, después, identifique los canales que esos datos usan realmente. Una política escrita para todos los archivos a la vez suele bloquear el trabajo cotidiano y se desactiva poco después.
Revise los controles con un calendario fijo. Un programa de seguridad de datos vale lo que valga su última revisión.
Lectura recomendada: Seguridad de la información en bases de datos; ¿Qué es la protección técnica de la información?.
La seguridad de datos rara vez falla en un momento dramático. Falla en silencio, en un registro que nadie leyó y en una regla que nadie revisó.
Anexet TeamCómo lo resuelve Anexet
Anexet se construye alrededor de los controles centrales de seguridad de datos descritos arriba, desplegado íntegramente on-premise, de modo que el proveedor nunca tiene acceso a los datos del cliente:
Como cada componente se ejecuta en la propia infraestructura del cliente, las reglas de clasificación, el contenido capturado, el historial de incidentes y los registros de auditoría de los que depende un programa de seguridad de datos nunca salen de la organización, una diferencia relevante para sectores con requisitos de residencia de datos, como banca, gobierno y defensa.
Clasificación y detección
tesauros de seguridad (170 diccionarios preconfigurados en 12 idiomas, más personalizados), bancos de hashes, bibliotecas de huellas digitales para plantillas de documentos y compatibilidad con Microsoft Sensitivity Labels permiten a Anexet reconocer qué datos son sensibles antes de decidir cómo tratarlos.
Monitoreo en todos los canales
los agentes capturan la actividad en correo electrónico, tráfico web, almacenamiento en la nube, mensajería instantánea, dispositivos extraíbles, impresión, portapapeles y pantalla, dando visibilidad de cómo se mueven realmente los datos, no solo de dónde se almacenan.
Aplicación y auditoría
las políticas de bloqueo actúan sobre los canales anteriores con condiciones vinculadas a los objetos de clasificación, mientras que la auditoría de operaciones sobre archivos y el registro de eventos dan a los investigadores un registro para reconstruir exactamente qué sucedió con un dato y cuándo.
Anexet DLP
Más información