Robo de datos frente a pérdida de datos
La distinción importa para la estrategia de prevención. La prevención del robo de datos es más específica que el DLP general. Presupone un adversario con intención, a menudo un insider, que intentará eludir los controles, y no un usuario descuidado que comete errores.
Por eso, los controles deben contemplar la evasión: cifrado para ocultar el contenido, acopio previo de datos antes de la transferencia, uso de canales autorizados para pasar desapercibido y extracción física mediante soportes extraíbles.
La pérdida de datos es cualquier exposición no autorizada, incluidos los accidentes, como un correo enviado a la persona equivocada. El robo de datos es la extracción deliberada de datos con fines no autorizados, como vender secretos comerciales.
Qué datos se roban
Los objetivos de mayor valor suelen ser la propiedad intelectual, como el código fuente, los planos de ingeniería, los datos de investigación, las hojas de ruta de producto y los procesos patentados. Los datos de clientes, como las bases de contactos y los historiales de compra, también son valiosos para el fraude y la inteligencia competitiva.
También son objetivos los datos financieros (modelos de precios, condiciones contractuales, estados financieros y planes de fusiones y adquisiciones), las contraseñas, los tokens de API y los certificados que permiten nuevos accesos, y los planes estratégicos, como los planes de negocio, las estrategias de marketing y las posiciones de negociación.
Capas de prevención
Una prevención eficaz superpone controles en capas, de modo que la retirada de una sola capa deje las demás en pie. Cada capa responde a una pregunta distinta, desde quién puede llegar a los datos hasta qué se escribe en una memoria USB:
| Capa | Qué hace |
|---|---|
| Gobierno de accesos | Limita quién puede acceder a datos sensibles y revisa los permisos. |
| Inspección de contenido y DLP | Bloquea, aísla o marca contenido sensible que va a destinos no autorizados. |
| Control de dispositivos | Restringe los soportes extraíbles y puede conservar copias sombra del contenido escrito. |
| Monitorización de canales | Vigila correo, subidas a la nube, mensajería, web, FTP e impresión. |
| Monitorización del comportamiento (UEBA) | Detecta acopio de datos, accesos fuera de ámbito y volúmenes crecientes. |
| Visibilidad en el endpoint | Ve canales locales como copias a USB, portapapeles y capturas de pantalla. |
| Auditoría y material probatorio | Registra quién, qué, cuándo, por qué canal y qué contenido estuvo implicado. |
El riesgo del periodo de salida
Una parte significativa del robo de datos se produce en las transiciones laborales: empleados que se van a la competencia, contratistas que finalizan su colaboración y personal notificado de su despido. En las semanas previas a la salida, la persona tiene a la vez motivo (prepararse para el nuevo puesto) y oportunidad (el acceso legítimo sigue activo).
Los programas de prevención abordan esa ventana de forma específica. Es una monitorización de la actividad de usuarios basada en el riesgo para un periodo conocido como crítico, y no una vigilancia de personas. Se aplica de forma coherente y la regula la política interna.
- 1
Observar a quienes se van
Monitorización reforzada de la actividad de quienes están a punto de salir.
- 2
Reducir el acceso
La revisión de accesos y la reducción de privilegios empiezan en cuanto se notifica la salida.
- 3
Alertar por movimientos masivos
Las alertas automáticas se disparan ante accesos o transferencias masivas de datos por usuarios en salida.
- 4
Cerrar el acceso al salir
Los procedimientos de salida revocan el acceso con rapidez y auditan la actividad reciente.
Por qué prevenir exige también detectar
Ningún conjunto de controles hace imposible el robo. Un insider decidido, con acceso legítimo, encontrará huecos.
Una prevención eficaz incluye, por tanto, detección de amenazas internas: la capacidad de identificar que el robo está en curso o ya se produjo, investigarlo y actuar. La prevención reduce la superficie de ataque, y la detección atrapa lo que la atraviesa. Ambas son complementarias, no alternativas.
Cómo se ve en Anexet
En Anexet DLP, los controles de soportes extraíbles y del portapapeles se configuran como reglas, y cada regla puede registrar lo que bloquea.
1 / 2
Por dónde empezar
Empiece por los datos que más daño causarían si salieran y luego mapee los canales que realmente usan. Las políticas escritas para todos los archivos a la vez acaban bloqueando el trabajo normal y se desactivan.
Combine la prevención con la detección desde el primer día, para que un robo en curso no dependa de la suerte.
Lectura recomendada: Los 5 tipos de datos que los competidores intentan robar; Prevención de fugas de datos por parte de superusuarios.
El robo rara vez parece un robo. Parece un archivo más copiado en una jornada laboral normal.
Anexet TeamCómo lo resuelve Anexet
La arquitectura de Anexet se corresponde directamente con las capas de prevención descritas:
La propia arquitectura on-premise es una medida preventiva: como el proveedor no tiene acceso a los datos del cliente, no existe una vía externa hacia los datos de monitorización, las reglas de clasificación ni el material capturado.
Inspección de contenido
Tesauros de seguridad, bancos de hashes, bibliotecas de huellas digitales e integración con etiquetas de sensibilidad detectan cuándo se mueve contenido protegido. La detección se vincula a propiedad intelectual concreta, y no solo a patrones genéricos.
Control de dispositivos
El módulo de control de dispositivos supervisa y puede bloquear el almacenamiento extraíble (memorias USB, discos externos, soportes ópticos y dispositivos móviles conectados como almacenamiento) por tipo de dispositivo, número de serie, ID de fabricante o ID de producto. Las políticas van del bloqueo total a la escritura con copia sombra, en la que se conserva una copia de cada archivo escrito en un soporte externo para auditoría.
Cobertura de canales
Los agentes de endpoint supervisan el correo, el tráfico web, las aplicaciones de almacenamiento en la nube, la mensajería, la impresión, el portapapeles y la captura de pantalla, que son los canales por los que se produce el robo.
Aplicación de bloqueos
Las políticas bloquean las transferencias que coincidan con contenido sensible, las ponen en cuarentena para revisión o generan alertas, según la gravedad.
Puntuación de riesgo conductual
El motor de análisis de riesgo señala a los usuarios cuyo comportamiento sugiere acopio o preparación de un robo, incluso en torno a su salida.
Exportación de material acreditativo
El módulo de investigaciones construye casos estructurados a partir de los eventos detectados, exportables para uso legal o disciplinario. Es la pista de auditoría que exige la prevención del robo.
Funcionalidad de Control de Dispositivos
Más información