De Qué Manera Pueden las Empresas Protegerse Contra las Amenazas Modernas de Hoy – Política, Educación y Tecnología / Por: Pavel Orozco Ingeniero de Ventas Senior de Websense
 | Pavel Orozco Ingeniero de Ventas Senior de Websense |
No hace falta decir que es necesario proteger los datos. Usted ya conoce la necesidad de contar con medidas de seguridad para prevenir la pérdida de información confidencial y de datos regulados. Pero la proliferación de ataques a datos reportados alrededor del mundo, como la memoria USB que se pierde con miles de expedientes de información médica de los pacientes de la Autoridad Canadiense de Salud de Durham y el reciente robo de información confidencial de la Policía de Kent en el Reino Unido, refuerza esta necesidad y habla por sí misma. Los incidentes de pérdida de datos, ya sea por un descuido de los empleados o a través de un ataque dirigido vía Web o correo electrónico, van en aumento.
En los últimos años, varios millones de registros de clientes que contenían datos sensibles se han perdido o han sido robados de acuerdo con autoridades como el Repositorio de Derechos de Privacidad, y muchos más que seguramente no se han reportado. Los errores de los empleados o los procesos de negocio rotos son con frecuencia factores que contribuyen a la pérdida de datos involuntaria o maliciosa. La tecnología moderna ha cambiado la cara de los negocios y ha abierto muchas oportunidades. Sin embargo, la proliferación de la información almacenada o compartida electrónicamente está probando ser el blanco de amenazas agresivas a la seguridad que se mueven rápidamente. Las empresas están conscientes de que esa información es su activo más valioso, y su pérdida puede tener consecuencias importantes. Además de esto, el cumplimiento regulatorio es una preocupación importante para muchas industrias.
Haciendo Avances Positivos
La investigación reciente (Fuente: Websense Security Labs Report) revela que
· 35% de los ataques Web maliciosos incluyen código que roba datos.
· 58% de todos los ataques de robo de datos se realizan a través de la Web.
Los ataques se están haciendo cada vez más dirigidos: a principios de este año aproximadamente 30 compañías fueron víctimas de una explotación Web a través del navegador que se dirigía específicamente a los datos sensibles. El ataque, conocido como Aurora, fue diseñado para evadir las defensas tradicionales antivirus y de reputación Web para tener acceso a los activos y la información sensible de las compañías.
No hay duda de que los números de Seguro Nacional, los detalles bancarios, los registros médicos, la presentación de quejas y cualquier otra información considerada no pública, necesitan protegerse contra la pérdida accidental o intentos maliciosos. El Estándar de Seguridad de Datos de la Industria de Tarjetas de Pago (PCI DSS), la Ley Gramm-Leach-Bliley (GLBA), la Ley de Portabilidad y Responsabilidad de Seguros de Salud (HIPAA), y la Ley Sabarnes-Oxley (SOX) existen para proteger la información de un individuo, y la Prevención de Pérdida de Datos (DLP) puede ayudar en la tarea de asegurar el cumplimiento regulatorio.
Legislaciones actualizadas como las anteriores y las nuevas políticas de varios países son sin duda pasos positivos hacia una seguridad de datos más robusta. Además de apegarse a la legislación, las empresas necesitan adoptar una estrategia DLP holística que incluya política, educación y tecnología. Por ejemplo, adoptar políticas y programas educativos ayuda a remediar los procesos de negocio rotos o riesgosos. Las consecuencias por perder datos pueden ser enormes… multas, demandas, pérdida de clientes o relaciones públicas negativas. Así que es vital que sus usuarios entiendan cómo asegurar sus datos. Además, ofrecer capacitación a los empleados puede ayudar a educar a los empleados sobre las políticas establecidas y mejorar la práctica de seguridad general.
Y los métodos basados en tecnología, como la combinación de tecnología de encriptación, IDAM y DLP con políticas y programas educativos, reducen considerablemente la pérdida de datos en una organización.
Aquí un ejemplo. De acuerdo con implementaciones reales, se estima que una organización que utiliza la tecnología y la capacitación puede reducir la pérdida de datos en 50 por ciento o más con sólo emitir notificaciones. Si un gerente sabe que sus empleados están contribuyendo a la fuga de datos, usted verá una reducción de incidentes de 10 por ciento. Si informa al empleado directamente de que es responsable de la fuga de datos, usted verá una reducción de 50 por ciento.
Inicios falsos y errores comunes
Se ha definido* DLP como “los productos que, basados en políticas centrales, identifican, monitorean y protegen datos en reposo, en movimiento y en uso a través del análisis profundo del contenido. Un plan DLP completo no significa perder tiempo haciendo lo imposible o crear políticas que afectan los procesos de negocio diarios. Las implementaciones más exitosas a menudo son resultado de un método en fases, que incorpora mejores prácticas y medidas de control.
Muchos creen que la clasificación de datos es el primer paso en DLP y un paso que (erróneamente) lleva literalmente a que todos los datos sean clasificados (incluso la información pública). Esto crea inevitablemente positivos falsos y no es una mejora al extremo opuesto de la escala donde nada se clasifica, lo que lleva a negativos falsos. El otro error sucede cuando la clasificación no es clara y todo cae dentro de una categoría de clasificación ‘predeterminada’ cuando la gente no puede decidir lo que es importante. Vimos un ejemplo de esto en una organización financiera – de forma predeterminada todo lo que contenía la palabra ‘confidencial’ se consideraba demasiado sensible para salir de la compañía. “¿Qué hay de malo con eso?” podría preguntarse. Tome en cuenta que el descargo de responsabilidad en todos los correos electrónicos de la compañía incluía la palabra ‘confidencial’, y estoy seguro de que usted identificará la dificultad de los positivos falsos que surgieron.
¿Cuál es la alternativa? La respuesta es muy simple y radica en el contexto combinado con las Políticas inteligentes dentro de una estrategia DLP completa. La capacidad de identificar con precisión los datos sensibles, donde quiera que puedan estar o dondequiera que vayan, es clave para una solución DLP.
Planeación de una Estrategia DLP Completa
Cuando se planea una estrategia DLP completa, las siguientes prácticas pueden reducir los riesgos de las amenazas maliciosas, ahorrar los costos asociados con la administración de datos y la seguridad, y ayudar a cumplir con las regulaciones.
1. Identificar, Monitorear y Proteger
Es importante identificar qué datos son confidenciales, monitorear a dónde va la información y después implementar los controles de protección para asegurar de que sólo vaya a los individuos indicados. Este paso crucial ofrece un mejor entendimiento de los procesos de negocio de una organización y, por lo tanto, permite desarrollar políticas de seguridad de datos sanas para protegerlos.
Por ejemplo, recientemente trabajamos con un importante hospital de Estados Unidos para ayudarles a auditar y monitorear los datos regulados por HIPAA. El departamento de IT del hospital se sorprendió al descubrir que las enfermeras escribían notas de los pacientes en documentos de Google usando laptops cuando daban sus rondas. Después, regresaban a la enfermería y copiaban y pegaban las notas en el sistema seguro del hospital. Las enfermeras simplemente estaban tratando de ser más eficientes en su trabajo, pero la práctica violaba las regulaciones HIPAA.
2. Control del Contenido Web y del Correo Electrónico
Implemente una solución tecnológica que pueda inspeccionar y controlar el contenido a través de la Web y el correo electrónico – sus dos principales canales de comunicación. Es cuatro veces más probable perder datos por la Web que por correo electrónico. Cuando usted envía un correo electrónico, a quienes envía esos correos la mayoría de las veces son sus colegas en el trabajo. Cuando se trata de la Web, cada transacción o comunicación está fuera de su organización. Para que un equipo de seguridad o de TI sea eficiente y exitosos protegiendo contra este tipo de pérdida de datos, también es importante buscar formas de consolidar sus protocolos de monitoreo y tener una sola vía de inspección. Por ejemplo, los gateways de seguridad Web y las soluciones de seguridad de correo electrónico necesitan estar estrechamente integradas con las tecnologías y políticas de prevención de pérdida de datos para ser efectivas, ofrecer consolidación y prevenir la pérdida de datos a través de estos canales.
3. Entender las Leyes y Regulaciones de “Dónde” Usted Hace Negocios
Es importante entender las leyes y regulaciones de datos no sólo donde reside su negocio, sino donde opera. Esto es crucial ya que operar en un país específico o estado puede someter a una organización a sus leyes, incluso si no hay una oficina presente. Por lo tanto, es importante estar al corriente del contenido en uso y el contexto, y considerar la capacidad de la solución implementada para crear esta conciencia y aplicar las políticas de datos sensibles. Por ejemplo, cuando su solución DLP identifica un incidente en un canal Web, ¿reporta a dónde se enviaron los datos (por ejemplo, el sitio Web o tipo de sitio Web)? Si usted no recibe este contexto, corre el riesgo de perder los detalles necesarios para solucionar el problema de forma efectiva y eficiente. Además una solución que le da todo el panorama ahorra tiempo y recursos cuando se determinan los pasos para la remediación.
¿A dónde va DLP a partir de aquí?
A través de la educación adecuada de los empleados, entendiendo dónde se mueven sus datos sensibles dentro de su organización – y a través de qué canales – en combinación con los procesos y la tecnología adecuados para protegerlos, las empresas pueden aumentar la seguridad dentro de su organización y cumplir con los requerimientos regulatorios para todas las áreas y regiones en las que la compañía hace negocio.
Como puede ver, la seguridad de datos completa tiene múltiples facetas, cubre todo el flujo de datos y debe considerar varios factores que requieren una administración sencilla y unificada. Con un modelo proactivo para identificar, manejar, monitorear y asegurar datos de forma inteligente, implementar la tecnología DLP puede reducir el riesgo y simplificar la tarea de asegurar el cumplimiento regulatorio.
Conforme aumenta la sofisticación de las amenazas, también debe hacerlo la tecnología que protege los datos que los cibercriminales están esforzándose por robar. El futuro de la tecnología DLP es la seguridad de contenido unificada: una solución que pueda identificar, administrar, monitorear y asegurar los datos de forma inteligente usando tecnologías de seguridad Web, correo electrónico y de datos para ofrecer la mejor seguridad contra las amenazas modernas.
Prevenga la pérdida de datos en minutos. No en días. No en semanas. No en meses.
Descargue y pruebe gratis ahora Websense DLP for Download, la tecnología de DLP líder del mercado:
http://www.websense.com/content/regional/latam/dlp-for-download-landing-es.aspx?cmpid==prnrcala