25 octubre, 2012
La fuga de datos corporativa no da muestras de desaparecer, entonces ¿Las organizaciones cómo pueden controlar la oleada creciente de correos electrónicos y de dispositivos de consumo sin ahogarse en el intento?
La mayoría de estas fugas reportadas han resultado de laptops extraviadas o hurtadas, dispositivos de almacenamiento o teléfonos inteligentes – una situación empeorada por el auge de Traiga Su Propio Dispositivo (BYOD) en los últimos tres años. Los empleados usan sus propias laptops y teléfonos inteligentes para procesar correos electrónicos, almacenar archivos relacionados con el trabajo y más, lo que implica un riesgo de fuga enorme.
Los accidentes ocurrirán
Entre dispositivos perdidos y errores en los correos electrónicos. Cualquier miembro de la organización tiene el potencial de causar una fuga de datos en sólo cuestión de segundos. El personal a menudo fracasa en darse cuenta de lo que han hecho hasta que es muy tarde, cuando ya ha ocurrido el daño. Entonces, ¿las organizaciones cómo pueden prevenir que ocurran estas pérdidas y protegerse contra los errores humanos simples de extraviar un dispositivo o digitar mal una dirección de correo electrónico?
Creo que se necesita una solución de dos etapas: que eduque a los usuarios sobre sus acciones en tiempo real y que además refuerce la seguridad sin que el usuario pueda manipularla o apagarla.
Agitando el océano
Las soluciones tradicionales de prevención de pérdida de datos (DLP) han tratado de solucionar el predicamento del correo electrónico, pero con éxito limitado. Usualmente, toman largo tiempo de instalar. Semanas o incluso meses de “entrenamiento” intensivo se requieren para ayudar a la solución a clasificar datos y archivos que son únicos en cada organización. Es más: los correos electrónicos que el sistema identifica como un riesgo potencial de fuga de datos generalmente se marcan para el departamento de TI, que luego tiene que verificar con el remitente del correo electrónico antes de autorizar o bloquear el mensaje.
Ambos factores significan un gran desgaste en los recursos del personal TI. Cuando se combinan con el volumen de correos electrónicos salientes en cualquier organización el enfoque tradicional de DLP se torna inmanejable rápidamente cuando se trata de identificar uno o dos correos falsos. Equivale a intentar agitar el océano para encontrar submarinos enemigos.
La prevención es la cura
Involucrar a empleados individuales en el proceso corporativo de seguridad es el único enfoque viable para evitar incidentes de pérdida de datos. También es la única forma de convertir una solución DLP en una herramienta verdaderamente preventiva – en contraste con una herramienta reactiva.
Con el fin de aumentar la consciencia de los usuarios una solución DLP efectiva alertará al usuario antes de que envíe un correo electrónico que pueda causar un incidente de fuga de datos. Si la solución DLP detecta una fuga potencial basada en este análisis anulará la instrucción de “enviar” y presentará al usuario una alerta en una ventana para informarle de la pérdida de datos potencial y preguntarles cómo quieren proceder.
El usuario tendrá que decidir si: a) desea mandar el correo electrónico y los anexos como están o b) darse cuenta de que ha cometido un error, corregir el cuerpo del texto o remover los anexos sospechosos. También debe existir la opción para el usuario de dejar una explicación breve de por qué anuló la alerta de la solución DLP.
Los usuarios escogen
También crea un punto de decisión para el usuario estimulándole a revisar lo que planea enviar y a quién. Esto incrementa la responsabilidad del usuario y ayuda a corregir cualquier problema potencial de seguridad antes de que ocurra el incidente. Es más, involucrar al usuario en el proceso DLP reducirá la carga diaria de gestión de seguridad de personal de TI.
Solamente para sus ojos
Este procedimiento llega lejos para resolver las fugas de datos por correo electrónico. Pero un correo con documentos anexos o con archivos que contienen datos delicados aún pueden enviarse accidentalmente a la persona equivocada. Y por supuesto, está el problema de proteger los datos en los documentos una vez que dejan la red corporativa.
Lo que se necesita es un método para proteger los archivos con encripción fuerte, junto con un procedimiento para conceder el acceso a esos archivos basado en permisos del usuario. Esto permitiría los documentos en una variedad de formatos (Excel, Word, PowerPoint, Acrobat y otros) para crearlos y protegerlos, con derechos diversos asignados a usuarios o a grupos de usuarios diferentes. Una omisión básica sería garantizar que los documentos sólo puedan ser leídos por empleados autorizados.
Los documentos también se pueden compartir fuera de la organización con ciertas restricciones en su utilización y vistos en la nube (luego de que el usuario ingrese al servicio en la nube usando las credenciales importantes) o mediante un cliente seguro en el PC o en el dispositivo del usuario.
Este enfoque de administrar los datos y prevenir las pérdidas cierra los vectores de fuga de datos más comunes. Con los entes reguladores de datos que cada vez se tornan más vigilantes y refuerzan para aplicar sanciones a aquellas organizaciones que han sufrido fugas puede que sea el momento para todas las empresas – especialmente aquellos que tienen datos de clientes – de considerar el valor de una solución DLP dentro de su organización. Después de todo, siempre es mejor la prevención – y más barata – que el remedio.
Por Enrique Navarrete
Gerente para México de Check Point Software Technologies.
