Qué es la prevención de pérdida de datos?

La prevención de pérdida de datos (DLP), también conocida como prevención de filtración de datos o protección contra pérdida de datos, es una técnica que evita que los datos corporativos sensibles salgan de la compañía a causa de la negligencia de un usuario, manipulación errónea de datos o intenciones maliciosas. Las tecnologías DLP refuerzan las políticas de manipulación de datos permitiendo o bloqueando el acceso a datos y transfiriendo operaciones basadas en un conjunto de reglas de seguridad predefinidas. 

Los datos pueden salir de la compañía mediante dos grupos de canales: canales locales (por ej., dispositivos periféricos, tales como impresoras y dispositivos USB) y canales basados en red (por ej., correos electrónicos, web y redes sociales). A pesar de que las soluciones DLP supervisan únicamente la comunicación de red, lo mejor es supervisar los canales locales y de redes para garantizar una prevención óptima contra la pérdida de datos.

Para proteger los datos digitales en sus tres estados fundamentales, las soluciones DLP implementan tres tipos funcionales para resguardar datos en uso, los datos en movimiento y los datos en reposo. 

El DLP para los datos en uso (DIU) controla el acceso y operaciones de transferencia en canales locales, unidades periféricas y aplicaciones en ordenadores terminales (endpoint), incluido almacenamiento extraíble, fijo y redirigido, portapapeles, impresora y capturas de pantalla.

El DLP de datos en movimiento (DIM) evita la filtración de datos a través de comunicaciones por red, como correo electrónico, webmail, mensajería instantánea, redes sociales, intercambio de archivos P2P y basados en la nube, como también los protocolos HTTP(S), FTP(S) y SMB.

El DLP de datos en reposo (DAR) descubre contenido confidencial expuesto en los datos almacenados en activos informáticos, como intercambios de archivo y NAS, sistemas de archivos de punto final, bases de datos, repositorios de documentos y almacenamiento basado en la nube. Si los datos no protegidos están en el lugar incorrecto, el DLP de datos en reposo (DAR) puede iniciar automáticamente diversas acciones de rectificación para prevenir el acceso no controlado a estos datos y su exfiltración. 

Los sistemas DLP emplean métodos contextuales y basados en contenido para evitar filtraciones de datos.  

• Los controles contextuales le permiten gestionar las operaciones de datos de conformidad con los atributos de contexto (factores ambientales) presentes en las operaciones, tales como usuarios involucrados, canales utilizados, tipo de los datos a los que se tiene acceso o que se transfieren, dirección de flujo o fecha y hora.
• Los controles basados en contenido le permiten supervisar operaciones en función de la información real (datos) a la cual se tiene acceso o se transfiere.

Existen muchas maneras mediante las cuales pueden ocurrir filtraciones de datos: de forma local a través de dispositivos periféricos y puertos, como impresoras y unidades USB, así como través de la red por correo electrónico, redes sociales, mensajería instantánea o intercambio de archivos en la nube. Si bien algunas operaciones de acceso y transferencia de datos son legítimas, aún necesitan de una protección rigurosa para garantizar que no ocurra una filtración imprevista a causa de la negligencia de un usuario. Otros amenazan con compartir datos sensibles con terceros no autorizados y se les debe bloquear completamente.

Si los datos sensibles terminan en las manos de terceros no autorizados, tal incidencia podría originar lo siguiente:  

Pérdida de su propiedad intelectual (IP)

Su organización gestiona y almacena datos comerciales de alta sensibilidad que logran que su compañía, productos y servicios se diferencien en el mercado. Estos incluyen información financiera, datos de clientes, información de investigación y desarrollo, secretos de marca y comerciales, patentes, fórmulas, recetas, diseños, código de software, algoritmos de búsqueda y así sucesivamente. Toda esta información siempre debe permanecer resguardada. Si llegasen a filtrarse o perderse, podría afectar el éxito y la posición competitiva de su empresa en el mercado.

Incumplimiento de los requerimientos normativos

Su empresa preserva una riqueza en cuanto a información sobre sus clientes y prospectos. Por ejemplo, si el suyo es un negocio B2C (empresa al consumidor), gran parte de los datos del consumidor que usted conserva son privados, independiente de que sea Información personalmente identificable (PII), PCI (información de tarjeta) e Información protegida de salud (PHI); todos estos datos deben tener protección contra ojos entrometidos.

Si su negocio está sujeto a requerimientos normativos, tal como el Reglamento General de Protección de Datos (GDPR), Ley de Privacidad del Consumidor de California (CCPA), Estándar de Seguridad de Datos Industriales de Tarjeta de Pago (PCI DSS) y la Ley de Transferibilidad y Responsabilidad del Seguro de Salud (HIPAA); las sanciones de cumplimiento y costos de investigación/rectificación pueden ser importantes si usted sufre una filtración o violación de datos.

Daño a la marca

Además de las multas por incumplimiento y los costos de rectificación, una filtración de datos podría obligarle a la compensación de los clientes afectados y/o en el peor escenario, los clientes podrían decidir DEJAR de hacer negocios con usted. Esto puede repercutir en la reputación de su marca y en última instancia, en sus ingresos a futuro.

Mejores prácticas de prevención de pérdida de datos

Para implementar una solución DLP, usted debería seguir las mejores prácticas que se recomiendan a continuación.

1. Identificar qué activos deben resguardarse contra la filtración. Este es un primer paso importante, ya que son varias las organizaciones que no cuentan con un listado de sus activos de información. 
2. Clasificar datos por niveles o categorías según lo que sea de carácter sensible y personal y lo que no. Usted puede usar el software de clasificación de datos para ayudar en esta iniciativa.
3. Analizar sus operaciones para definir los flujos de datos que son necesarios para la empresa y aquellos que no lo son. Cada flujo de datos de una empresa utilizado en la organización debe especificarse, anotando su remitente (o fuente), su destinatario (o destino), el canal de datos utilizado y la clasificación de los datos que fluyen en lo que respecta a las categorías funcionales permitidas y las susceptibilidades. La descripción conjunta de todas las reglas de flujo de datos empresariales en la organización constituye su política de prevención de pérdida de datos. Al determinarse totalmente, la política DLP organizativa se emplea como criterio de autorización al aplicar los controles DLP sobre las operaciones de transferencia de datos en ordenadores terminales protegidos: si una operación controlada coincide con cualquiera de las reglas de flujo de datos permitidas en la política, se le considera legítima y, por tanto, tiene autorización para proceder. Sin embargo, cualquier operación controlada que coincida con una norma prohibitiva en la política o que no coincida con ninguna de las normas establecidas, queda sin autorización y debe bloquearse como una filtración potencial de datos. 
4. Administrar el sistema en una pequeña porción de la organización para probar su funcionamiento y garantizar que no existan problemas o interrupciones en el proceso comercial.
5. Extender la implementación en todo el entorno de producción.
6. A medida que se incorporan nuevas unidades, organizaciones o procesos en la empresa, se debe definir e incluir en la política DLP dichas reglas de flujo de datos necesarias para realizar y proteger nuevas operaciones empresariales importantes.
7. Las excepciones a la política DLP deben gestionarse sobre una base continua. Puede gestionar excepciones al configurar el sistema para que alerte al funcionario de seguridad en tiempo real por motivos de aprobación o hacer que el funcionario de seguridad analice la operación luego del suceso para determinar si fue algo justificado o de índole maliciosa.  

Las fugas de datos corresponden a una violación de seguridad en la cual datos confidenciales, sensibles o protegidos se divulgan de manera accidental o deliberada en un entorno no seguro o hacia usuarios sin autorización, dentro o fuera de la organización. La Figura 2 exhibe las causas de las filtraciones de datos, posicionando a las filtraciones cometidas por individuos internos en el puesto n.º 1, tras los ciberataques y errores de sistema. Estos son algunas de las demás estadísticas que demuestran con claridad los riesgos de datos asociados a filtraciones maliciosas o accidentales cometidas por actores internos.

• 90% de las organizaciones se sienten vulnerables ante amenazas internas.
• 53% de los afectados informan haber experimentado un ataque interno en los últimos 12 meses.
• 72% de los empleados comparten información de carácter sensible, confidencial o reglamentada por la compañía.
• 45% de los empleados que compartieron accidentalmente información la enviaron a la persona equivocada.
• 35% de los empleados han compartido información de la cual no tenían conocimiento de su naturaleza sensible. 

Independiente del tamaño, cada compañía y organización requiere mantener la información corporativa sensible en privado. Los ejemplos de información corporativa sensible contemplan secretos comerciales, planes de fusión y adquisición, base de datos de clientes, información financiera y actividades de desarrollo de producto planificadas. Si esta información llegase a filtrarse, su organización puede padecer graves consecuencias, perder ingresos y su posición competitiva en el mercado, incluso caer en la quiebra.

Del mismo modo, cualquier organización que se desempeñe en una industria altamente normada, como el gobierno, atención médica y servicios financieros, y que tenga información personalmente identificable (PII), PCI (información de tarjeta), información de salud protegida (PHI) o cualquier información de consumidor que esté sujeta a requerimientos de seguridad o privacidad en virtud de las normas de gobierno o la industria, requiere de una solución DLP.

Acronis DeviceLock DLP es una solución de prevención contra la pérdida de datos de endpoint que reduce drásticamente el riesgo de filtraciones de datos asociadas a un ataque interno. Aplica controles contextuales detallados junto con análisis de contenido y filtrado para bloquear o permitir el acceso a los datos y operaciones de transferencia. Para garantizar la protección exhaustiva de los datos sensibles en uso, en movimiento y en reposo, Acronis DeviceLock DLP proporciona un conjunto amplio de funciones que disminuyen en gran medida los riesgos asociados a filtraciones de datos y respaldan la auditoría de seguridad de la información y los esfuerzos de cumplimiento. Acronis DeviceLock DLP se conforma de diversos componentes de función específica incorporados, permitiendo a los clientes elegir la mejor configuración considerando sus requerimientos de seguridad y presupuesto. 

Con Acronis DeviceLock DLP, usted puede:  

Reducir las amenazas internas. Evitar la filtración de datos a causa de la negligencia de los empleados o infiltrados maliciosos bloqueando cualquier intento de acceder o transferir datos.

Obtener visibilidad dentro de la protección de datos. Reducir la complejidad de la protección de datos utilizando una única solución para una visibilidad rigurosa respecto de los flujos de datos y la conducta del usuario. Reducir los tiempos de informe gracias a potentes herramientas de información incorporadas.

Hacer valer el cumplimiento del proceso. Minimizar los riesgos de seguridad de la información y cumplir con los estándares y normas de seguridad informática mediante la aplicación de las políticas de uso y manipulación de datos que los usuarios no puedan pasar por alto.

Detener las filtraciones de datos en la fuente y fortalecer el cumplimiento normativo mediante el uso de Acronis DeviceLock DLP, un DLP de endpoint muy fácil de aprender, implementar y gestionar.