106 / 116
106
Segundo cuatrimestre 2016
artículo técnico
Privacidad y Compliance
E
l incremento de las organiza-
ciones y de sus transacciones,
operaciones, reportes y regis-
tros va de la mano del crecimiento del
volumen, complejidad y arquitectura
donde residen. Todas las entidades
guardan información sensible relacio-
nada con sus clientes y proveedores.
Y la expectativa real es que la misma
no quede disponible o desprotegida
para su divulgación accidental, robo
o mal uso.
Este impacto es valorado si existe un
análisis de riesgos previo ante sucesos
que puedan afectar la reputación y la
imagen de la organización, así como la
continuidad de negocio, sin olvidar la
posibilidad de que surjan posibles liti-
gios ante cualquier tipo de incidente
relacionado con información impor-
tante para la entidad.
A diario escuchamos o leemos noti-
cias referidas a la exposición de cuentas
de usuario y sus claves de acceso a si-
tios y servicios, correos electrónicos que
se estiman confidenciales tanto por los
involucrados como por su contenido,
bases con datos de contribuyentes y
un largo etcétera. Esto era impensa-
ble hace una década. Y no por el hecho
en sí, sino por la cantidad de veces que
ocurre. La prevención de fuga de infor-
mación es uno de los veinte controles
más críticos que deben ser considera-
dos para un efectivo aseguramiento de
la misma.
Prevención de fuga de datos
La prevención de fuga de datos (DLP,
por sus siglas en inglés) es relativa-
mente reciente en el mercado lati-
noamericano. Y si bien se observan
implementaciones completas e in-
tegrales, la gran mayoría adolece de
limitaciones en cuanto al alcance de
canales monitorizados –sólo correos
electrónicos y páginas web– y moni-
torización sobre algunos sectores de
negocio más críticos, por mencionar
las más importantes.
La DLP es una prioridad al alza para
muchas empresas, como lo vienen
demostrando las distintas encuestas
sobre seguridad de la información año
tras año. Usualmente, la DLP es utilizada
para designar productos de
software
que permiten identificar, monitorizar
y controlar qué información se puede
transferir cuando la misma está en uso,
almacenada o en movimiento, pero con
una diferencia significativa: realiza un
análisis de contenido profundo.
Una solución de DLP integral tra-
baja con un conjunto de tecnologías
que comprenden cifrado, detección
de
malware
, monitorización de ac-
ceso a información clasificada y descu-
brimiento de datos almacenados para
barrer puestos de trabajo claves, re-
positorios de almacenamiento, pun-
tos de conectividad fuera de la orga-
nización y actividad de información
crítica, según su estado.
Datos en reposo
. Escaneo en ser-
vidores o repositorios realizado por
agentes que identifican y determinan
su criticidad, permitiendo su clasifica-
ción y monitorizando su acceso.
Datos en movimiento.
Detección de
todo dato en movimiento que deja la
organización. La DLP utiliza dispositi-
vos específicos de red para un análisis
profundo, interpretando y buscando
contenidos sensibles que puedan ser
enviados a un destino no autorizado
y, consecuentemente, enviando una
alerta o procediendo a su bloqueo.
Datos en uso
. Datos que utilizan los
usuarios en sus puestos de trabajo
para realizar las tareas diarias. Esto es
efectuado por los agentes instalados
en sus dispositivos y encargados de
monitorizar y bloquear toda actividad
que viole las reglas definidas.
Daniel Bustos
Governance, Risk & Compliance Services (Softtek)
Ponente de ISACA (Capítulo Ciudad de México)
Prevención de fuga de información