El pasado Jueves 3 de Mayo, se llevó a cabo el 6to Security Chat & Beers, en donde expertos en seguridad discutieron la problemática de la fuga de información en las organizaciones.
Cada vez que se habla de un proceso de manejo de información, la parte más débil del proceso hace referencia siempre al factor humano. Sin embargo, en lo referente a protección de los datos, o su contraparte, la fuga de los mismos, existen un sinfín de casos en donde se observa que el factor humano en la cadena de procesos es el más crítico y es ahí en donde los expertos de seguridad intentan enfocar nuestros esfuerzos.
Cualquier persona que esté manejando información, lo hace a través de un dispositivo, ya sea para su procesamiento, almacenamiento o transporte. Siempre existen dispositivos involucrados en medio. Debido a esto, se pueden establecer cuáles son los puntos en donde los dispositivos también se convierten en riesgos al momento de manejar datos sensibles de la organización.
Notebooks, Pendrives y Smartphones
Según la discusión realizada ante la pregunta “¿Cuáles son los dispositivos con mayor potencial de fuga de información?”, los expertos del grupo de Security Chat & Beers (Charlas de Seguridad y Cervezas) pudieron llegar a la conclusión de que la respuesta depende directamente al tipo de información que el dispositivo maneja. Si se toma el caso de los datos sensibles que pudieran estar alojados dentro de los correos electrónicos, los teléfonos celulares inteligentes se llevan ampliamente el puesto número uno. En cambio, cuando los datos sensibles son, por ejemplo, hojas de cálculo, las notebooks son las que lideran el podio. Esto se debe a la comodidad que tiene uno u otro dispositivo a la hora de manejar los datos (no es muy cómodo manejar una planilla de Excel desde un Smartphone). En medio de esta disputa de primeros puestos, quedan los pendrives, los cuales tienen capacidades de almacenamiento astronómicas en un espacio tan chico que es demasiado fácil de extraviar. Inclusive, en materia de robo o extravío, los teléfonos celulares vuelven a tomar el primer puesto a nivel de fuga de información sensible, perdiendo el control de la información, muchas veces sin posibilidades de establecer una política de contraseñas fuerte en el dispositivo o capacidades de borrado remoto del mismo. Sin embargo, no se pierden de vista las notebooks, en donde la cantidad de información es mucho mayor que a la de cualquier Smartphone. Inclusive se han arrojado sobre la mesa casos de robo de equipos a nivel corporativos que distan mucho de ser meros robos al azar.
En vista de los usuarios
Las personas son independientes de los dispositivos que utilizan y en mayor parte, son responsables de la información que manejan en dichos dispositivos. En base a esta observación, los presentes en el Security Chat & Beers (SC&B) pudieron consensuar que la gran mayoría de las personas no puede percibir el valor real de la información que manejan. Esto puede deberse en parte al “acostumbramiento” que tienen las personas al nivel de información que manejan. Debido a esto, la información parece perder valor y cuando la pérdida ocurre, difícilmente sea debidamente reportada. Adicionalmente a esto, las empresas parecen no tener un procedimiento de cómo actuar ante la fuga de información que es ocasionada de forma involuntaria sumado al hecho que actualmente en Argentina no existe un marco legal que obligue a las empresas a hacer pública su perdida y el grado de alcance de la misma (cosa que sí es obligatoria en Estados Unidos).
Cuando el accidente no es accidente
La fuga de información se puede pensar de dos modos: forma intencionada o involuntaria. ¿Qué pasa cuando el robo es algo intencionado por las personas en las cuales se ha confiado el uso de esta información? El robo de la información es algo sumamente sutil, en donde sólo por el tipo de información es identificable el responsable de dicha fuga, hasta casos en donde resulta tan burdo el robo como que alguien abra a la fuerza un gabinete y robe el disco del mismo, obviamente robando también CPU y memorias para tratar de “disimular” el robo de información con un simple robo de equipamiento. Desde cámaras de vigilancia hasta software de inventariado surgieron como casos para tratar de entorpecer el robo de la información. Sin embargo, en este punto los pendrives se llevan el primer puesto en el robo de datos. Al parecer, el personal que no se encuentra muy contento con su trabajo, tiene ciertos recaudos a la hora de llevarse información, no lo harán a través del correo provisto por la empresa, ni tampoco a través de servicios Web (ya sean servicios como Dropbox o Webmails) por la conciencia que existe acerca de los métodos de control de contenidos en el correo corporativo y servicios perimetrales como pueden ser el FTP o HTTP.
Muchos de los administradores que estuvieron en la mesa de SC&B, luchan contra este tipo de fuga bloqueando los USBs de los equipos o implementando herramientas de DLP, pero ninguno de los presentes puede asegurar una eficacia del 100%. De esto también se trata la prevención de la fuga. Nadie en su sano juicio puede asegurar que el 100% de los intentos de fuga serán prevenidos, y tampoco nadie se pone como objetivo ese número, lo que sí tiene que ser un objetivo de los dueños de la información es la de tener una política de uso adecuada de la misma, la capacitación y concientización de los usuarios y la posibilidad de tener herramientas que le brinden información al menos de los intentos de robo de datos, de modo de poder tener al menos una buena cantidad de eventos y elementos forenses que permitan rápidamente enlazar un evento de fuga con un responsable directo.
Conclusiones
Es evidente que la fuga de información, o la falta de control sobre la exposición de los datos de las empresas, es un tópico sobre el cual hay mucho para hacer. Pero todos los expertos de SC&B estuvieron de acuerdo en que el primer paso para una eficaz política de prevención de fuga de información es indudablemente actuar sobre el individuo, realizando tareas de concientización del uso de la información. De esta manera se podría actuar sobre la percepción de las personas acerca del valor de la información y sobre todo sobre las responsabilidades sobre la misma.
Cualquier persona que esté manejando información, lo hace a través de un dispositivo, ya sea para su procesamiento, almacenamiento o transporte. Siempre existen dispositivos involucrados en medio. Debido a esto, se pueden establecer cuáles son los puntos en donde los dispositivos también se convierten en riesgos al momento de manejar datos sensibles de la organización.
Notebooks, Pendrives y Smartphones
Según la discusión realizada ante la pregunta “¿Cuáles son los dispositivos con mayor potencial de fuga de información?”, los expertos del grupo de Security Chat & Beers (Charlas de Seguridad y Cervezas) pudieron llegar a la conclusión de que la respuesta depende directamente al tipo de información que el dispositivo maneja. Si se toma el caso de los datos sensibles que pudieran estar alojados dentro de los correos electrónicos, los teléfonos celulares inteligentes se llevan ampliamente el puesto número uno. En cambio, cuando los datos sensibles son, por ejemplo, hojas de cálculo, las notebooks son las que lideran el podio. Esto se debe a la comodidad que tiene uno u otro dispositivo a la hora de manejar los datos (no es muy cómodo manejar una planilla de Excel desde un Smartphone). En medio de esta disputa de primeros puestos, quedan los pendrives, los cuales tienen capacidades de almacenamiento astronómicas en un espacio tan chico que es demasiado fácil de extraviar. Inclusive, en materia de robo o extravío, los teléfonos celulares vuelven a tomar el primer puesto a nivel de fuga de información sensible, perdiendo el control de la información, muchas veces sin posibilidades de establecer una política de contraseñas fuerte en el dispositivo o capacidades de borrado remoto del mismo. Sin embargo, no se pierden de vista las notebooks, en donde la cantidad de información es mucho mayor que a la de cualquier Smartphone. Inclusive se han arrojado sobre la mesa casos de robo de equipos a nivel corporativos que distan mucho de ser meros robos al azar.
En vista de los usuarios
Las personas son independientes de los dispositivos que utilizan y en mayor parte, son responsables de la información que manejan en dichos dispositivos. En base a esta observación, los presentes en el Security Chat & Beers (SC&B) pudieron consensuar que la gran mayoría de las personas no puede percibir el valor real de la información que manejan. Esto puede deberse en parte al “acostumbramiento” que tienen las personas al nivel de información que manejan. Debido a esto, la información parece perder valor y cuando la pérdida ocurre, difícilmente sea debidamente reportada. Adicionalmente a esto, las empresas parecen no tener un procedimiento de cómo actuar ante la fuga de información que es ocasionada de forma involuntaria sumado al hecho que actualmente en Argentina no existe un marco legal que obligue a las empresas a hacer pública su perdida y el grado de alcance de la misma (cosa que sí es obligatoria en Estados Unidos).
Cuando el accidente no es accidente
La fuga de información se puede pensar de dos modos: forma intencionada o involuntaria. ¿Qué pasa cuando el robo es algo intencionado por las personas en las cuales se ha confiado el uso de esta información? El robo de la información es algo sumamente sutil, en donde sólo por el tipo de información es identificable el responsable de dicha fuga, hasta casos en donde resulta tan burdo el robo como que alguien abra a la fuerza un gabinete y robe el disco del mismo, obviamente robando también CPU y memorias para tratar de “disimular” el robo de información con un simple robo de equipamiento. Desde cámaras de vigilancia hasta software de inventariado surgieron como casos para tratar de entorpecer el robo de la información. Sin embargo, en este punto los pendrives se llevan el primer puesto en el robo de datos. Al parecer, el personal que no se encuentra muy contento con su trabajo, tiene ciertos recaudos a la hora de llevarse información, no lo harán a través del correo provisto por la empresa, ni tampoco a través de servicios Web (ya sean servicios como Dropbox o Webmails) por la conciencia que existe acerca de los métodos de control de contenidos en el correo corporativo y servicios perimetrales como pueden ser el FTP o HTTP.
Muchos de los administradores que estuvieron en la mesa de SC&B, luchan contra este tipo de fuga bloqueando los USBs de los equipos o implementando herramientas de DLP, pero ninguno de los presentes puede asegurar una eficacia del 100%. De esto también se trata la prevención de la fuga. Nadie en su sano juicio puede asegurar que el 100% de los intentos de fuga serán prevenidos, y tampoco nadie se pone como objetivo ese número, lo que sí tiene que ser un objetivo de los dueños de la información es la de tener una política de uso adecuada de la misma, la capacitación y concientización de los usuarios y la posibilidad de tener herramientas que le brinden información al menos de los intentos de robo de datos, de modo de poder tener al menos una buena cantidad de eventos y elementos forenses que permitan rápidamente enlazar un evento de fuga con un responsable directo.
Conclusiones
Es evidente que la fuga de información, o la falta de control sobre la exposición de los datos de las empresas, es un tópico sobre el cual hay mucho para hacer. Pero todos los expertos de SC&B estuvieron de acuerdo en que el primer paso para una eficaz política de prevención de fuga de información es indudablemente actuar sobre el individuo, realizando tareas de concientización del uso de la información. De esta manera se podría actuar sobre la percepción de las personas acerca del valor de la información y sobre todo sobre las responsabilidades sobre la misma.
Fuente: diariodecuyo.com.ar
No hay comentarios:
Publicar un comentario