Que es la seguridad de los datos? Guia para proteger los datos empresariales

Introduccion a la seguridad de datos

Las empresas continuan la transicion de los metodos tradicionales de gestion de datos al software digital para ampliar la capacidad de almacenamiento y la accesibilidad. Si bien esto mejora significativamente la eficiencia operativa, tambien introduce un conjunto completamente nuevo de amenazas a la seguridad internas y externas. Las empresas que no practican la seguridad de los datos a menudo son victimas de ciberataques daninos, tanto pequenas como grandes organizaciones por igual.

De hecho, los estudios encontraron que el 43% de los ciberataques se dirigen a las pequenas empresas. Esto puede dar lugar a filtraciones, robos y manipulaciones de datos que danan la reputacion de la empresa para clientes y socios. Para evitar las repercusiones de los ciberataques, los propietarios deben invertir en multiples tecnologias de seguridad de datos que supervisen activamente los sistemas.

Que es la seguridad de datos?

La seguridad de los datos es la practica de proteger la informacion critica de amenazas internas y externas. Incluye varias practicas de ciberseguridad para proteger la informacion empresarial de violaciones de datos, usuarios no autorizados y malware. Sin seguridad de los datos, las empresas pueden experimentar datos robados, filtrados y manipulados. Como resultado, el negocio puede sufrir una reputacion danada, perdiendo la confianza de sus socios y clientes.

Si bien la seguridad de los datos siempre ha sido una preocupacion para las empresas, los propietarios invierten continuamente en medidas de seguridad para sus soluciones digitales. Herramientas de gestion automatizadas y las bases de datos tienen sus propias amenazas de seguridad unicas que requieren restricciones adicionales y practicas de gobernanza. Sin tomar las precauciones adecuadas, las empresas pueden quedar sujetas a hackers que pueden identificar debilidades dentro del firewall.

La mayoria de las empresas modernas utilizan bases de datos para almacenar su informacion financiera, asociada, operativa y otra informacion critica. Sin embargo, las empresas tienen mucho mas que sus propios datos que proteger. Tienen que proteger los datos confidenciales de los clientes, como su informacion personal y de facturacion. Diferentes organizaciones pueden requerir diferentes formas de seguridad, dependiendo de su tamano y datos, ya que cada sector tiene regulaciones unicas.

Las empresas que no tienen una infraestructura solida para retener herramientas de seguridad pueden necesitar someterse a una transformacion digital. De lo contrario, la implementacion de herramientas sofisticadas en una estructura debil puede crear un mal funcionamiento del sistema. Por lo tanto, los propietarios deben analizar sus precauciones de seguridad actuales para determinar como pueden mejorar sus medidas de seguridad generales.

Normativa de cumplimiento de seguridad de datos

Cada sector tiene su propio conjunto de regulaciones de cumplimiento de la seguridad de datos que todas las empresas deben cumplir. De lo contrario, las empresas que no cumplen las normas pueden aumentar los riesgos, acumular honorarios e incluso enfrentar repercusiones legales. Sin embargo, algunas restricciones son dificiles de entender para los propietarios, y muchas terminan incumpliendo erroneamente. Por lo tanto, los propietarios deben tomarse el tiempo necesario para revisar las regulaciones aplicables a su negocio.

Reglamento General de Proteccion de Datos

El Reglamento General de Proteccion de Datos (RGPD) es la ley de privacidad de datos de la Union Europea establecida en 2016. Esta regla protege los datos de los clientes al restringir la forma en que las empresas nacionales e internacionales pueden administrar, almacenar y procesar datos. El RGPD exige a las empresas que manejan informacion confidencial que implementen medidas de seguridad adecuadas, incluido el consentimiento del cliente. Despues de recibir la aprobacion, las organizaciones tienen que cifrar los datos para ocultar la identidad del propietario en caso de una infraccion.

Ley de Portabilidad y Responsabilidad de Seguros

La Ley de Portabilidad y Responsabilidad de Seguros Medicos (HIPAA) es la regulacion de datos de los Estados Unidos que protege la informacion medica electronica de los pacientes. Originalmente aprobado en 1996, HIPAA controla como las empresas gestionan los datos de salud para prevenir fraudes y robos. Esto incluye como las instituciones de seguros cobran a los pacientes por diversos servicios medicos.

Ley Sarbanes-Oxley

La Ley Sarbanes-Oxley (SOX) protege a los inversores corporativos contra el fraude financiero y el robo. Creado en 2002 como respuesta a los escandalos contables corporativos, SOX aumenta la penalizacion por informes financieros fraudulentos. Esto incluye informacion financiera incompleta, inexacta y alterada. Las empresas publicas y algunas organizaciones privadas deben respetar las SOX y revelar informacion financiera durante las auditorias externas.

Ley Federal de Gestion de Seguridad de la Informacion

La Ley Federal de Gestion de Seguridad de la Informacion (FISMA) estandariza la forma en que las agencias estadounidenses practican la gestion de datos. Aprobada en 2002, FISMA exige que las agencias federales y los subcontratistas privados sigan las politicas de seguridad de los datos. Tambien deben someterse a estrictos procedimientos de auditoria para asegurarse de que se ajustan a cada reglamento de informacion.

Riesgos para la seguridad

Las empresas se enfrentan regularmente a varios tipos diferentes de riesgos para la seguridad de los datos que deben aprender a mitigar.

Exposicion accidental

Aunque muchas personas solo escuchan de ataques de ciberseguridad contra corporaciones, muchas fugas de datos son el resultado de una exposicion accidental. Si un empleado concede acceso, comparte o maneja incorrectamente los datos criticos, puede estar ignorando las politicas sin saberlo. Esto es a menudo el resultado de una capacitacion inadecuada, sistemas no conformes y falta de practicas de prevencion de perdida de datos. Las empresas deben invertir en talleres de capacitacion exhaustivos, controles de acceso a datos y tecnologia de seguridad para evitar la exposicion accidental.

Ataques de phishing e ingenieria social

El phishing y otros ataques de ingenieria social son metodos comunes que utilizan los hackers para obtener acceso a datos criticos. En lugar de encontrar debilidades en el firewall, estos se dirigen a empleados ingenuos. Los atacantes manipulan a los trabajadores para que filtren informacion confidencial o concedan acceso a cuentas privadas.

Mientras que a veces el phisher es desconocido, otras veces actuan como si fueran una fuente de confianza. Despues de obtener la informacion o incluso un enlace privado, a veces el atacante puede hacerse cargo del dispositivo del empleado o de la red de la empresa. La formacion adecuada es la mejor manera de informar a los trabajadores de estas estafas y prevenir los hacks.

Amenaza interna

Las amenazas internas, tambien conocidas como amenazas internas, se refieren a los empleados que amenazan la seguridad de los datos, independientemente de que se den cuenta o no. En terminos generales, hay tres tipos de amenazas internas.

• Insiders no maliciosos son empleados que comprometen la seguridad de los datos por accidente porque desconocen o ignoran las precauciones.

• Insiders maliciosos son trabajadores que tratan activamente de robar informacion y danar el negocio.

• Insiders comprometidos son empleados que los hackers utilizan, sin su conocimiento, para hackear el sistema de datos. Esto permite al atacante externo poner en peligro el negocio bajo la apariencia de un usuario autorizado.
  

Ransomware y malware

El ransomware y el malware infectan los dispositivos para cifrar datos, lo que hace imposible que las empresas recuperen informacion con la clave de descifrado. Normalmente, los hackers mostraran un mensaje en la pantalla del usuario que solicita el pago para recuperar los datos.

Sin embargo, incluso si la compania decide pagar al atacante, muchas veces, los datos ya se pierden. El software malicioso sofisticado puede propagarse rapidamente a traves de los dispositivos de la empresa e incluso infectar la red. Por lo tanto, las empresas necesitan mantener copias de seguridad programadas en una base de datos segura.

Perdida de datos en

Cada vez son mas las empresas que dejan atras sus sistemas heredados para que el software basado en la nube mejore la capacidad de almacenamiento y la accesibilidad. Sin embargo, esta tecnologia viene con sus propios riesgos internos y externos.

La perdida de datos en la nube es mas dificil de prevenir, ya que el proveedor de servicios normalmente almacena la informacion fuera del negocio. Los empleados tambien pueden descargar datos en varios dispositivos, creando vulnerabilidades adicionales. Los propietarios deben hablar con sus proveedores para discutir sus medidas de seguridad en la nube y practicas de gestion de datos.

Soluciones y tecnicas comunes de seguridad de datos

Existen numerosas tecnologias y tecnicas de seguridad de datos que las organizaciones pueden utilizar para proteger su informacion confidencial. Sin embargo, los propietarios deben recordar que ninguna de las practicas puede mitigar todos los riesgos de ciberseguridad. Por lo tanto, los propietarios necesitan combinar multiples tecnicas para proteger adecuadamente su negocio.

Deteccion y clasificacion de datos

Las empresas que utilizan sistemas de administracion automatizados almacenan sus datos en servidores, varios endpoints y software en la nube. Esto a veces puede limitar la visibilidad del departamento de TI sobre el flujo de datos y su capacidad para acceder a riesgos. Por lo tanto, las empresas necesitan herramientas de descubrimiento y clasificacion de datos para determinar como pueden proteger adecuadamente su informacion.

El descubrimiento o deteccion de datos se refiere al esquema de donde almacena los datos de la empresa, como los utilizan y cuando. La clasificacion de datos clasifica la informacion para que los desarrolladores puedan crear soluciones de seguridad para los datos mas confidenciales. Al combinar el descubrimiento y la clasificacion de datos, los propietarios pueden visualizar como la informacion puede viajar de forma segura a traves de la organizacion.

Enmascaramiento de datos

El enmascaramiento de datos es cuando las empresas crean un modelo de sus datos para que puedan probar diferentes software y capacitacion. De esta manera, las empresas pueden encontrar una medida de seguridad alternativa mientras protegen los datos en tiempo real. Mientras que el enmascaramiento de datos conserva el tipo de datos, cambia el valor. Por ejemplo, los datos pueden ser objeto de cifrado, mezcla de caracteres y sustitucion de metricas. Sin embargo, los administradores de TI no pueden revertir estos cambios, por lo que deben considerar cuidadosamente cada opcion.

Administracion de acceso a identidades

Identity Access Management (IAM) es un marco de negocio tecnico que permite a las empresas organizar y mantener sus identidades digitales. En otras palabras, IAM permite a los administradores de TI regular el acceso de los usuarios en torno a datos confidenciales. Los sistemas que utilizan IAM incluyen.

• Sistemas de inicio de sesion unico

• Autentificacion de dos factores

• Autenticacion multifactor

• Administracion de accesos privilegiados
  

cifrado de datos

El cifrado de datos es quizas la herramienta mas comun que utilizan las empresas para convertir informacion en un formato ilegible. Este formato ilegible, tambien conocido como texto cifrado, permite a los empleados transferir y compartir datos de forma segura. El destinatario debe tener la clave de descifrado para decodificar y leer la informacion.

Sin embargo, las empresas que utilizan tecnicas de cifrado de clave publica no necesitan compartir la clave, ya que cada usuario ya tiene una. Con el cifrado de datos, las empresas pueden evitar que los atacantes roben y utilicen datos criticos.

Prevencion de perdida de datos

La prevencion de perdida de datos (DLP) viene en muchas formas, desde software hasta sistemas de recuperacion de datos. Muchas empresas realizan multiples copias digitales de datos en caso de desastres naturales, mal funcionamiento del sistema y ciberataques. Los administradores de TI organizan esta redundancia fisica mediante el uso de centros de datos locales para replicar y almacenar datasets en un sitio remoto.

Los propietarios tambien pueden implementar software DLP que automatiza el analisis de contenido para definir datos confidenciales y activar la proteccion. Al etiquetar informacion confidencial, el sistema detecta cada vez que los usuarios leen, comparten o editan los datos. El software puede incluso detectar actividades sospechosas y alertar a los gerentes cuando los atacantes intentan una infraccion.

Gobernanza, Riesgo y Cumplimiento

Gobierno, riesgo y cumplimiento (GRC) es una extensa metodologia que la mayoria de las organizaciones utilizan para mejorar el cumplimiento y la seguridad de sus datos.

• Gobernanza hace referencia a los controles y politicas que los propietarios aplican en toda la empresa para seguir cumpliendo las normas.

• Riesgo se refiere a las amenazas a la ciberseguridad que las empresas deben analizar para desarrollar las precauciones de seguridad adecuadas.

• Cumplimiento asegura que las empresas sigan las directrices de regulacion del sector en relacion con la gestion de datos, el procesamiento y la accesibilidad
  

Higiene contrasena

La higiene de contrasenas es una practica que garantiza que las contrasenas de los usuarios sean unicas y solidas. Sin higiene de contrasenas, muchos empleados elegiran la misma contrasena para cada cuenta que sea facilmente adivinable. Los hackers pueden usar la pulverizacion de contrasenas para entrar en cuentas con contrasenas debiles.

Para evitar esto, muchas empresas requieren que los empleados alargen sus contrasenas y agreguen caracteres o numeros especiales. Sin embargo, como muchos usuarios tienden a utilizar los mismos numeros y simbolos especiales, algunas organizaciones tambien usan autenticacion multifactor. Esta practica requiere que los usuarios se identifiquen mas a traves de diversas medidas, entre ellas.

• Responder a preguntas

• Autentificacion biometrica

• Enviar un codigo a un dispositivo adicional
  

Autentificacion

Los metodos de autenticacion y autorizacion verifican que los usuarios intentan introducir bases de datos antes de concederles acceso. Aunque muchas empresas utilizan la autenticacion multifactor para usuarios externos, tambien deben practicarla internamente. Los administradores de TI deberian incluso restringir la accesibilidad de los empleados a los datos que les sean relevantes.

En otras palabras, los contables solo deben poder ver informacion financiera y no las citas de clientes y los datos personales. No solo es inutil la accesibilidad completa para todos los empleados, sino que tambien aumenta las vulnerabilidades de la empresa ante las amenazas. Los supervisores deben realizar auditorias periodicas para reforzar los permisos y autorizaciones innecesarias.

Auditorias de seguridad de datos

La empresa promedio debe realizar auditorias de seguridad de datos al menos cada dos meses. Al realizar auditorias periodicas, los propietarios pueden identificar lagunas y debilidades dentro de sus medidas de seguridad. Sin embargo, conviene a una empresa utilizar un auditor externo para asegurarse de que el analisis sea objetivo y preciso. Los propietarios pueden realizar una auditoria interna ademas de la comprobacion externa, pero no deberia ser la unica practica.

Proteccion antivirus

Los ciberataques mas comunes que experimentan las empresas vienen en forma de malware o virus. Esto requiere que los administradores de TI protejan todos los puntos finales de usuario en las estaciones de trabajo, los dispositivos de los empleados, los servidores de red y los sistemas en la nube. Ademas del software antivirus tradicional, muchas organizaciones utilizan plataformas de proteccion de endpoints (EPP) para protegerse contra malware de dia cero.

Estos tipos de ataques no requieren archivos u otros signos detectables, lo que dificulta la mitigacion de las empresas. EDP utiliza tecnologia de aprendizaje automatico para identificar y responder rapidamente a los ataques de malware, evitando complicaciones tecnicas mas grandes.