DLP, o cómo prevenir la fuga de datos
- Reportajes
Las soluciones DLP, o Data Loss Prevention, ayudan a proteger los datos de las empresas. Pueden ayudar a detectar y prevenir violaciones de las políticas corporativas tanto en el uso, como en el almacenamiento y transmisión de los datos sensibles.
Hoy los cibercriminales son más sofisticados, organizados y están mejor financiados que nunca. Todas las empresas, de todos los sectores, se enfrentan a la amenaza del robo de sus datos. Según datos de Gartner, el 50% de las organizaciones ya tienen implementada alguna forma de DLP integrada, una cifra que casi se duplicará hasta el 90% para 2018.
Este contenido forma parte de la revista IT Digital Security del mes de Diciembre, disponible desde este enlace.
Las empresas no sólo necesitan proteger los datos corporativos, sino que deben cumplir con las regulaciones que exigen que los datos de los usuarios estén protegidos, la prevención de pérdida de datos, o DLP, puede ayudarles a cumplir con este doble objetivo.
Actualmente se observa una brecha importante entre los empleados que se preocupan por el uso de los datos y la gestión de políticas y los que no, brecha que genera desafíos importantes que están impulsando el interés por las soluciones DLP.
Uno de los desafíos es la incapacidad de muchas compañías por hacer cumplir las políticas de uso y manejo de datos. Y es que de nada vale contar con políticas si al final no se aplican. En este sentido, las soluciones de DLP están diseñadas para evitar que usuarios no autorizados envíen datos confidenciales o no autorizados fuera de la red corporativa.
La demanda de soluciones DLP se ha incrementado en los últimos años debido a las brechas de seguridad constantes y la falta de formación de los empleados para mantener a salvo los datos. No hay que olvidar por otra parte el impacto de normativas como GDPR, que promueven la protección de los datos y multan las brechas.
Las soluciones DLP pueden ayudar a proteger tanto los datos en reposo como en movimiento y en uso; además tienen en cuenta muchos canales por los que se puede producir la pérdida, como el email, el endpoint, la red, etc.; también ayudan a centralizar políticas y las refuerzan para prevenir la pérdida de datos.
Dichos desafíos incluyen la clasificación y el etiquetado de los archivos de propiedad intelectual y otros activos comerciales sensibles para el grado de confidencialidad requerido, y luego usar las reglas comerciales para permitir que un administrador controle qué información pueden transferir los usuarios y cómo.
Coste de una pérdida de datos
Las brechas de datos son cada vez más costosas. Así lo puso de manifiesto un estudio de Ponemon Institute patrocinado por IBM publicado el pasado verano que determinaba que el coste medio de una brecha de datos es de 3,86 millones de dólares, un 6,4% más con respecto al informe de 2017.
La cifra puede ser incluso mayor ya que, según el estudio, el coste medio de una brecha en la que se hayan perdido un millón de registros es de casi 40 millones de dólares. Si los datos afectados aumentasen hasta los 50 millones, entonces el coste medio sería de 350 millones de dólares,
Por cierto, que hay factores que pueden reducir el coste medio de un registro perdido (148 dólares), como contar con un equipo de respuesta a incidentes, que dejaría el coste medio en 14 dólares.
El informe también recogía que las grande organizaciones tienen que tratar con una media de 20 incidentes de pérdidas de datos cada día. Por otra parte, aunque las soluciones DLP tienen múltiples métodos para detectar incidentes, incluidas expresiones regulares, reglas basadas en diccionarios y datos no estructurados, solo el 40% de los encuestados dijo que utiliza solo uno de estos métodos; y un 5% dijo que no sabía cómo funciona la tecnología.
La mayoría de las empresas sólo utilizan DLP para el email o aplicaciones similares, en lugar de cubrir todos los caminos por los que los datos pueden perderse, o fugarse.
Otro dato interesante del informe: el 74% de los encuestados aseguraba sentirse vulnerable a amenazas internas, un 7% más respecto a los datos del año anterior. Un 56% atribuye esa sensación a la mayor frecuencia de los ataques internos, mientras que un 54% apunta a una creciente cantidad de dispositivos con acceso a datos confidenciales.
Por primera vez este año el informe examinó el efecto de las herramientas de automatización de seguridad que utilizan inteligencia artificial, aprendizaje automático, análisis y orquestación para aumentar o reemplazar la intervención humana en la identificación y contención de una violación. El análisis encontró que las organizaciones que habían implementado extensivamente tecnologías de seguridad automatizadas ahorraron más de 1,5 millones de dólares en el coste total de una infracción.
DLP también en la nube
En un modelo de negocio as a Service y basado en nube las estrategias de Data Loss Prevention on-premise no son suficientes para proteger los datos de las empresas. Parece claro que a medida que más trabajadores cargan, almacenan y comparten datos corporativos en entornos de nube privada y pública, las organizaciones deben enfrentar las realidades de proteger los datos a los que los usuarios acceden desde cualquier lugar y en cualquier momento a través de una combinación de dispositivos aprobados y no aprobados en servicios con diversos grados de seguridad. La supervisión y el control de los datos que se almacenan en servicios en la nube y se descargan en dispositivos fuera de la red de la empresa se han vuelto críticos para los CIO y CISO en los entornos actuales.
El mercado DLP en 2017 estaba valorado en 1.470 millones de dólares y se espera que consiga un crecimiento medio anual del 23,59% entre 2018 y 2023 hasta alcanzar, al finalizar el periodo, los 5.240 millones de dólares.
Si nos vamos a la nube, el mercado Cloud DLP estuvo valorado en 740 millones de dólares el año pasado y se espera que alcance los 3.170 millones de dólares a finales de 2023, lo que significa un crecimiento medio anual del 27,5%.
El mayor reto de proteger el dato en la nube es que, a diferencia de los datos almacenados en una red, habitualmente no está localizado en un único lugar. Los datos podrían almacenarse en un número de ubicaciones, como una solución de almacenamiento en la nube empresarial como Amazon Web Services o incluso una base de datos Hadoop, donde los datos se dispersan en miles de fragmentos. Al menos las organizaciones conocen esos lugares de almacenamiento.
Para implementar una solución de prevención de pérdida de datos efectiva, los administradores de seguridad necesitan entender qué servicios cloud están utilizando los empleados y qué tipo de datos están compartiendo, además de cómo y cuándo.
Y eso nos lleva directamente a los fabricantes de CASB, o Cloud Access Security Manager, como una manera de saber qué está ocurriendo con sus datos en la nube. La segunda opción es el uso de API dentro de la aplicación cloud en sí misma para inspeccionar el dato; es una opción simple, pero sólo inspecciona el dato una vez que llega a la nube, dejándola vulnerable mientras está en tránsito.
Los cloud access security brokers (CASBs) empezaron a aparecer hace unos seis o siete años para dar visibilidad a lo que estaba ocurriendo en la nube. Las empresas pueden ejecutar herramientas CASB on-premise o en la nube y la mayoría se integran fácilmente en las soluciones de DLP locales existentes. De esta forma, las organizaciones no tienen que empezar de cero, sino simplemente extender su DLP existente a la nube.
Políticas DLP
Para monitorizar y controlar el flujo de datos confidenciales, las herramientas DLP establecen políticas. Una política de DLP contiene una o más reglas, que consisten en condiciones, excepciones y acciones en relación con los datos, archivos, o mensajes para detectar y prevenir fugas de datos. A través de las políticas de DLP, las organizaciones pueden definir:
- Qué datos se pueden y no se pueden enviar, publicar, cargar, mover o copiar y pegar
- Dónde se pueden transmitir datos
- Quién puede enviar y recibir datos
- Cómo se pueden compartir los datos
Las políticas indican a la herramienta DLP qué datos buscar y cuándo actuar al definir el contenido a detectar (por ejemplo, el tipo de datos) así como el contexto (por ejemplo, tipo de archivo, tamaño de archivo, remitente o destinatario). Así, cuando se detecta una condición, el sistema informa de la violación de una política, inicialmente considerado un incidente. Las políticas también pueden eximir a ciertos datos o actividades de cumplir la condición.
Las políticas también instruyen a la herramienta DLP sobre cómo debe actuar para proteger el contenido cuando se cumplen una serie de condiciones. Se pueden aplicar diferentes acciones (registrar la violación, notificación al usuario, cifrar un archivo, bloquear la copia de los datos en el portapapeles) dependiendo del nivel de riesgo.
Una política de DLP puede aplicarse a uno o más canales de fuga de datos. No es necesario que se aplique en toda la empresa. Puede ser más apropiado para limita su aplicación a ciertos usuarios, un grupo de usuarios o una región geográfica.
Las políticas de DLP se pueden crear utilizando plantillas predefinidas o creando políticas personalizadas. La mayoría de las herramientas de DLP proporcionan una biblioteca de plantillas de políticas predefinidas para detectar datos que están sujetos a requisitos reglamentarios, como GDPR o el Estándar de seguridad de datos de la industria de tarjetas de pago.
Otras plantillas de políticas son más genéricas y están diseñadas para diferentes casos de uso, como la protección de ciertos tipos de datos confidenciales (por ejemplo, contenido clasificado como "alto secreto", información relativa a la perforación petrolera o documentos de diseño de software). Las herramientas también pueden incluir plantillas de políticas para detectar transgresiones de uso aceptable (por ejemplo, imágenes indecentes, blasfemias o racismo) y descontento de los empleados (por ejemplo, la distribución de un currículum vitae).
Las plantillas de políticas predefinidas deben personalizarse para satisfacer las necesidades específicas de una organización, proporcionando un punto de partida rápido y fácil para implementar herramientas DLP.
El papel de DLP para cumplir con GDPR
GDPR, el reglamento de protección de datos de la Unión Europea, es de obligado cumplimiento desde el pasado 25 de mayo, y ha sido uno de los impulsores del incremento en la adopción de soluciones de DLP.
Uno de los principios a los que obliga la legislación es la protección de los datos personales, evitando que estos se pierdan o se fuguen, estén en uso, en movimiento o en reposo. Teniendo esto en cuenta, queda claro que el mercado de Data Loss Prevention está en primera línea para ayudar a las empresas a cumplir con GDPR de varias maneras.
En primer lugar, DLP ayuda a saber dónde están almacenados los datos personales, que es una de las exigencias de GDPR. La mayoría de las soluciones de DLP ofrecen servicios de discovery que permiten identificar la información y su localización, muy útil en caso de petición por parte de la agencia de protección de datos o si un consumidor quiere hacer uso del famoso Derecho al Olvido.
GDPR también exige que los datos personales recogidos se eliminen cuando el propósito de dicha recogida haya finalizado. Con los servicios mencionados en el punto anterior los administradores podrán liminar los datos personales de forma remota. De forma que, de manera genérica, los administradores pueden controlar qué datos personales permanecen en las redes y dispositivos de la compañía.
La regulación también exige que se debe garantizar que los datos personales no se utilicen para ningún otro propósito fuera de los servicios para los que fueron diseñados. Las soluciones DLP pueden ayudar a cumplir este requisito a través de la monitorización de datos en uso, aplicando políticas que restrinjan o bloquean su transferencia fuera o dentro de la organización. Como consecuencia, los usuarios ya no podrán cargar, copiar, pegar o imprimir datos personales.
GDPR introdujo el concepto de seguridad por diseño y responsabiliza legalmente a las empresas por cualquier pérdida o uso no autorizado de la información personal que recopilen. Las soluciones de DLP fueron construidas para prevenir tales incidentes.
Está claro que las soluciones de DLP ofrecen una visión sin igual de los datos de una empresa, lo que permite a los administradores establecer reglas estrictas con respecto a conjuntos específicos de datos confidenciales. En la era del GDPR, no hay excusas para que las empresas pierdan sus datos.
