Se denomina fuga de información al incidente que pone en poder de una persona ajena a la organización, información confidencial y que sólo debería estar disponible para integrantes de la misma (tanto todos como un grupo reducido).
Se trata de un incidente que puede ser tanto interno como externo, y a la vez intencional o no. Algunos ejemplos de fuga de información pueden ser desde un empleado vendiendo información confidencial a la competencia (incidente interno e intencional), una secretaria que pierde un documento en un lugar público (incidente interno y no intencional) o en la misma línea la pérdida de una laptop o un pen drive, así como también el acceso externo a una base de datos en la organización o un equipo infectado con un Spyware que envíe información a un delincuente.
Todos estos incidentes tienen un punto en común como se indicó en la definición: información de la organización termina en manos de un tercero, que no debería tener acceso a la misma.
La información expuesta puede ser de cualquier índole: un listado de empleados con datos personales, listado de salarios, base de datos de clientes o una fórmula o algoritmo secretos, por citar algunos ejemplos.
Es difícil medir el impacto de la fuga de información pero puede ser muy diverso, especialmente según la intencionalidad del incidente. En aquellos casos en que se trata de un accidente no intencional, el impacto en la empresa dependerá de qué ocurre con el nuevo poseedor de esa información. Si se supone que un gerente de la empresa pierde una computadora portátil, el impacto puede ser nulo si quién la encuentra ignora la información que allí se contiene y formatea el sistema; o puede ser alto si el nuevo poseedor identifica los datos y los utiliza para publicarlos, comercializarlos o cualquier otra acción dañina.
Por otro lado, en los incidentes intencionales (es decir, maliciosos) el impacto está más claro: esa información puede ser utilizada para realizar un ataque a la organización, para venderse, para hacerse pública o para afectar la reputación o imagen de la organización. En cualquiera de los casos la fuga de información se caracteriza por ser un incidente que difícilmente pueda ser reparado o realizar algún procedimiento que permite “volver atrás” la situación.
Algunos estudios afirman la importancia de este tipo de incidentes en un esquema de seguridad. Según el 2009 CSI Computer Crime and Security Survey, un 15% de las empresas encuestadas sufrieron accesos no autorizados a la información por integrantes de la organización, y un 14% sufrieron acceso de personas ajenas a la empresa. Además, un 42% sufrieron el robo o pérdida de equipos portátiles. Sumados al 6% que sufrió acceso no autorizado a información protegida por propiedad intelectual por pérdida de equipos móviles y al 8% que sufrieron el acceso no autorizado de otro tipo a material protegido por la propiedad intelectual, son todos incidentes que aplican a la fuga de información.
Por otro lado, un estudio reciente de Intel, que ya comentamos en el blog, analiza el costo promedio para una empresa al perder una laptop. El mismo afirma que la mayor pérdida monetaria está asociada a la pérdida por violación de datos. Esto certifica que la fuga de información posee un impacto importante a considerar por cualquier organización.
En el próximo post, veremos algunas ideas más sobre fuga de información, a quién afecta y, más importante aún, cómo protegerse.
Sebastián Bortnik
Analista de Seguridad
