En los últimos años la pérdida de información ha generado incidentes de seguridad a las organizaciones que en ocasiones han dañado su reputación, afectando el negocio mismo. Ante ello, se han desarrollado herramientas de seguridad que buscan minimizar este tipo de afectaciones, que tienen como propósito identificar las posibles vías por la cuales la información puede ser filtrada y actuar en consecuencia.
Soluciones de protección de información son ofrecidas para dar solución a los incidentes de esta naturaleza, por ejemplo herramientas denominadas Data Loss Prevention o Data Leak Prevention. Y aunque los conceptos son utilizados casi de forma indistinta, es una realidad que dichas soluciones persiguen un objetivo común: la protección de los datos de una organización.
Data Loss Prevention vs. Data Leak Prevention (DLP)
Existen distintas posturas sobre la manera adecuada de nombrar soluciones de este tipo, por ejemplo, quienes consideran que la intencionalidad en un incidente de seguridad es un elemento importante para distinguir entre una fuga y la pérdida de información. En este caso se considera que una fuga se lleva a cabo de forma intencional, mientras que la pérdida es accidental. Sin embargo, es importante mencionar que también podrían existir pérdidas de información intencionales (como un empleado que borra una base de datos) y fugas accidentales (si se envía un correo electrónico con información sensible a un destinatario erróneo).
En sentido estricto, quizá la diferencia radica en que una fuga implica que la información pueda ser accedida por personas o entidades sin los privilegios para hacerlo (divulgación), mientras que la pérdida de información no necesariamente se puede relacionar con la fuga o filtración, ya que esta puede dañarse (modificación, destrucción o interrupción) sin necesidad de que un agente interno o externo pueda acceder a ella.
En este mismo sentido, también juega un papel relevante identificar al actor que materializa un riesgo sobre la información, sobre todo porque ya sea una pérdida, fuga o filtración de información puede ser debida a un agente interno o externo. A decir verdad, existen un sinnúmero de escenarios posibles en los cuales se pueden presentar los incidentes de seguridad, debidos a amenazas o vulnerabilidades.
Por lo tanto, independientemente de la forma en la cual se denominen las soluciones de tecnología para evitar incidentes de seguridad, el enfoque de protección debe orientarse hacia identificar los vectores por los cuales la información puede ser dañada, los actores que podrían materializar un riesgo, las consecuencias que tendría un amenaza o vulnerabilidad, y por sobre todo los mecanismos empleados para reducir la probabilidad de ocurrencia o el impacto de dicho riesgo. El siguiente diagrama muestra muestra un árbol de decisiones para la identificación de riesgos relacionados con la información.
Generalmente, las vías de pérdida, fuga o filtración suelen ser comunes, como el correo electrónico, dispositivos removibles, impresiones, incluso capturas de pantalla en el sistema. Sin embargo, también deben ser considerados los escenarios con vías más sofisticadas, como la aplicación efectiva de Ingeniería Social, los códigos maliciosos desarrollados para robar información o bien la explotación de vulnerabilidades.
En este contexto, considerar los diferentes escenarios al tiempo que se identifican los actores (agentes que podrían materializar el riesgo) es lo más importante para reducir los riesgos de pérdida de información hasta un nivel aceptable, o en caso de que esto no sea posible, que las consecuencias sean las mínimas aceptables para la organización.
Divulgación, modificación, interrupción o destrucción de información
Este modelo de protección considera además otro tipo de afectaciones a la información que se relacionan con la fuga de los datos. Un incidente de seguridad puede derivar en la interrupción, destrucción o modificación de los datos, por lo que medidas adicionales como el cifrado o controles ante la manipulación indebida de la información a través de privilegios contribuyen a preservar las propiedades de la información: confidencialidad, integridad y disponibilidad.
Por lo tanto, independientemente de la manera en la cual se denomine las soluciones de tipo DLP, resulta importante contar con un enfoque de seguridad proactivo que permita conocer los posibles escenarios de riesgo. A partir de los resultados de este análisis previo, las organizaciones pueden tomar las mejores decisiones para proteger uno de sus activos más valiosos, como lo es la información. El paso posterior consiste en identificar una herramienta de seguridad capaz de brindar los controles necesarios para salvaguardarla de posibles fugas, pérdidas o filtraciones, tanto de agentes internos como externos, y de incidentes resultados tanto de actos deliberados como accidentales.
Finalmente, todo este conjunto de mecanismos de protección se implementan con objetivos de mayor alcance, como preservar la imagen y reputación de la organización, generar confianza entre los usuarios en cuanto a la protección de los datos, dar cumplimiento a estándares o legislaciones relacionadas con la protección de información y, en un contexto mayor, mantener la continuidad y operación de los negocios.
