En marzo, los piratas informáticos del grupo de extorsión « » Lapsus$ lanzaron una serie de ataques contra el gigante de las telecomunicaciones T-Mobile. Tras adquirir credenciales robadas y ganarse la confianza de los empleados para acceder a sus cuentas, la banda Lapsus$ consiguió acceder a las herramientas internas de T-Mobile, como su sistema de gestión de clientes. A partir de ahí, los piratas informáticos sustrajeron algunos de los datos más confidenciales de la organización: más de 30,000 repositorios de código fuente. Además, lograron apropiarse de los números de teléfono móvil de los clientes e interceptar los códigos de autenticación multifactorial .
Sin embargo, T-Mobile no fue la única gran empresa que se enfrentó a un grave incidente de seguridad. Durante el mes siguiente, se produjeron nuevos ataques informáticos que amenazaban con la divulgación de grandes cantidades de datos altamente confidenciales y de carácter privado en organizaciones como (Coca-Cola),, (Nestlé),, (Epic Games), y (Scripps Health),.
La cantidad total de datos a los que ahora pueden acceder los piratas informáticos es abrumadora: unos 8 000 millones de archivos están expuestos en carpetas de almacenamiento en la nube, según la herramienta de búsqueda « » de Grayhat Warfare (), y al menos 7.2 millones de bases de datos están expuestas en Internet, según un análisis realizado para ProPublica ( ) ().
Aunque menos voluminosos, los datos más sensibles y valiosos de una organización —sus «joyas de la corona»— revisten una importancia mucho mayor. Estos archivos pueden incluir, por ejemplo, el código fuente de los productos clave de una empresa, claves de cifrado o estrategias de seguridad confidenciales.
«Las empresas deben saber cuáles son sus datos más importantes, dónde se encuentran y cómo están protegidos», afirma Paul Perry, responsable del área de seguridad, riesgos y controles de la firma de contabilidad Warren Averett y miembro del grupo de trabajo sobre tendencias emergentes de ISACA.
««Si estos datos fueran objeto de un ataque informático, las consecuencias podrían ser desastrosas».
Según los expertos, proteger los activos más valiosos es fundamental, pero implantar las medidas de protección adecuadas no siempre resulta sencillo. A continuación se exponen cinco estrategias que las organizaciones deberían adoptar a la hora de proteger sus datos más valiosos.
Identifique los datos más críticos de su organización
Determinar dónde se almacenan sus datos más críticos es un primer paso imprescindible para protegerlos —y quizá el más difícil—, afirma Jenu Jose, ingeniero de soluciones técnicas de Tanium.
«Las empresas deben saber cuáles son sus datos más importantes, dónde se encuentran y cómo están protegidos.»Paul Perry, responsable del área de seguridad, riesgos y controles en Warren Averett
Según él, los datos más importantes rara vez están bien definidos dentro de las organizaciones. Es posible que algunas empresas hayan elaborado una política de protección de datos o un sistema de clasificación con distintas categorías para los datos sensibles y confidenciales. «Sin embargo, muchas empresas no han llevado a cabo un proceso para aclarar qué es qué, ya que resulta demasiado engorroso», afirma José. «No es un proyecto fácil de llevar a cabo».
Incluso la tarea de encontrar datos de gran valor puede resultar compleja: «No basta con hacer una búsqueda rápida para recopilar todos esos datos», afirma. «. La computación en la nube hace que sea muy difícil de localizar, ya que podría estar en el OneDrive de alguien, en Azure o en cualquier otro lugar de la nube». Es necesario realizar búsquedas en varias plataformas para hacerse una idea clara de dónde se encuentran los datos confidenciales y qué recursos requieren los niveles más altos de protección.
Evalúe el impacto de una posible fuga de datos
Una vez localizadas sus «joyas de la corona», las organizaciones deben evaluar a continuación el grado de importancia de cada activo, afirma José. Deberían preguntarse: si un activo o un terminal concreto se viera comprometido, ¿cuál sería el posible impacto?
«La criticidad de los activos consiste en comprender sus aplicaciones, sus servidores y sus terminales, y asignarles un peso diferente en función del riesgo potencial de fuga de datos», afirma. Esa ponderación puede influir en el sistema general de puntuación del riesgo cibernético de una empresa.
Una vez que las organizaciones hayan determinado el grado de importancia de sus activos, deben llevar a cabo una evaluación de riesgos para identificar las vulnerabilidades y valorar los controles existentes destinados a protegerlos, afirma Perry, de Warren Averett. Según él, los posibles puntos débiles deberían discutirse con todos los miembros de la organización. Es posible que el departamento de contabilidad tenga conocimiento de riesgos de los que el departamento de TI no tiene constancia.
Lea también: Las puntuaciones de riesgo cibernético deberían ser algo más que una simple cifra
«Debe sentarse a analizar sus riesgos y qué medidas está tomando al respecto; pero, lo que es más importante, debe analizar qué medidas no está tomando y qué controles no tiene implantados», afirma Perry. «Las evaluaciones de riesgos deben ser continuas, ya que, con el paso del tiempo, sus riesgos cambian, su entorno cambia y su personal cambia».
Refuerce sus medidas de seguridad
Las medidas de defensa adicionales pueden adoptar diversas formas, afirma José. Entre ellas se incluyen el cifrado de determinados documentos, la eliminación de datos de ubicaciones vulnerables, el bloqueo de dispositivos para impedir que se utilicen memorias USB personales para copiar datos y la restricción del acceso a información concreta.
«: Identificar quién tiene acceso a determinados datos puede resultar muy difícil.»Jenu Jose, ingeniero de soluciones técnicas de Tanium
«Determinar quién tiene acceso a determinados datos puede resultar muy complicado», afirma José. «Es posible que disponga de una normativa que establezca que toda la información relativa a tarjetas de crédito debe mantenerse dentro de la empresa. «Pero entonces se da el caso de que alguien necesite compartir esos datos con terceros, así que, ¿cómo se protegen?»
Las organizaciones consolidadas pueden mantener una lista de personas con acceso a determinados archivos, mientras que otras empresas pueden permitir a sus empleados enviar por correo electrónico un documento únicamente a socios comerciales o proveedores. El envío a otros destinatarios quedaría bloqueado automáticamente. A la hora de proteger sus activos, las organizaciones deben reflexionar de forma estratégica sobre cómo encontrar un equilibrio entre el coste de la protección y el grado de aceptación por parte de los responsables de un nivel de riesgo concreto.
Supervise de forma continua los datos confidenciales
Una vez que se hayan identificado, evaluado y protegido los activos más valiosos, las organizaciones deben supervisarlos. «Las herramientas de supervisión de son los ojos y los oídos de la actividad que tiene lugar en su organización desde el punto de vista de los datos: quién accede a qué, con qué frecuencia lo hace y si realmente puede acceder a ello», afirma Perry.
«Si dispone de un nombre de usuario y una contraseña y está accediendo a algo, ya está desempeñando una función informática.»Perry
La supervisión de datos ofrece una visión más detallada de cómo se accede a los archivos y cómo se utilizan, lo que puede resultar especialmente importante a la hora de cumplir con la normativa gubernamental. «Es necesario poder registrar cada uno de los cambios que se producen en un archivo concreto o en un conjunto de archivos para cumplir con los requisitos de cumplimiento normativo», afirma José, de Tanium. O bien, puede resultar útil en cuestiones relacionadas con los recursos humanos. En un caso de recursos humanos en curso con un empleado, por ejemplo, es posible que la empresa desee supervisar el acceso a datos confidenciales en los dispositivos de dicho empleado.
A la hora de seleccionar una herramienta de supervisión, las organizaciones deben evaluar su flexibilidad a la hora de crear definiciones personalizadas para los datos confidenciales de la organización, incluyendo, por ejemplo, palabras clave concretas o nombres de proyectos. Las herramientas también deberían implementar las últimas soluciones de seguridad basadas en inteligencia artificial de , así como herramientas con capacidades integradas de aprendizaje automático (ML) de , con el fin de mejorar cada vez más a la hora de minimizar el número de alertas de seguridad falsas positivas que pueden desbordar al personal de TI.
Haga de la seguridad un elemento fundamental de su cultura
La cultura de seguridad de una organización determina en qué medida protege sus datos más valiosos. Sin embargo, en algunas empresas, la adopción de medidas de seguridad eficaces queda en segundo plano frente a la comodidad.
«Muchas organizaciones no cuentan con los controles necesarios porque los empleados afirman que medidas como la autenticación de dos factores resultan extremadamente incómodas tanto para ellos como para sus clientes», afirma Perry. «Las organizaciones también se han vuelto indiferentes ante la ciberseguridad». «Cuando se dispone de recursos muy limitados —ya sean humanos o de capital— y es necesario determinar cuál es la mejor forma de proteger los datos, las empresas pueden sentirse desbordadas».
«La creación de una cultura sólida en materia de ciberseguridad empieza desde arriba», añade José. Para que una organización pueda proteger con éxito sus datos más importantes, los directivos deben respaldar plenamente la estrategia de ciberseguridad de la empresa. «La protección no funciona a menos que se cuente con el apoyo de los directivos y de la empresa», afirma.
Contar con medidas de protección y políticas establecidas —y cumplirlas— es también una «responsabilidad integral» de toda la empresa, en la que todos tienen una parte de responsabilidad. «Siempre intento transmitir que, hoy en día, todos los empleados de una empresa forman parte del departamento de TI», afirma Perry. «Si dispone de un nombre de usuario y una contraseña y está accediendo a algo, en ese momento está desempeñando, en cierta medida, una función informática».
Al fin y al cabo, el personal de TI tiene las manos atadas si los empleados eluden habitualmente la autenticación multifactorial o establecen contraseñas inseguras.
En definitiva, los responsables deben poner en práctica una estrategia sólida para identificar, evaluar, supervisar y proteger sus datos más valiosos, todo ello en el marco de una cultura de seguridad. Sin la capacidad de hacer frente a la avalancha de ataques con rayos láser dirigidos contra datos altamente sensibles, las empresas se exponen a sufrir una pérdida potencialmente devastadora de su reputación, sus clientes y sus activos más valiosos.
