Ir al contenido principal
¿Qué es el monitoreo de datos confidenciales?
Explicaciones

¿Qué es el monitoreo de datos confidenciales?

A medida que los ciberdelincuentes intentan obtener acceso a datos personales y confidenciales de la organización, se ha vuelto fundamental que las organizaciones protejan los datos que se les confían.

El monitoreo de datos confidenciales es el proceso de identificar, clasificar y proteger los datos personales o comerciales. A medida que los ciberdelincuentes intentan cada vez más obtener acceso a los detalles de las tarjetas de crédito, los números de Seguro Social y los datos confidenciales de la organización para usar, vender o explotar, se ha vuelto fundamental que las organizaciones protejan los datos que se les confían.

¿Qué son los datos confidenciales? ¿Cuáles son los diversos tipos de datos confidenciales?

Los datos confidenciales son cualquier dato que podría incurrir en algún tipo de costo para la organización que los mantiene si estuviera expuesto al público en general. Estos costos pueden incluir costos de notificación de filtración (que incluyen alertar a los consumidores y a las agencias reguladoras), pérdida de ingresos debido al tiempo de inactividad del sistema, multas regulatorias, pérdida de clientes por daños a la reputación e incluso demandas y reparaciones. Según el “Informe 2021 sobre el costo de una filtración de datos” del Instituto Ponemon, el costo promedio de una filtración de datos aumentó de 3.86 millones de USD a 4.24 millones de USD, el más alto en los 17 años de historia del informe.

Existen muchos tipos diferentes de datos confidenciales y determinar qué datos son importantes para su organización es crucial. Dicho esto, los datos confidenciales generalmente se pueden agrupar en algunas categorías amplias:

  • Información comercial: Cualquier dato central para las operaciones de una organización, incluidas cuentas y estados de cuenta financieros, información de empleados, propiedad intelectual, secretos comerciales y más.
  • Datos personales: Cualquier información asociada con una persona que pueda utilizarse para identificarla directamente o cuando se utilice en combinación con otra información. Este tipo de datos incluye nombre, fecha de nacimiento, dirección, número de Seguro Social, raza, orientación sexual, religión, puntos de vista políticos y más.
  • Datos de salud: Información relacionada con la salud de una persona, incluidos sus antecedentes médicos, datos de discapacidad, diagnósticos médicos, datos de aplicaciones de acondicionamiento físico, etc.
  • Datos financieros: Información bancaria, detalles de tarjetas de crédito, códigos de seguridad y PIN de una persona.
  • Datos biométricos: Datos del cuerpo humano, como características faciales, huellas dactilares, escaneos de iris, huellas de voz y otros datos utilizados para la identificación biométrica.
  • Datos genéticos: Las características genéticas de una persona adquiridas a través del análisis de ADN y ARN, como la información cromosómica.

Identificar qué datos confidenciales deben protegerse no siempre es directo. Esto se debe a que los datos confidenciales se dividen en dos categorías: regulados y no regulados.

  • Los datos regulados siempre se consideran confidenciales por las leyes y reglamentaciones de privacidad de datos que los protegen. La Ley de Portabilidad y Responsabilidad del Seguro Médico (HIPAA), por ejemplo, estandariza las reglas para acceder a más de una docena de tipos de información en los registros médicos de una persona, incluidos los detalles de contacto, el número de Seguro Social, los datos financieros, los resultados de diagnóstico y los tratamientos. Estos tipos de datos siempre se designan como confidenciales, lo que facilita que las organizaciones de atención médica comprendan qué información debe mantenerse confidencial.
  • Los datos no regulados comprenden toda la información conocida públicamente. La mayoría de los datos creados entran en esta categoría. Aunque no están directamente cubiertos por las leyes y reglamentaciones de privacidad de datos, algunos archivos y documentos de esta categoría, como los contratos de empleados y las encuestas a clientes, pueden contener información que podría clasificarse como datos confidenciales. Esto subraya la necesidad de que las organizaciones comprendan qué datos están almacenando para protegerlos adecuadamente.

¿Cómo se pueden usar indebidamente los datos confidenciales? ¿Cuáles son los riesgos de una filtración de datos confidenciales?

Cuando la mayoría de las personas escuchan el término “filtración de datos”, probablemente piensan en información robada de tarjetas de crédito. Esto se debe a que los hackeos que exponen los tesoros de los detalles de las tarjetas de crédito han llegado a los titulares cada vez más en la última década.

Una de las más grandes fue la filtración de datos de 2013 Target. Los hackers utilizaron una sofisticada campaña de phishing para robar las credenciales de inicio de sesión de uno de los proveedores externos de la empresa. Usaron estas credenciales para llegar a la red interna de Target y, en última instancia, acceder a sus sistemas de punto de venta (POS).

Luego instalaron malware en esos sistemas para robar información de tarjetas de crédito y débito de la memoria de los dispositivos de punto de venta a medida que los clientes deslizaban sus tarjetas.

Luego, los hackers recopilaron y vendieron los datos robados en el mercado negro digital. Target estimó que la información de hasta 110 millones de clientes fue robada, lo que la convierte en una de las filtraciones de datos más grandes de la historia. En su acuerdo de filtración de datos, la empresa pagó 18.5 millones de USD a 47 estados y al Distrito de Columbia (además de los 202 millones de USD que gastó en honorarios legales y otros costos tras la filtración).

“Los datos confidenciales comprometidos se pueden utilizar de todo tipo de maneras que no estaban previstas, lo que puede tener repercusiones graves para la empresa a la que se le confían esos datos”.

Aunque las filtraciones de datos de tarjetas de crédito captan la mayoría de los titulares, no son el único ejemplo de uso indebido de datos. Los datos confidenciales comprometidos se pueden utilizar de todo tipo de maneras que no estaban previstas, lo que puede tener repercusiones graves para la empresa a la que se le confiaron esos datos.
Uno de los ejemplos recientes más infames de uso indebido de datos involucró al gigante de las redes sociales, Facebook, y a la consultora británica, Cambridge Analytica. Los desarrolladores de una aplicación llamada This Is Your Digital Life (TIYDL) recopilaron hasta 87 millones de perfiles de Facebook.

La aplicación se diseñó como un cuestionario de personalidad y se utilizó para crear perfiles psicológicos sobre los usuarios y recopilar los datos personales de los amigos de Facebook de los usuarios. Los desarrolladores de la aplicación luego vendieron esos datos a Cambridge Analytica, que los utilizó para ayudar a dirigirse a los votantes para las campañas políticas de Donald Trump y Ted Cruz. En última instancia, Facebook pagó una multa de 5 000 millones de USD por la exposición y el posterior uso indebido de los datos de sus usuarios.

Incidentes como la filtración de Facebook-Cambridge han traído un mayor escrutinio a la forma en que las empresas de AdTech utilizan los datos. Esto ha llevado a la creación de reglamentaciones más sólidas en torno a la recopilación y el uso de datos, como el Reglamento General de Protección de Datos (General Data Protection Regulation, GDPR) de la Unión Europea y la Ley de Privacidad del Consumidor de California (California Consumer Privacy Act, CCPA).

¿Qué regulaciones existen en torno a los datos confidenciales?

Existen muchos requisitos normativos que rigen la forma en que las empresas realizan negocios y la mayoría exigen cómo deben manejarse los datos confidenciales. Algunas reglamentaciones apuntan a industrias específicas. HIPAA, por ejemplo, cubre la industria de la atención médica y PCI DSS cubre las finanzas. Otros como la CCPA y GPDR se aplican a todas las industrias dentro de una región geográfica.

[Leer más: La “expansión de la regulación” de la seguridad de los datos pone a las multinacionales bajo presión]

Las reglamentaciones también pueden variar de una ubicación a otra, por lo que los requisitos para el manejo de datos, incluso dentro de una sola industria, pueden diferir entre Europa y los EE. UU. e incluso de un estado a otro. Pero prácticamente todas las reglamentaciones y estándares afectan la seguridad de TI y los datos. Los más comunes de estos incluyen:

GDPR (Reglamento General de Protección de Datos). Adoptada por la Unión Europea en 2016, es la ley principal que rige la protección y privacidad de los datos de los ciudadanos. El RGPD introdujo varios mandatos para todas las transacciones que se realizan dentro de los estados miembros de la UE, incluidos los siguientes:

  • Los clientes deben dar su consentimiento para el procesamiento de datos.
  • Toda información de identificación personal debe ser anónima o seudonimizada (la identidad del consumidor debe reemplazarse por un seudónimo).
  • Se debe notificar a los consumidores sobre una filtración de datos dentro de las 72 horas.
  • Los datos transferidos fuera de la UE deben recibir el mismo grado de protección de la parte receptora que proporciona la UE.
  • Algunas empresas deben designar un funcionario de protección de datos (Data Protection Officer, DPO) para supervisar el cumplimiento del RGPD.

Todas las organizaciones dentro de la UE están sujetas al RGPD, al igual que aquellas con sede en el extranjero que tienen operaciones o clientes en la UE.

La CCPA (Ley de Privacidad del Consumidor de California), promulgada en 2018, otorga varios derechos a los residentes de California, incluidos los siguientes:

  • El derecho a saber qué información personal se recopila, utiliza, comparte o vende.
  • El derecho a eliminar la información personal en poder de las empresas y sus proveedores de servicios.
  • El derecho a excluirse de la venta de información personal.
  • El derecho a la no discriminación a través del precio o servicio cuando un consumidor ejerce un derecho de privacidad en virtud de la CCPA.

La CCPA también creó varias obligaciones nuevas para el negocio. Lo más importante es que las empresas sujetas a la reglamentación de la CCPA deben notificar a los consumidores en la recopilación de datos o antes. También deben crear procedimientos para responder a los consumidores que desean excluirse de la recopilación de datos, saber qué datos se recopilan o hacer que se eliminen sus datos recopilados, y deben responder a esas solicitudes dentro de ciertos plazos.

[Leer más: ¿Qué es un puntaje de riesgo cibernético y por qué es importante?]

La CCPA se aplica a cualquier negocio con fines de lucro que atiende a residentes de California y cumple con uno de los siguientes criterios:

  • Genera más de 25 millones de USD en ingresos anuales brutos.
  • Compra, recibe o vende anualmente la información personal de 50,000 o más consumidores, hogares o dispositivos.
  • Obtiene el 50 % o más de los ingresos anuales de la venta de información personal de los consumidores.

PCI DSS (Estándar de seguridad de datos de la industria de tarjetas de pago). Desde su introducción en 2004, se ha actualizado regularmente para mejorar los estándares de seguridad del procesamiento de pagos. Especifica una docena de requisitos principales para proteger la información del titular de la tarjeta, incluidos los requisitos del firewall y las normas de contraseña, la codificación de la información en tránsito, el monitoreo del acceso a la red y más. Las PCI DSS se aplican a cualquier organización que acepte, transmita o almacene datos de titulares de tarjetas.

La HIPAA (Ley de Portabilidad y Responsabilidad del Seguro Médico) establece estándares sobre cómo los proveedores de atención médica manejan la información médica protegida (PHI). La PHI incluye una gama de datos del paciente, incluidos identificadores personales como nombre, fecha de nacimiento y sexo, así como información médica como diagnósticos, información de tratamiento y resultados de pruebas médicas. La HIPAA exige cómo se accede a la PHI y establece protecciones físicas, administrativas y técnicas que las organizaciones de atención médica deben implementar para protegerla. También aborda cómo deben responder los centros de atención médica en caso de una filtración de datos. Los centros de atención médica, incluidos hospitales, consultorios médicos, asilos de ancianos y cualquier otra parte que haga negocios de atención médica con clientes o pacientes, deben cumplir con la HIPAA.

La Ley de Derechos Educativos y Privacidad Familiar (Family Educational Rights and Privacy Act, FERPA ) es una ley federal que protege la privacidad de los registros de educación de los estudiantes. Estos registros pueden existir en cualquier medio y generalmente incluyen identificadores personales (SSN, fecha de nacimiento, sexo, origen étnico) e información académica (puntajes de prueba, GPA, transcripciones, información de ayuda financiera). La ley otorga varios derechos a los padres, incluido el derecho a inspeccionar los registros educativos de su hijo y enmendar cualquier imprecisión. También les da control sobre la divulgación de información de identificación personal de los registros de su hijo. Estos derechos se transfieren directamente al estudiante una vez que cumple 18 años o asiste a la universidad. La FERPA se aplica a todas las escuelas que reciben financiamiento federal.

El Instituto Nacional de Estándares y Tecnología (National Institute of Standards and Technology, NIST ), una agencia federal no regulatoria, establece estándares para las industrias de la ciencia y la tecnología para ayudar a las agencias y contratistas federales a cumplir con los requisitos de la Ley Federal de Gestión de Seguridad de la Información (Federal Information Security Management Act, FISMA). Sin embargo, los estándares del NIST pueden ayudar a cualquier organización a mejorar su seguridad y prevenir violaciones de las leyes regulatorias federales como PCI DSS e HIPAA. Organizaciones de todo el mundo utilizan el marco de ciberseguridad (Cybersecurity Framework, CSF) del NIST para reducir el riesgo cibernético y proteger sus redes y datos. Los Estándares Federales de Procesamiento de Información (Federal Information Processing Standards, FIPS) del NIST son utilizados por agencias gubernamentales, contratistas y proveedores. Los estándares de FIPS establecen requisitos para circunstancias no cubiertas por estándares más amplios de la industria, lo que proporciona un marco para una gama diferente de procesos de seguridad.

CMMC (Certificación del modelo de madurez de ciberseguridad) es un programa del Departamento de Defensa que establece estándares y mejores prácticas para los contratistas de la Base Industrial de Defensa (Defense Industrial Base, DIB). Los contratistas de DIB manejan datos confidenciales del gobierno y CMMC garantiza que los protejan de la misma manera que lo hacen las agencias gubernamentales y militares. En particular, CMMC aborda la protección de la Información Federal de Contratos (FCI) y la Información No Clasificada Controlada (CUI).

Otros estándares de cumplimiento de seguridad que las organizaciones deben conocer incluyen la Ley de Protección de la Privacidad en Línea de los Niños (Children’s Online Privacy Protection Act, COPPA), los Controles del CIS (Centro de Controles de Seguridad de Internet) y el Programa Federal de Gestión de Riesgos y Autorizaciones (Federal Risk and Authorization Management Program, FedRAMP). Y cada año entran en vigencia más requisitos normativos. Las organizaciones deben entender qué estándares y reglamentaciones se aplican a su negocio, ya que cualquier error de cumplimiento puede resultar en sanciones y costos significativos.

¿Cómo recuperan los atacantes los datos confidenciales?

Existen innumerables maneras de que los atacantes roben datos confidenciales y los hackers emprendedores están desarrollando métodos más sofisticados todo el tiempo. Algunos de los métodos más populares incluyen:

  • El malware (“software malicioso”) se refiere ampliamente a cualquier script o código diseñado para explotar un dispositivo. Los atacantes explotan una vulnerabilidad para insertar malware, que un usuario descarga involuntariamente de un archivo adjunto de correo electrónico o un enlace web, en el sistema, donde puede realizar una variedad de actos maliciosos, como monitorear sus pulsaciones de teclas, transmitir datos confidenciales a la computadora del atacante o capturar sus contraseñas. El malware es particularmente popular porque es fácil de distribuir y altamente efectivo.
  • El phishing es un tipo de ataque de ingeniería social en el que el atacante utiliza correos electrónicos, mensajes de texto o llamadas telefónicas que parecen ser de una institución legítima para engañar al objetivo para que comparta datos confidenciales, como credenciales de inicio de sesión e información de tarjetas de crédito. La suplantación de identidad ha estado en aumento en la era de la COVID, lo que constituye el 36 % de las filtraciones de datos en 2021, un aumento del 11 % con respecto al año anterior.
  • Scripting entre sitios (XSS): Los hackers utilizan ataques XSS para inyectar un script o código malicioso escrito en un lenguaje de programación común como JavaScript, Flash o HTML en el contenido de un sitio web. El script malicioso luego se ejecuta en el navegador del usuario cuando visita el sitio, lo que permite al hacker robar cookies y capturar cualquier información que el usuario envíe a ese sitio, como credenciales de inicio de sesión, números de tarjetas de crédito y otros datos confidenciales.
  • Robo de dispositivos: Los delincuentes oportunistas pueden recuperar datos confidenciales simplemente obteniendo acceso físico al dispositivo de un usuario. Una causa común de compromiso de datos es un dispositivo sin supervisión: una computadora portátil que se deja en el automóvil o en una mesa de café. Una vez que alguien lo tiene en sus manos, puede acceder a un potencial tesoro de datos confidenciales, especialmente si el equipo no está protegido con contraseña o cifrado.

¿Dónde se encuentran generalmente los datos confidenciales?

Los datos confidenciales pueden estar en cualquier lugar. Los datos viajan entre una multitud de dispositivos, usuarios, aplicaciones y servicios todos los días. Eso puede hacer que sea extremadamente difícil de proteger, especialmente una vez que sale de su red. Un archivo ubicado en un servidor centralizado seguro, por ejemplo, puede verse comprometido cuando un empleado descarga una copia en su computadora portátil personal, que casi seguramente no tiene el mismo nivel de seguridad, y luego se olvida de eliminarla cuando termina de trabajar en ella. Los datos confidenciales también se pueden encontrar en servidores de copia de seguridad y discos duros.

¿Por qué es difícil proteger los datos confidenciales?

Nuevamente, uno de los principales problemas para proteger los datos confidenciales es que residen en tantos lugares, lo que significa que incluso es difícil encontrarlos, mucho menos seguros. Algunas de estas ubicaciones pueden desconectarse con frecuencia de la red, como es el caso de la computadora portátil o una unidad USB de un empleado, lo que limita la visibilidad de la empresa en los datos. Proteger los datos confidenciales también requiere un equilibrio fino entre la seguridad y la facilidad de uso. Los usuarios necesitan acceso a ciertos documentos, pero obtener ese acceso puede requerir permisos más arriba. Para mitigar esto, una empresa debe requerir procesos estrictos en torno a la concesión de permisos y la finalización de sesiones, y debe asegurarse de que cualquier dato residual se elimine del dispositivo. Una herramienta de monitoreo de datos confidenciales puede ayudar con muchos de estos desafíos.

¿Cómo funcionan las herramientas de monitoreo de datos confidenciales?

Las herramientas de monitoreo de datos confidenciales pueden adoptar dos enfoques. Uno está basado en la red, en el que el software centralizado se comunica desde un servidor para escanear todos los dispositivos de red en busca de datos confidenciales. Sin embargo, este método es lento ya que compromete el ancho de banda de la red y puede dejar brechas porque no puede acceder a dispositivos fuera de la red corporativa.

[Leer más: ¿Qué es la gestión de vulnerabilidades de dispositivos?]

El enfoque alternativo utiliza una arquitectura centrada en el cliente para buscar datos confidenciales en todos sus puntos finales. Tiene un impacto mucho más ligero en el rendimiento de la red y, una vez que realiza un escaneo inicial de datos confidenciales, continúa indexando sus puntos finales en tiempo real para mantener los escaneos actualizados. Y debido a que el software se instala directamente en el endpoint, puede escanear datos confidenciales incluso cuando el dispositivo no está conectado a la red corporativa.

¿Cuáles son las características clave de una herramienta de monitoreo de datos confidenciales?

Al igual que con cualquier herramienta nueva, la facilidad de uso y la compatibilidad con sus tecnologías actuales son consideraciones principales. Algunas otras características que debe buscar incluyen:

  • Escaneo basado en agentes: Las herramientas de monitoreo basadas en agentes instalan un paquete de software (“agente”) en cada dispositivo que desea escanear. Cada agente recopila datos de seguridad relevantes de su máquina servidor y los envía de vuelta a un servidor de recopilación. Esto le permite escanear dispositivos incluso si están fuera de línea o fuera de la red de la organización. Las herramientas de monitoreo basadas en agentes también son más livianas que las herramientas basadas en red, lo que alivia la carga en su red.
  • Soporte de múltiples formatos de archivo y sistema operativo: Una herramienta de monitoreo de datos confidenciales debe poder recuperar datos en una amplia variedad de formatos de archivo comunes (Word, Excel, PDF, etc.) en puntos finales de Windows, Mac y Linux.
  • Contenido normativo listo para usar: La herramienta debe proporcionar una visibilidad profunda del RGPD, PCI DSS, HIPAA, CCPA y otros casos de uso normativo, lo que le permite informar y responder rápidamente a los requisitos de privacidad de datos a medida que cambian los mandatos legales.

Más recursos