Ir al contenido principal
¿En qué consiste la supervisión de datos sensibles?
Explicaciones

¿En qué consiste la supervisión de datos sensibles?

Dado que los ciberdelincuentes intentan acceder a datos personales y confidenciales de las organizaciones, resulta fundamental que estas protejan los datos que se les han confiado.

La supervisión de datos sensibles es el proceso de identificar, clasificar y proteger los datos personales o empresariales. Dado que los ciberdelincuentes intentan cada vez con mayor frecuencia acceder a datos de tarjetas de crédito, números de la Seguridad Social y datos confidenciales de las organizaciones para utilizarlos, venderlos o explotarlos de cualquier otra forma, resulta fundamental que las organizaciones protejan los datos que se les han confiado.

¿Qué son los datos sensibles? ¿Cuáles son los distintos tipos de datos sensibles?

Se consideran datos sensibles aquellos que, de quedar expuestos al público en general, podrían suponer algún tipo de coste para la organización que los posee. Estos costes pueden incluir los gastos derivados de la notificación de la violación de seguridad (que abarcan la notificación a los consumidores y a los organismos reguladores), la pérdida de ingresos debida al tiempo de inactividad del sistema, las multas impuestas por las autoridades reguladoras, la pérdida de clientes como consecuencia del daño a la reputación e incluso las demandas judiciales y las indemnizaciones. Según el informe «Cost of a Data Breach Report 2021» del Ponemon Institute, el coste medio de una filtración de datos aumentó de 3.86 millones de dólares a 4.24 millones de dólares, la cifra más alta en los 17 años de historia del informe.

Existen muchos tipos diferentes de datos sensibles, por lo que resulta fundamental determinar qué datos son importantes para su organización. Dicho esto, los datos sensibles suelen clasificarse en unas pocas categorías generales:

  • Información empresarial: Cualquier dato fundamental para el funcionamiento de una organización, incluyendo cuentas y estados financieros, información sobre los empleados, propiedad intelectual, secretos comerciales y otros.
  • Datos personales: Cualquier información relacionada con una persona que permita identificarla directamente o en combinación con otra información. Este tipo de datos incluye el nombre, la fecha de nacimiento, la dirección, el número de la Seguridad Social, la raza, la orientación sexual, la religión, las opiniones políticas y otros datos más.
  • Datos sanitarios: Información relativa a la salud de una persona, incluyendo su historial médico, datos sobre discapacidad, diagnósticos médicos, datos de aplicaciones de fitness, etc.
  • Datos financieros: : datos bancarios, datos de tarjetas de crédito, códigos de seguridad y PIN de una persona.
  • Datos biométricos: Datos relativos al cuerpo humano, tales como rasgos faciales, huellas dactilares, escáneres del iris, huellas vocales y otros datos utilizados para la identificación biométrica.
  • Datos genéticos: Características genéticas de una persona obtenidas mediante el análisis del ADN y el ARN, como la información cromosómica.

No siempre resulta sencillo determinar qué datos sensibles es necesario proteger. Esto se debe a que los datos sensibles se dividen en dos categorías: los regulados y los no regulados.

  • La información regulada siempre se considera sensible según las leyes y normativas de protección de datos que la regulan. La Ley de Portabilidad y Responsabilidad del Seguro Médico (HIPAA), por ejemplo, establece normas uniformes para el acceso a más de una docena de tipos de información contenida en el historial médico de una persona, entre los que se incluyen los datos de contacto, el número de la Seguridad Social, los datos financieros, los resultados de los diagnósticos y los tratamientos. Este tipo de datos se clasifican siempre como sensibles, lo que facilita a las organizaciones sanitarias comprender qué información debe mantenerse confidencial.
  • Los datos no regulados abarcan toda la información de dominio público. La mayor parte de los datos generados entran en esta categoría. Aunque no están regulados directamente por las leyes y normativas sobre protección de datos, algunos archivos y documentos de esta categoría, como los contratos de los empleados y las encuestas a los clientes, pueden contener información que podría clasificarse como datos sensibles. Esto pone de relieve la necesidad de que las organizaciones comprendan qué datos almacenan para poder protegerlos adecuadamente.

¿De qué manera se pueden utilizar indebidamente los datos sensibles? ¿Cuáles son los riesgos que conlleva una filtración de datos sensibles?

Cuando la mayoría de las personas oyen el término «filtración de datos», probablemente piensan en el robo de datos de tarjetas de crédito. Esto se debe a que, en la última década, los ataques informáticos que han dejado al descubierto gran cantidad de datos de tarjetas de crédito han acaparado cada vez más los titulares.

Uno de los más importantes fue la filtración de datos de Target, que afectó a 2013 . Los piratas informáticos utilizaron una sofisticada campaña de phishing para sustraer las credenciales de acceso de uno de los proveedores externos de la empresa. Utilizaron estas credenciales para colarse en la red interna de Target y, finalmente, acceder a sus sistemas de punto de venta (POS).

A continuación, instalaron software malicioso en dichos sistemas para sustraer información de tarjetas de crédito y débito de la memoria de los terminales de punto de venta mientras los clientes pasaban sus tarjetas por el lector.

A continuación, los piratas informáticos recopilaron y vendieron los datos sustraídos en el mercado negro digital. Target ha estimado que se ha sustraído información relativa a hasta 110 millones de clientes de , lo que la convierte en una de las filtraciones de datos más importantes de la historia. En el marco del acuerdo alcanzado por la filtración de datos, la empresa abonó 18.5 millones de dólares a 47 estados y al Distrito de Columbia (además de los 202 millones de dólares que destinó a honorarios legales y otros gastos derivados de la filtración).

«Los datos confidenciales que han sido objeto de una filtración pueden utilizarse de todo tipo de formas no previstas, lo que puede acarrear graves repercusiones para la empresa a la que se han confiado dichos datos.»

Aunque las filtraciones de datos de tarjetas de crédito acaparan la mayor parte de los titulares, no son el único ejemplo de uso indebido de datos. Los datos confidenciales que han sido objeto de una filtración pueden utilizarse de todo tipo de formas no previstas, lo que puede acarrear graves repercusiones para la empresa a la que se le han confiado dichos datos.
Uno de los ejemplos recientes más notorios de uso indebido de datos tuvo como protagonistas al gigante de las redes sociales Facebook y a la consultora británica Cambridge Analytica. Los desarrolladores de una aplicación llamada «This Is Your Digital Life» (TIYDL) recopilaron hasta 87 millones de perfiles de Facebook.

La aplicación se diseñó como un test de personalidad y se utilizó para elaborar perfiles psicológicos de los usuarios y recopilar los datos personales de sus amigos de Facebook. Posteriormente, los desarrolladores de la aplicación vendieron esos datos a Cambridge Analytica, que los utilizó para ayudar a identificar a los votantes en las campañas políticas de Donald Trump y Ted Cruz. En última instancia, Facebook pagó una multa de 5 000 millones de dólares por la filtración y el posterior uso indebido de los datos de sus usuarios.

Incidentes como la filtración de datos entre Facebook y Cambridge han suscitado un mayor escrutinio sobre la forma en que las empresas de tecnología publicitaria utilizan los datos. Esto ha dado lugar a la creación de normativas más estrictas en materia de recogida y uso de datos, como el Reglamento General de Protección de Datos (RGPD) de la Unión Europea y la Ley de Privacidad del Consumidor de California (CCPA).

¿Qué normativa existe en materia de datos sensibles?

Existen numerosos requisitos normativos que regulan la forma en que las empresas desarrollan su actividad, y la mayoría de ellos establecen cómo deben gestionarse los datos sensibles. Algunas normativas se dirigen a sectores específicos. La HIPAA, por ejemplo, se aplica al sector sanitario, mientras que la norma PCI DSS se aplica al sector financiero. Otras normativas, como la CCPA y el RGPD, se aplican a todos los sectores dentro de una región geográfica.

[Más información: La «proliferación normativa» en materia de seguridad de los datos pone bajo presión a las multinacionales]

La normativa también puede variar de un lugar a otro, por lo que los requisitos relativos al tratamiento de datos, incluso dentro de un mismo sector, pueden diferir entre Europa y Estados Unidos, e incluso de un estado a otro. Sin embargo, prácticamente todas las normativas y estándares tienen repercusiones en la seguridad informática y de los datos. Entre los más habituales se encuentran:

RGPD (Reglamento General de Protección de Datos). Aprobada por la Unión Europea en el año 2016, constituye la ley fundamental que regula la protección y la privacidad de los datos de los ciudadanos. El RGPD introdujo una serie de obligaciones para todas las transacciones que tengan lugar en los Estados miembros de la UE, entre las que se incluyen:

  • Los clientes deben dar su consentimiento para el tratamiento de datos.
  • Cualquier dato de carácter personal deberá ser anonimizado o seudonimizado (es decir, la identidad del consumidor deberá sustituirse por un seudónimo).
  • Se debe notificar a los consumidores cualquier violación de la seguridad de los datos en un plazo de 72 horas.
  • Los datos que se transfieran fuera de la UE deben recibir por parte del destinatario el mismo nivel de protección que ofrece la UE.
  • Algunas empresas deben nombrar a un delegado de protección de datos (DPO) para supervisar el cumplimiento del RGPD.

Todas las organizaciones de la UE están sujetas al RGPD, al igual que aquellas con sede en el extranjero que desarrollen actividades o tengan clientes en la UE.

La CCPA (Ley de Privacidad del Consumidor de California, por sus siglas en inglés, ), promulgada en 2018, otorga varios derechos a los residentes de California, entre los que se incluyen:

  • El derecho a saber qué datos personales se recogen, utilizan, comparten o venden.
  • El derecho a que se eliminen los datos personales que obran en poder de las empresas y sus proveedores de servicios.
  • El derecho a oponerse a la venta de datos personales.
  • El derecho a no sufrir discriminación en cuanto al precio o al servicio cuando un consumidor ejerza un derecho de privacidad en virtud de la CCPA.

La CCPA también ha establecido varias obligaciones nuevas para las empresas. Lo más importante es que las empresas sujetas a la normativa de la CCPA deben informar a los consumidores en el momento de la recogida de datos o antes. Asimismo, deben establecer procedimientos para atender a los consumidores que deseen excluirse de la recogida de datos, conocer qué datos se recogen o solicitar que se eliminen los datos recopilados, y deben responder a dichas solicitudes dentro de unos plazos determinados.

[Más información: ¿Qué es una puntuación de riesgo cibernético y por qué es importante?]

La CCPA se aplica a cualquier empresa con ánimo de lucro que preste servicios a residentes de California y cumpla uno de los siguientes criterios:

  • Genera más de 25 millones de dólares en ingresos brutos anuales.
  • Adquiere, recibe o vende anualmente los datos personales de 50,000 o más consumidores, hogares o dispositivos.
  • El 50 % o más de sus ingresos anuales procede de la venta de datos personales de los consumidores.

PCI DSS: Norma de Seguridad de Datos del Sector de las Tarjetas de Pago ( ). Desde su introducción en el año 2004, se ha actualizado periódicamente para mejorar los estándares de seguridad en el procesamiento de pagos. En ella se especifican una docena de requisitos fundamentales para proteger los datos de los titulares de tarjetas, entre los que se incluyen los requisitos relativos a los cortafuegos y las normas sobre contraseñas, el cifrado de los datos en tránsito, la supervisión del acceso a la red y otros aspectos. La norma PCI DSS se aplica a cualquier organización que acepte, transmita o almacene datos de titulares de tarjetas.

La Ley de Portabilidad y Responsabilidad del Seguro Médico (HIPAA, por sus siglas en inglés) establece las normas que rigen el tratamiento de la información sanitaria protegida (PHI) por parte de los proveedores de asistencia sanitaria. La información médica protegida (PHI) abarca una amplia gama de datos de los pacientes, entre los que se incluyen identificadores personales, como el nombre, la fecha de nacimiento y el sexo, así como información sanitaria, como diagnósticos, datos sobre tratamientos y resultados de pruebas médicas. La HIPAA establece las normas que rigen el acceso a la información médica protegida (PHI) y fija las medidas de seguridad físicas, administrativas y técnicas que las organizaciones sanitarias deben aplicar para garantizar su protección. Asimismo, aborda cómo deben actuar los centros sanitarios en caso de que se produzca una filtración de datos. Los centros sanitarios, incluidos los hospitales, las consultas médicas, las residencias de ancianos y cualquier otra entidad que preste servicios sanitarios a clientes o pacientes, deben cumplir con la normativa HIPAA.

La FERPA ( , Ley de Derechos Educativos y Privacidad de la Familia) es una ley federal que protege la privacidad de los expedientes académicos de los alumnos. Estos registros pueden encontrarse en cualquier soporte y suelen incluir tanto datos de identificación personal (número de la Seguridad Social, fecha de nacimiento, sexo, origen étnico) como información académica (resultados de exámenes, nota media, expedientes académicos e información sobre ayudas económicas). La ley reconoce varios derechos a los padres, entre ellos el derecho a consultar el expediente académico de sus hijos y a corregir cualquier dato erróneo. Además, les permite controlar la divulgación de la información de carácter personal que figura en los expedientes de sus hijos. Estos derechos se transfieren directamente al estudiante una vez que cumple 18 años o comienza a estudiar en la universidad. La ley FERPA se aplica a todos los centros educativos que reciben financiación federal.

El NIST ( o Instituto Nacional de Estándares y Tecnología), un organismo federal sin funciones reguladoras, establece normas para los sectores científico y tecnológico con el fin de ayudar a los organismos federales y a los contratistas a cumplir los requisitos de la Ley Federal de Gestión de la Seguridad de la Información (FISMA, por sus siglas en inglés) (). No obstante, las normas del NIST pueden ayudar a cualquier organización a mejorar su seguridad y a prevenir infracciones de la normativa federal, como la PCI DSS y la HIPAA. Organizaciones de todo el mundo utilizan el Marco de Ciberseguridad del NIST (CSF) « » ( ) para reducir el riesgo cibernético y proteger sus redes y datos. Las Normas de Procesamiento de la Información Federal (FIPS) del NIST son utilizadas por organismos públicos, contratistas y proveedores. Las normas FIPS establecen requisitos para situaciones que no están contempladas en las normas sectoriales más generales, proporcionando un marco para una gama diferente de procesos de seguridad.

La CMMC ( , Certificación del Modelo de Madurez en Ciberseguridad) es un programa del Departamento de Defensa que establece normas y buenas prácticas para los contratistas de la Base Industrial de Defensa (DIB). Los contratistas del DIB manejan datos gubernamentales confidenciales, y el CMMC garantiza que los protejan de la misma forma que lo hacen los organismos gubernamentales y militares. En concreto, el CMMC aborda la protección de la información relativa a contratos federales (FCI) y de la información no clasificada controlada por el Departamento de Defensa ( ) (CUI).

Otras normas de cumplimiento en materia de seguridad que las organizaciones deben tener en cuenta son la COPPA (Ley de Protección de la Privacidad Infantil en Internet), los controles del CIS (Centro de Controles de Seguridad en Internet) y el FedRAMP (Programa Federal de Gestión de Riesgos y Autorizaciones). Además, cada año entran en vigor más requisitos normativos. Las organizaciones deben conocer qué normas y reglamentos se aplican a su actividad, ya que cualquier incumplimiento puede acarrear sanciones y costes considerables.

¿Cómo obtienen los atacantes los datos confidenciales?

Existen innumerables formas en que los atacantes pueden sustraer datos confidenciales, y los piratas informáticos más ingeniosos desarrollan métodos cada vez más sofisticados. Entre los métodos más populares se encuentran:

  • El término «malware» («software malicioso») se refiere, en términos generales, a cualquier script o código diseñado para aprovechar las vulnerabilidades de un dispositivo. Los atacantes aprovechan una vulnerabilidad para introducir malware —que el usuario descarga sin darse cuenta a través de un archivo adjunto de correo electrónico o un enlace web— en el sistema, donde puede llevar a cabo diversas acciones maliciosas, como registrar las pulsaciones del teclado, transmitir datos confidenciales al ordenador del atacante o capturar sus contraseñas. El malware goza de especial popularidad debido a que es fácil de distribuir y resulta muy eficaz.
  • El phishing es un tipo de ataque de ingeniería social en el que el atacante utiliza correos electrónicos, mensajes de texto o llamadas telefónicas que parecen proceder de una institución legítima para engañar a la víctima y que esta revele datos confidenciales, como credenciales de acceso e información de tarjetas de crédito. El phishing ha ido en aumento en la era de la COVID, y ha representado el 36 % de las filtraciones de datos en 2021, lo que supone un aumento del 11 % con respecto al año anterior.
  • de scripts entre sitios (XSS): Los hackers utilizan ataques XSS para inyectar un script o código malicioso, escrito en un lenguaje de programación habitual como JavaScript, Flash o HTML, en el contenido de un sitio web. A continuación, el script malicioso se ejecuta en el navegador del usuario cuando este visita el sitio web, lo que permite al pirata informático robar las cookies y capturar cualquier información que el usuario envíe a dicho sitio, como credenciales de inicio de sesión, números de tarjetas de crédito y otros datos confidenciales.
  • Robo de dispositivos: Los delincuentes oportunistas pueden obtener datos confidenciales con solo acceder físicamente al dispositivo de un usuario. Una causa habitual de la filtración de datos es un dispositivo desatendido: un ordenador portátil que se ha dejado en el coche o sobre la mesa de una cafetería. Una vez que alguien lo tiene en sus manos, tiene acceso a lo que podría ser un auténtico tesoro de datos confidenciales, sobre todo si el dispositivo no está protegido con contraseña ni cifrado.

¿Dónde se suelen almacenar los datos confidenciales?

Los datos sensibles pueden encontrarse en cualquier lugar y en todas partes. Cada día, los datos circulan entre una gran variedad de dispositivos, usuarios, aplicaciones y servicios. Esto puede hacer que resulte extremadamente difícil protegerla, sobre todo una vez que sale de su red. Un archivo almacenado en un servidor centralizado y seguro, por ejemplo, puede verse comprometido cuando un empleado descarga una copia en su ordenador portátil personal —que, con toda seguridad, no cuenta con el mismo nivel de seguridad— y, a continuación, se olvida de borrarlo una vez que ha terminado de trabajar con él. También se pueden encontrar datos confidenciales en servidores de copia de seguridad y discos duros.

¿Por qué resulta difícil proteger los datos confidenciales?

Una vez más, uno de los principales problemas a la hora de proteger los datos confidenciales es que se encuentran dispersos en tantos lugares, lo que hace que resulte difícil incluso localizarlos, y mucho más protegerlos. Es posible que algunos de estos dispositivos se desconecten con frecuencia de la red —como ocurre con el ordenador portátil de un empleado o una memoria USB—, lo que limita la visibilidad que tiene la empresa sobre los datos. La protección de los datos confidenciales también exige un delicado equilibrio entre la seguridad y la facilidad de uso. Los usuarios necesitan acceder a determinados documentos, pero para obtener dicho acceso puede ser necesario contar con permisos de niveles superiores. Para mitigar este riesgo, una empresa debe establecer procesos rigurosos tanto para la concesión de permisos como para la finalización de sesiones, y debe garantizar que se eliminen del dispositivo todos los datos residuales. Una herramienta de supervisión de datos sensibles puede ser de gran ayuda para hacer frente a muchos de estos retos.

¿Cómo funcionan las herramientas de supervisión de datos sensibles?

Las herramientas de supervisión de datos sensibles pueden adoptar dos enfoques. Una de ellas se basa en la red, en la que un software centralizado se conecta desde un servidor para analizar todos los dispositivos de la red en busca de datos confidenciales. Sin embargo, este método es lento, ya que afecta al ancho de banda de la red, y puede dejar lagunas, ya que no permite acceder a dispositivos que se encuentran fuera de la red corporativa.

[Más información: ¿En qué consiste la gestión de vulnerabilidades de los dispositivos?]

El enfoque alternativo utiliza una arquitectura centrada en el cliente para buscar datos confidenciales en todos sus terminales. Su impacto en el rendimiento de la red es mucho menor y, una vez que realiza un análisis inicial en busca de datos confidenciales, continúa indexando sus terminales en tiempo real para mantener los análisis actualizados. Y, dado que el software se instala directamente en el dispositivo final, podrá realizar análisis en busca de datos confidenciales incluso cuando el dispositivo no esté conectado a la red corporativa.

¿Cuáles son las características principales de una herramienta de supervisión de datos sensibles?

Al igual que con cualquier herramienta nueva, la facilidad de uso y la compatibilidad con sus tecnologías actuales son aspectos fundamentales a tener en cuenta. Otras características que conviene tener en cuenta son:

  • Análisis basado en agentes: Las herramientas de supervisión basadas en agentes instalan un paquete de software («agente») en cada dispositivo que desee analizar. Cada agente recopila datos de seguridad relevantes de su equipo anfitrión y los envía a un servidor de recopilación. Esto le permite escanear dispositivos incluso si están desconectados o fuera de la red de la organización. Las herramientas de supervisión basadas en agentes también son más ligeras que las basadas en red, lo que alivia la carga sobre su red.
  • Compatibilidad con múltiples formatos de archivo y sistemas operativos: Una herramienta de supervisión de datos confidenciales debe ser capaz de recuperar datos en una amplia variedad de formatos de archivo habituales (Word, Excel, PDF, etc.) en dispositivos finales con Windows, Mac y Linux.
  • Contenido normativo listo para usar: La herramienta debe ofrecer una visión detallada del RGPD, PCI DSS, HIPAA, CCPA y otros casos de uso normativos, lo que le permitirá elaborar informes y responder con rapidez a los requisitos de privacidad de datos a medida que cambien las disposiciones legales.

Más recursos