Gestionar datos de forma segura a lo largo de su ciclo de vida

Creación o colección

Esto puede implicar la entrada manual de datos, como datos relacionados con un nuevo miembro de la organización; adquirir datos externos producidos fuera de la organización; o datos generados por dispositivos, como los hábitos de gasto de los clientes capturados por las tarjetas de fidelización de la tienda, por ejemplo.

El almacenamiento de estos datos requiere tener la autorización correcta: consentimiento para información de identificación personal (PII) y permiso para almacenar, procesar y transmitir datos de la organización.

Identificación o clasificación

Las organizaciones deben apuntar a clasificar la información, potencialmente con la ayuda de tecnología como herramientas de inteligencia artificial (IA). Sin embargo, es importante tener en cuenta que las etiquetas en sí mismas (confidenciales, privadas, de alto secreto, por ejemplo) no protegen los datos; las personas necesitan una comprensión clara de cómo manejar los datos en función de su clasificación.

La clasificación y administración de datos no estructurados, incluidos archivos de Excel, documentos de Word y exportaciones del sistema, siempre es un desafío, pero clasificarlos y almacenarlos en el lugar correcto brinda tranquilidad y una base para reglas de manejo más complejas.

Las organizaciones también deben mantener un catálogo de toda la información, definiendo claramente para cada nivel de clasificación:

Esto es particularmente relevante cuando existen requisitos de información confidencial, como el manejo de información personal bajo el Reglamento General de Protección de Datos (GDPR).

Gobernancia

Cada clasificación o tipo de datos requiere un propietario claro, ya sea el jefe de un departamento o un equipo, o la persona que lo envía. En algunos casos, esto será determinado por la legislación (GDPR define propietarios de datos versus procesadores, por ejemplo) y la regulación (como PCI DSS, que establece quién es responsable). Los propietarios se aseguran de que los datos se manejen de acuerdo con los principios de gobernanza de datos de la organización, que permiten un acceso eficiente y un uso adecuado de los datos almacenados respetando las leyes y normativas locales.

Todas las personas que entran en contacto con los datos deben estar capacitadas para que sepan dónde deben almacenarse, cómo deben procesarse y la forma correcta de transmitirlos.

Si es posible, todos los datos deben tener una fuente de datos original identificada, idealmente dentro de una aplicación para facilitar la catalogación y capturar cualquier cambio. Esto proporciona una versión maestra clara si se realizan copias de los datos y luego se manipulan o cambian con fines comerciales.

Manejo

La forma en que las personas manejan los datos es uno de los pasos más críticos para mantenerlos seguros. Dónde debe almacenarse (en computadoras portátiles, unidades de almacenamiento compartidas basadas en la nube, etc.) debe definirse claramente, junto con cómo debe transmitirse (nunca por correo electrónico, siempre encriptado, solo versiones redactadas, por ejemplo), y la forma en que se debe procesar (nunca exportar desde el sistema maestro, solo con aprobación, solo usando procesos acordados, etc.).

Sin pautas claras, se puede acumular rápidamente un desorden de datos duplicados, sin que nadie esté seguro del original y los valores que se deben usar. A partir de ahí, es un paso fácil para las personas que comparten material que no deberían, lo que abre a la organización a violaciones de datos.

Además del elemento humano, el cifrado, como control clave para el almacenamiento y la transmisión de datos, juega un papel importante en el manejo de datos. Viene con sus propios desafíos, pero también desarrollos interesantes. Por ejemplo, para ser utilizados, los datos normalmente tienen que ser descifrados, dejándolos vulnerables antes de que se vuelvan a cifrar. Sin embargo, el cifrado homomórfico, al permitir la interacción con los datos cifrados, podría eliminar este punto de riesgo.

Proteccion

No existen reglas estrictas cuando se trata de cómo proteger los datos. Para evitar la divulgación (accidental o deliberada), cada organización debe realizar una evaluación de riesgos para cada tipo de datos que posee para comprender los riesgos y las posibles formas en que podrían copiarse, exportarse o guardarse sin aprobación. Armados con este conocimiento, se pueden tomar las medidas adecuadas.

Una vez que se han establecido los riesgos y el impacto del acceso no autorizado, las herramientas se pueden utilizar tanto para proteger los datos como para prevenir usos no deseados de los mismos. Las herramientas se pueden usar para monitorear los datos que salen de la organización (prevención de pérdida de datos), buscar exportaciones de aplicaciones empresariales y monitorear el comportamiento del usuario para detectar el intercambio o el envío de datos por correo electrónico (XDR e información de registro del sistema).

La forma más eficaz de detener el uso no autorizado de datos es evitar que las personas accedan a ellos en primer lugar. Los controles de acceso deben aplicarse en todos los niveles de la tecnología: la aplicación en sí donde las personas inician sesión regularmente, las bases de datos donde se almacena y las interfaces que transmiten datos de una aplicación a otra, aunque en realidad es difícil identificar todas las áreas.

Independientemente de las herramientas o capacidades implementadas, es esencial que sean monitoreadas para garantizar que se detecten las alertas que indiquen anomalías. Las herramientas de orquestación, automatización y respuesta de seguridad (SOAR) y similares se pueden usar para bloquear automáticamente los intentos no autorizados de exportar o compartir datos, pero deben administrarse para garantizar que las falsas alarmas se minimicen y que, en última instancia, no se produzca ninguna infracción.

También deben considerarse los controles físicos. Las impresoras son una forma común de que la información altamente confidencial esté ampliamente disponible, mientras que algunas organizaciones utilizan puertas de seguridad u otras barreras físicas para restringir el flujo de información.

Las copias de seguridad deben tener la misma protección que los datos en vivo. No importa cuán fuertes sean los controles para restringir el acceso a los datos, si un archivo de respaldo se almacena en algún lugar de manera centralizada o en un centro de recuperación de desastres con controles más débiles, la seguridad general se ve comprometida y se introduce un riesgo.

Archivado y destrucción

En general, los propietarios de los datos especificarán la duración de la retención de “sus” datos, que a menudo está vinculada a la legislación, aunque la longevidad de la información financiera relevante a menudo se rige por el ciclo de auditoría.

Deben establecerse puntos de revisión para cuando las personas abandonen la organización o cambien de roles. En este punto, se debe revocar el acceso a sus datos y realizar una revisión de los datos a los que tienen acceso, ya que la información potencialmente desactualizada o confidencial puede almacenarse en sus dispositivos.

Inicialmente, los datos “antiguos” pueden archivarse transfiriéndolos fuera del entorno de producción activo, donde su seguridad continua se puede lograr con herramientas como software antivirus y seguridad y cifrado de red. Sin embargo, no es práctico almacenar los datos archivados de forma indefinida y se debe seguir el programa de retención para garantizar que se eliminen en el momento correcto.

La eliminación automatizada de datos, que se puede implementar en la mayoría de las aplicaciones comerciales, puede ser una perspectiva aterradora, pero es la forma más efectiva de purgar la información obsoleta. Las copias de seguridad, las copias, la información compartida con terceros de confianza y en cualquier otro lugar donde se haya copiado deben ser rastreadas y destruidas, con procesos estrictos definidos, seguidos y auditados para asegurarse de que esto se lleve a cabo como se esperaba.