Data Loss Prevention: cómo proteger los datos y a la red de amenazas internas

Data Loss Prevention: cómo proteger los datos y a la red de amenazas internas

Lorena Fernández

El concepto de Data Loss Prevention (Prevención de Pérdida de Datos) consiste en que usuarios finales de una red no envíen información sensible o confidencial. Se aplica mediante un software que apoya a la administración de redes, que monitoriza qué tipo de datos los usuarios están transfiriendo. A simple vista, dicho concepto puede percibirse como bastante obvio. Sin embargo, las amenazas que ocurren a nivel interno de la organización son las que tienen más posibilidades de convertirse en peligrosos ataques y vulnerabilidades.

Hoy en día, implementar prácticas y soluciones DLP es bastante necesario. A razón de que los datos de la organización son monitorizados detalladamente cada vez que se den eventos de tráfico. Tanto a través de la red, como los intentos de hacerlos pasar fuera de la red de origen. Esto último, de detectarse, se califica como actividad sospechosa y deniega esa actividad mediante políticas estrictas.

Ahora bien, ¿con qué tipo de datos debemos tener especial cuidado?

  • Propiedad Intelectual: toda producción original de datos de parte de la organización. Aquí también se consideran datos sensible propias de la misma como listas de precios, control de stock, facturación y documentación en general.
  • Datos Corporativos: son los que constituyen al esqueleto de la organización. Como los documentos de planificación estratégica organizacional, datos financieros y datos de los colaboradores (datos personales, nómina).
  • Datos de los Clientes: números de tarjetas de crédito (incluido el código de seguridad), datos financieros, números de seguridad social, registros médicos y mucho más.

Sugerencias de prácticas para implementar Data Loss Prevention

El portal Nordic Backup recomienda una lista amplia pero esencial para que la implementación de la Prevención de Pérdida de Datos sea exitosa y sobre todo, eficaz con el propósito que tiene. Destacamos algunas de ellas:

  1. Realizar copias de seguridad de manera periódica de información esencial relacionada al negocio de la organización y los datos personales. La periodicidad recomendada es la semanal. Sin embargo, toda copia de seguridad que se genere, debería estar almacenada en servidores que estén ubicados en una ubicación geográfica fuera de la organización. Existen organizaciones que ofrecen este tipo de servicios, con sus distintos costes de acuerdo a la necesidad. Lo ideal es realizar una copia de seguridad siguiendo el esquema 3-2-1.
  2. Utiliza una solución de antivirus que se adecue los ordenadores de la organización y sus correspondientes sistemas operativos. Además, se debe considerar qué tipo de tareas se realizan diariamente y qué tipo de datos son manipulados en cada ordenador y/o en cada sección de la compañía. Actualiza el software del antivirus y la base de datos del mismo ni bien las actualizaciones se encuentren disponibles. Si tienes dudas acerca de cuál es la mejor solución, puedes consultar con otras personas con más experiencia en este aspecto.
  3. Asegúrate que todos los ordenadores cuenten con un firewall lo suficientemente robusto como para prevenir eficazmente la entrada de tráfico externo a la red que no sea seguro. Los sistemas operativos de los diferentes ordenadores deben contar con las últimas actualizaciones disponibles, a medida que vayan estando disponible, con el objetivo de estar siempre a la última en cuanto a parches de seguridad importantes se refiere, para mitigar lo mejor posible los ataques y vulnerabilidades.
  4. Implementar un sistema de contraseñas fuertes que permita únicamente extensiones de al menos ocho caracteres, incluyendo números y letras tanto en mayúsculas como en minúsculas. Así también, es recomendable cambiar las claves de manera periódica, recomendable que se cambien cada 3-6 meses aproximadamente, como medida adicional de seguridad. Por otro lado, es importante concienciar a los usuarios que no realicen prácticas inseguras de creación de contraseñas, como indicar sus nombres o cualquier dato personal. No importa si la contraseña no tiene un sentido en concreto, y son caracteres alfanuméricos aleatorios. Os recomendamos visitar nuestra guía para crear contraseñas seguras.
  5. Lo que más importa. Educar a los colaboradores en general, además de educarnos a nosotros mismos. Se sabe que no importa en qué nivel te encuentres dentro de tu organización o entorno, saber las consecuencias de compartir datos internos fuera es un gran riesgo personal y corporativo.

Esperamos que con estos consejos puedas prevenir la pérdida de datos importantes, ya sean datos personales o de la empresa.