Tres lecciones que aprender de las violaciones de datos de 2015
El año 2015 se volvió famoso por las filtraciones de datos que comprometieron en promedio más datos que nunca. Cualquier violación de la seguridad es el resultado de una brecha de seguridad, negligencia o subestimación del factor humano. Algunos de ellos podrían haberse evitado si los empleados hubieran seguido mejor las políticas de seguridad o si las organizaciones hubieran tomado más en serio los problemas menores de seguridad. Aun así, cada nube tiene un lado positivo. Las empresas incumplidas no pueden retroceder en el tiempo y arreglar lo que había que arreglar, pero nos dan una lección valiosa y una oportunidad de ser más inteligentes y evitar los mismos errores.
Aquí hay tres lecciones que se aplican a todos:
Abordar las vulnerabilidades descubiertas.
Casi 11 millones de registros de clientes de Premera Blue Cross fueron vulnerados unas semanas después de que una auditoría de rutina revelara algunos problemas de seguridad de la red. Desafortunadamente, no se abordaron a tiempo. ¿Lecciones aprendidas? Las auditorías existen por una razón. Afronte las vulnerabilidades descubiertas lo antes posible: no espere a que los piratas informáticos las exploten.
Supervise las actividades de los usuarios privilegiados y aplique el principio de privilegios mínimos.
El acceso a datos confidenciales y las intenciones maliciosas es la combinación más peligrosa. Un ejemplo reciente es un caso en el que un empleado robó 350.000 registros de clientes de Morgan Stanley y más de 900 de ellos se publicaron posteriormente en línea. Protegerse contra el uso indebido de información privilegiada es un verdadero desafío. Aún así, se pueden tomar algunas medidas útiles. Primero, establecer el principio de los menos privilegiados. Implica que los empleados tengan acceso únicamente a la información que necesitan para sus funciones. En segundo lugar, supervise todas las actividades de los usuarios privilegiados para rastrear a alguien demasiado curioso.
Tenga en cuenta el factor humano.
Bank of Manhattan Mortgage Lending seguramente tiene sólidas políticas y sistemas de seguridad. Sin embargo, no les ayudaron a evitar el riesgo de una negligencia humana. El incumplimiento de las políticas establecidas por parte de un empleado resultó en una filtración de datos; sin embargo, el banco aún no ha anunciado la cantidad exacta de registros comprometidos almacenados en una unidad de disco extraíble. Aunque no es posible eliminar por completo el factor humano, asegúrese de incluirlo en las políticas de seguridad. Realizar capacitaciones periódicas sobre políticas de seguridad corporativa y nuevas amenazas. Los empleados deben comprender su responsabilidad personal por la seguridad de los datos. Idealmente, los empleados deberían percibir las medidas de seguridad como una obligación, no sólo como un ejercicio burocrático o que complica la vida.
Las filtraciones de datos de 2015 han servido como una llamada de atención, señalando que los métodos de seguridad tradicionales no protegen contra ataques sofisticados. El departamento de TI debe mantener cierto nivel de control sobre la infraestructura de TI y estar al tanto de posibles vulnerabilidades para poder reaccionar de inmediato ante cualquier ciberataque o fuga de datos.