¿Sabes dónde están todos los datos de tu empresa y cómo fluyen por sus operaciones y procesos? Los datos corporativos circulan por canales tanto oficiales como no oficiales: correo electrónico, cloud, impresoras, mensajería instantánea, etc. Si los empleados no los tratan con el cuidado adecuado, pueden perderse con facilidad. Sigue leyendo para conocer la protección de datos: por qué es importante y cómo abordarla mejor.
Los datos de negocio son cualquier información relevante para el funcionamiento de una empresa. Existen dos tipos de datos: datos de entrada y datos de salida. Los datos de entrada los aportan los usuarios; los de salida los proporcionan los ordenadores.
Las empresas recopilan datos de fuentes y canales muy diversos, y lo hacen mediante distintos tipos de software o IA. Para el procesamiento de Big Data se utilizan herramientas más sofisticadas.
Ejemplos de datos que las empresas suelen tener:
El flujo de datos es el movimiento de los datos de tu empresa a través de los sistemas. Los datos pueden circular tanto por software como por hardware y pueden modificarse durante el proceso de movimiento.
Distintos empleados y equipos tienen acceso a los datos en puntos concretos del flujo. Pueden modificar los datos, facilitarlos a otros departamentos o proveedores o incluso eliminarlos.
Los datos pueden filtrarse en cualquier momento, y cada etapa del flujo de datos puede ser un punto de riesgo desde el punto de vista de la protección de datos.
En el pasado, los datos de las empresas se guardaban en papel: en archivadores y carpetas en oficinas y archivos. Con la digitalización, todos esos datos pasaron a formatos digitales. Los datos se pueden encontrar y mover por los siguientes canales (oficiales y no oficiales):
Las amenazas internas (insider threats) están en aumento debido a las tendencias de los entornos de trabajo digitales, el trabajo flexible y en remoto y los enfoques ágiles y BYOD. El número total de incidentes ha crecido un 44 % en los dos últimos años. La mayoría de estas amenazas son no intencionales: el 56 % las causaron insiders negligentes, mientras que el 26 % fueron malintencionadas.
Más información sobre las amenazas internas aquí.
Los datos tienen un gran valor para las empresas y pueden generar fácilmente una nueva fuente de ingresos. Hay incluso compañías cuyo negocio se basa en la generación de datos. Por eso, los empleados pueden tener motivación para robar datos de la empresa y vendérselos a la competencia o a otras empresas.
Cuando se produce una brecha de datos, la reputación de la empresa queda en peligro. Una cobertura mediática negativa puede reducir el número de clientes y, por tanto, el beneficio.
Los costes de las brechas pueden ser enormes. El coste total de un incidente de amenaza interna ha pasado de 11,45 millones de USD en 2020 a 15,4 millones de USD en 2021. Cuanto más tiempo se tarde en detectar una amenaza interna, mayores serán los costes. De media, se tarda casi tres meses (85 días) en contener un incidente de amenaza interna. Los incidentes que tardaron más de 90 días en descubrirse costaron a las empresas 17,19 millones de USD; el coste medio de los incidentes detectados en menos de 30 días fue de 11,23 millones de USD.
En caso de brecha de datos, las autoridades pueden imponer multas. La normativa más estricta es el GDPR. Las empresas que infrinjan el GDPR pueden esperar las siguientes multas:
Más información sobre el GDPR en este artículo.
Como ya hemos comentado, la mayoría de las amenazas internas son no intencionales y se producen por motivos diversos, como modos de trabajo híbridos o enfoques BYOD. Las amenazas internas también pueden producirse porque los empleados están cansados, trabajan bajo estrés o no son conscientes de los procesos de seguridad y de la importancia de la seguridad de los datos.
Veamos algunas situaciones de la vida real que muestran cómo las amenazas internas forman parte de las operaciones diarias del negocio.
James necesita recoger a su hija y no le da tiempo a actualizar la base de datos de clientes para el envío de correos del día siguiente. Quizá podría hacerlo desde casa, pero según las políticas de la empresa, no es posible iniciar sesión sin una VPN. Y se acaba de comprar un portátil nuevo, pero todavía no ha configurado la VPN.
Mientras tanto, su hija está llorando y la profesora está llamando a James para ver si va de camino. Él está con prisa, así que copia la hoja de Excel y la sube a su Google Drive personal y decide hacer el trabajo desde casa por la noche. Pero su Google Drive está lleno de fotos de las vacaciones y no hay espacio suficiente para subir el Excel. Así que James lo sube a WeTransfer. Sin cifrado y sin contraseña.
Laura está trabajando en un correo importante con documentos financieros para el CFO de su empresa cuando, de repente, le suena el teléfono. Es un compañero con un asunto importante que hay que resolver de inmediato. Laura está al teléfono con su compañero mientras selecciona la dirección de correo del destinatario. Bajo presión, en lugar del nombre del CFO, elige por error la dirección de correo del cliente entre las sugerencias.
Charlie tiene problemas con su jefe y decide buscar un nuevo empleo. Es un profesional con talento y ya ha recibido una oferta de la competencia. Charlie sabe que la base de datos de clientes de su empresa le será útil en su nuevo puesto y decide llevársela. Le parece arriesgado mandarla por correo electrónico, así que sube algunas capturas y exportaciones de la base de datos a su memoria USB.
Como ves en los ejemplos, las amenazas internas no suelen tener intenciones maliciosas; sin embargo, las consecuencias pueden ser tan dañinas para la empresa como un acto malintencionado.
Independientemente del número de canales que utilice tu empresa, hay algunas formas universales de proteger tus datos.
Monitoriza tu flujo de datos
Safetica ofrece funciones para rastrear y proteger los distintos canales de flujo de datos que utiliza tu empresa. Safetica revisa los canales de comunicación salientes de tu empresa y te ofrece una visión global de cómo se mueven los datos. Una vez que conoces tus flujos de datos, puedes establecer medidas de seguridad: avisar a los usuarios de comportamientos de riesgo o bloquear acciones peligrosas de intercambio de archivos.
Te ayuda a cumplir con las normativas
Safetica te ayuda a monitorizar el flujo de datos dentro de tu entorno de TI y también cuando los datos abandonan el perímetro de tu empresa. Puedes establecer reglas específicas que te ayuden a cumplir con el GDPR u otras normativas de protección de datos. Podrás ver cómo trabajan los empleados con los datos personales y otros datos sensibles, lo que te permite eliminar el riesgo de mal uso o de una violación accidental de las políticas. El sistema te avisa en tiempo real ante una amenaza de seguridad.
Cifra tus datos
Safetica te ofrece la opción de gestionar el cifrado de dispositivos USB y discos mediante BitLocker. La solución se encarga de la gestión de las claves de seguridad y de la recuperación.
Protege tus datos frente a las amenazas internas
Safetica analiza el comportamiento de los usuarios y te avisa cuando detecta anomalías. Si un usuario empieza a enviar grandes cantidades de datos por la noche o trabaja de repente con tipos de datos distintos a los habituales, hay un posible incidente: el sistema te avisa y puedes tomar las medidas oportunas.
Safetica avisa a los empleados sobre las operaciones de riesgo, formándolos así en seguridad de los datos. Es importante confiar en tus empleados, pero no olvidemos que todos somos personas y que las personas se equivocan. Safetica mitiga estos riesgos y puedes irte a dormir tranquilo/a sabiendo que los datos, las personas y tu empresa están protegidos.