Aunque la digitalización empresarial ha aportado muchas ventajas, la espectacular proliferación de datos en la sombra es un efecto secundario que debe preocupar, máxime ahora, cuando la creciente adopción de modelos cloud e híbridos ha multiplicado estos riesgos de manera exponencial.
Es crucial conocer qué tipo de datos se gestionan y su criticidad, a fin de priorizarlos y establecer los niveles de seguridad a aplicar.
Aunque de forma general, todos los datos deben ser protegidos, lo cierto es que muchas organizaciones suelen plantear esta protección en función del nivel de criticidad, dedicando mayores recursos a los de alta sensibilidad (registros financieros o de propiedad intelectual) y media (uso interno, como correos electrónicos o documentos), dejando más desatendidos los de baja sensibilidad (destinados a uso público).
Aunque, de forma general, todos los datos deben ser protegidos, muchas organizaciones suelen plantear esta protección en función del nivel de criticidad
Ignorar los datos de poco valor, bajo el pretexto de que su vulneración o filtración no conllevará una sanción económica, es una práctica errónea y, sobre todo, peligrosa. Igual que pensar que los datos de bajo riesgo no pueden ser un objetivo para los hackers.
Los datos de bajo riesgo como puerta de entrada
Aunque en sí mismos los datos de bajo riesgo pueden no plantear a priori ningún tipo de peligro, el hecho de que un agente malicioso consiga entrar sin ser detectado y establecer una “base avanzada” dentro de los sistemas de información de una organización, ya supone una amenaza significativa.
No hay que pasar por alto que, una vez dentro, los delincuentes pueden dedicar todo el tiempo que quieran a conocer el terreno, identificar dónde residen los datos de alto riesgo, cómo son los controles de seguridad y quiénes son los administradores de bases de datos (DBA). Tras esto, solo les queda elegir el momento propicio para atacar al empleado adecuado y, sigilosamente, empezar a exfiltrar cantidad de datos valiosos por una puerta trasera.
Por ello, y aunque parezca contradictorio, dar prioridad a la protección de datos de bajo riesgo puede comportar un uso más efectivo de los recursos corporativos, al permitir, por ejemplo, minimizar las consecuencias derivadas de la introducción de una nueva herramienta de seguridad y obtener información relevante sobre sus técnicas de ataque.
Y es que, como en cualquier nueva integración, la instalación de una herramienta de seguridad de datos puede generar incidentes e interrupciones potenciales. De ser así, es mejor que esto suceda con datos de bajo riesgo y no sobre un repositorio de datos importante, con consecuencias muy negativas para la empresa.
Por otro lado, si solo se aplican medidas de seguridad a datos de alto riesgo, con idea de detener una exfiltración, será necesario estar en el lugar adecuado en el momento oportuno. Cuando los hackers se disponen a robar datos sensibles, no se quedan parados: entran, obtienen los datos y desaparecen. Sin embargo, en la supervisión de los datos de bajo riesgo es donde los equipos de seguridad encontrarán todo tipo de señales y alertas interesantes, ya que los hackers experimentan y juegan en ese “patio trasero” buscando encontrar la mejor manera y el momento idóneo para atacar.
Exclusive Networks anima a las empresas a aplicar una política de seguridad de datos adecuada; no ignorando ningún dato, aunque haya sido clasificado como de bajo riesgo. En línea con el marco NIST, es recomendable la adopción de herramientas de descubrimiento y clasificación de datos para diseñar una correcta estrategia de protección.
