ESG
Francisco Lázaro, «¿Cuánto vale esta información?»
Francisco Lázaro Anguís, CISO y DPD RENFE, Presidente del Grupo de Seguridad de Autelsi
Cómo en nuestra vida cotidiana, que en demasiadas ocasiones valoramos las cosas cuando nos faltan, en la seguridad de la información se presenta la paradoja que, denominándose así, el foco se pone en los sistemas y no en la información, lo que nos puede llevar a esa misma lamentación.
No debiera ser necesario recordar que, en la era digital e interconectada actual, la información se ha convertido en uno de los activos más valiosos para las organizaciones y los individuos. Desde datos personales hasta propiedad intelectual, la protección de la información es esencial para mantener la confianza, cumplir con regulaciones y salvaguardar ventajas competitivas. Sin embargo, a la natural falta de concienciación en materia de ciberseguridad, se une el crecimiento exponencial de los datos, especialmente en la información no estructurada, con lo que se ha vuelto más desafiante gestionar y proteger adecuadamente estos recursos.
La información estructurada, aquella que está nuestras bases de datos suele estar bien protegida porque somos conscientes, en mayor o menor medida, de su valor, pero... ¿qué pasa con la información no estructurada?; con la cantidad ingente de documentos Word, hojas Excel, PDFs, correos electrónicos o imágenes, por citar algunas de estas informaciones que las empresas generan constantemente.
Este tipo de información representa un desafío a la seguridad por su volumen y variedad, la hiper distribución física por los diferentes repositorios, sistemas y dispositivos, por la dificultad para ser analizada y por contener información sensible que pasa muy habitualmente desapercibida.
Esta información no es simplemente un conjunto de datos o de palabras; es el conocimiento derivado de estos que puede influir en decisiones estratégicas, innovaciones y operaciones diarias.
Valorar la información implica reconocer su importancia y tomar medidas proactivas para protegerla. La valoración, se hace pensando en, como empezábamos este escrito, situándonos en su perdida, en concreto en la perdida de la confidencialidad, integridad y/o disponibilidad:
No valorar adecuadamente la información puede llevar a consecuencias graves, como brechas de seguridad, pérdida de confianza del cliente, perdidas de oportunidades, sanciones legales y daños a la reputación.
La forma de visibilizar ese valor es mediante la clasificación y categorización de la información. Estos son procesos fundamentales que permiten a las organizaciones identificar qué datos son más críticos y requieren niveles más altos de protección.
La clasificación implica asignar una categoría o nivel de sensibilidad a diferentes tipos de información. Por ejemplo:
Pública: Información que puede ser compartida libremente.
Interna: Datos para uso dentro de la organización.
Confidencial: Información sensible que debe ser protegida.
Secreta: Datos altamente sensibles que requieren máxima protección.
Los Beneficios de la clasificación, principalmente permiten:
Priorización de Recursos: Permite asignar recursos de seguridad donde más se necesitan.
Cumplimiento Normativo: Ayuda a cumplir con regulaciones que exigen protección de ciertos tipos de datos.
Concienciación del Personal: Facilita que los empleados entiendan la importancia de manejar adecuadamente la información.
Para gestionar la seguridad de la esa información clasificada, debemos como hemos dicho apoyarnos en la clasificación y para facilitar esa labor, debemos implementar herramientas de búsqueda y análisis (para identificar y categorizar datos), en las marcas, en la formación del personal para que cuando generen nuevos documentos los marquen y que cuando la reciban y trasmitan lo hagan adecuadamente a esa clasificación, en los sistemas de detección de las violaciones de seguridad relacionadas con esa clasificación y con herramientas como Data Loss Prevention (DLP) e Information Rights Management (IRM).
Las soluciones DLP están diseñadas para prevenir la pérdida, fuga o uso indebido de datos sensibles. Funciona monitorizando y controlando el flujo de información dentro y fuera de la organización.
IRM es una tecnología que protege la información controlando quién puede acceder y qué acciones puede realizar con los datos, incluso después de haber sido compartidos.
En última instancia, la protección efectiva de la información no es solo una cuestión tecnológica, sino también cultural. Requiere el compromiso de toda la organización para valorar la información y adherirse a prácticas que aseguren su integridad, confidencialidad y disponibilidad, respetando
Finalizo este articulo señalando que el grupo de seguridad de la asociación AUTELSI ha presentado recientemente un estudio sobre la clasificación, DLP e IRM y se encuentra en su página web a disposición pública de asociados y no asociados.
Francisco Lázaro Anguís
CISO y DPD de Renfe
Presidente del Grupo de Seguridad de Autelsi
4 Noviembre 2024
