La filtración de datos se ha convertido en un riesgo de seguridad significativo para las empresas australianas. Un reciente estudio internacional sobre filtraciones de datos, realizado por el Ponemon Institute, reveló que cada incidente de seguridad en organizaciones australianas costó un promedio de 2,8 millones de dólares estadounidenses y que las organizaciones australianas son las segundas que más gastan en el mundo (1,2 millones de dólares estadounidenses por término medio) en investigar y evaluar las filtraciones de datos.
A la mayoría de las empresas australianas les interesa proteger su información. Sin embargo, en muchas organizaciones está arraigada la creencia de que la seguridad de la información es un asunto técnico y que la principal amenaza proviene de piratas informáticos maliciosos externos. En cambio, la investigación ha demostrado que la cultura y las personas de una organización pueden ser igualmente una fuente de filtraciones de datos.
Ya sea de forma deliberada o accidental, los empleados suelen ser más responsables que los piratas informáticos de las vulneraciones de la información. Por ejemplo, a veces la información confidencial y sensible se comparte sin querer en las redes sociales.
Muchos expertos en seguridad de la información coincidirán en que, en realidad, no se hace mucho para contrarrestar las filtraciones de información en las organizaciones. La atención se ha centrado en la seguridad física, técnica y financiera, en lugar de en los factores humanos. Puede haber varias razones para ello. Una explicación es que muchos directivos creen que «seguridad de la información» significa lo mismo que «seguridad informática» y que, por tanto, es responsabilidad del gerente de TI. Esta creencia podría explicar por qué a menudo se responde «Sí, tenemos cortafuegos» a la pregunta «¿Está segura nuestra información?».
Benjamin Dean, de la Universidad de Columbia, señaló que las empresas carecen de incentivos para invertir en ciberseguridad. Sin embargo, también influye significativamente la falta de comprensión de las empresas sobre la naturaleza de los flujos de información.
Repositorios con filtraciones
Aunque los cortafuegos pueden ser adecuados para protegerse contra ataques informáticos intrusivos, hay muchas otras vías por las que puede filtrarse información. La información no reside únicamente en el entorno digital. También «vive» en copias impresas (por ejemplo, en papel) y en la mente del personal. De hecho, la información fluye constantemente entre los «repositorios» del personal, las copias impresas y las copias digitales (el espacio digital). Aunque no toda la información es sensible ni necesita protección especial, las empresas deben vigilar los cambios del entorno para determinar cuándo cierta información puede volverse sensible e implementar las medidas de protección adecuadas.
Una estrategia integral de seguridad de la información debe contemplar medidas de seguridad para controlar o influir en el acceso a los lugares de almacenamiento, el flujo de información y el comportamiento de quienes poseen y utilizan la información: los empleados.
Controlar el acceso
Una estrategia clave consiste en tratar la información sensible como un activo y trazar dónde se almacena. Es importante recordar que dentro de la empresa hay muchos repositorios distintos.
Los controles técnicos suelen ser el foco de las estrategias de ciberseguridad y son responsabilidad de los gerentes de TI. Estos controles técnicos pueden ayudar a mitigar los riesgos asociados al almacenamiento digital. Sin embargo, también es importante identificar quién tiene acceso a la información dentro de la empresa.
Una técnica habitual para proteger la información consiste en compartimentar los procesos y la información sensibles de la organización. Esto significa que solo los empleados que «necesitan saber» tienen acceso a la información. Así se reduce la circulación innecesaria de información sensible y el riesgo de filtraciones. Del mismo modo, la compartimentación puede aplicarse al papel mediante la exigencia de una política de «necesidad de imprimir» en las impresoras y la identificación de las copias impresas con los nombres de sus propietarios, a fin de exigir responsabilidades cuando se encuentren copias filtradas o extraviadas.
Controlar el flujo de información
El manejo de la información puede documentarse trazando los flujos de información dentro de la empresa. Estos mapas pueden utilizarse después para identificar posibles puntos de ataque.
Los flujos de información suelen estar estrechamente relacionados con los flujos de trabajo, las responsabilidades y las relaciones dentro de las empresas. Por ello, las estrategias integrales de seguridad de la información deben integrarse en la estrategia y las operaciones generales de la empresa. Es más probable que las empresas que abordan la seguridad de la información desde esta perspectiva comprendan que pueden surgir vulnerabilidades durante las operaciones comerciales habituales y que no se limitan a ataques maliciosos dirigidos.
Abordar el comportamiento de los empleados
Por último, son igual de importantes las estrategias centradas en la educación, formación y concienciación en materia de seguridad, así como en el cambio de comportamiento de los empleados. La clave está en aumentar la comprensión de los empleados sobre cómo su interacción con otras personas, los sistemas informáticos y las copias impresas puede aumentar o disminuir la eficacia de un programa de seguridad. La formación periódica continua y los recordatorios también ayudan a reforzar las políticas y los procedimientos en la mente de los empleados. Así queda claro que la ciberseguridad no es responsabilidad exclusiva de la división de TI de la empresa.
La introducción de sistemas digitales ha cambiado fundamentalmente el funcionamiento de las organizaciones, pero, lamentablemente, ha dado lugar a una preocupación excesiva por los controles y estándares técnicos, en detrimento de otras estrategias de seguridad de la información complementarias e igualmente importantes.
Muchas empresas australianas no han comprendido la complejidad del problema sociotécnico o se muestran reacias a abordarla, y tienden a centrarse únicamente en la seguridad informática. Ha llegado el momento de que las empresas cambien esa perspectiva ante el aumento constante de los costos de las filtraciones de datos.
Este artículo se publica en colaboración con The Conversation. La publicación no implica que el Foro Económico Mundial respalde estas opiniones.
Para mantenerse al día con la Agenda, suscríbase a nuestro boletín semanal.
Autores: Atif Ahmad es profesor de Informática y Sistemas de Información en la Universidad de Melbourne. Sean Maynard es profesor de Informática y Sistemas de Información en la Universidad de Melbourne. Shanton Chang es profesor asociado de Sistemas de Información en la Universidad de Melbourne.
Imagen: Una ilustración muestra la proyección de un código binario sobre un hombre que sostiene una computadora portátil en una oficina de Varsovia, el 24 de junio de 2013. REUTERS/Kacper Pempel.