Information defined, un nuevo paradigma en ciberseguridad

Existen varios mecanismos para que las compañías protejan su información, como lo es la inmutabilidad, la encriptación y los accesos mediante aprobaciones, aunque no sería aventurado afirmar que, hoy en día, casi ninguna empresa sabe exactamente la ubicación de los datos y simplemente se conforma con saber que “están por ahí”.

Años atrás solo había mecanismos para hacer information tagging usando expresiones regulares o palabras clave, pero este proceso no deja de ser una tarea engorrosa y de poco fiar. También en el pasado había software que apoyaba a clasificar archivos, un proceso igualmente arduo que orillaba al usuario a “taggearlos” mal, incluso adrede o a propósito.

Actualmente, sin embargo, las empresas y usuarios pueden recurrir al concepto de information defined, el cual implica tomar decisiones de ciberseguridad con base en los datos que queremos proteger; además, la capacidad de procesamiento de hoy en día nos permite utilizar tecnologías basadas en el llamado machine learning o la inteligencia artificial para leer la Información tanto entrante o generada y “taggearla” prácticamente en tiempo real, facilitando así su categorización.

Según el informe global Data Breach QuickView Report, las filtraciones masivas de datos aumentaron un 48% durante el primer trimestre del 2020 en comparación con el mismo periodo del 2019, evidenciando una inadecuada o nula configuración de bases de datos, reflejándose esto en cuantiosos gastos para detectar y responder a una violación de información, provocando además daños irreparables en la reputación, credibilidad y confianza de las marcas, lo mismo que ocasionando demandas y sanciones financieras significativas por no proteger o hacer un inapropiado uso de, por ejemplo, los datos personales de los clientes.

Igualmente, la norma ISO 27001 define el activo de información como los conocimientos o los datos que tienen valor para una empresa, mientras que los sistemas de información comprenden a las aplicaciones, servicios, activos de tecnología u otros componentes que posibilitan el manejo de la misma. Por su parte, la metodología conocida como information defined es un concepto nuevo, al cual no se le puede ni debe ignorar, más aún con las normativas que se vienen en materia de protección de datos.

Los líderes empresariales, en ese sentido, tienen la responsabilidad de garantizar que la información se gestione de manera ética y de conformidad con las regulaciones locales, aunque en el entorno digital esta última exigencia tiene que proyectarse hacia un ámbito globalizado. Son esos líderes quienes también deben establecer los objetivos de seguridad de los datos, crear las políticas que los respalden y proporcionar las herramientas para aplicarlos.

Aparte de concebirse como un nuevo paradigma en el terreno de la ciberseguridad, pareciera que el concepto de information defined ya no es una cuestión de tecnología o informática en general, sino que hace una regresión a lo más básico y al uso del sentido común, pero -aun con tal simpleza- no es recomendable confiar el desarrollo y la ejecución de una estrategia de seguridad de datos a cualquiera.

Todo líder empresarial necesita comenzar por identificar los riesgos, poner en marcha acciones para protegerse de estos, determinar una estrategia a fin de detectar posibles intrusiones, contar con especialistas para reaccionar eficazmente a las mismas y, por último, disponer de las capacidades para recuperarse de cualquier ataque.

En cuanto a las fortalezas para responder ante incidentes, esperamos hablar de ello en nuestra siguiente entrega, pero particularizaremos en los multicitados casos de ransomware, los que continúan haciendo estragos en las empresas a nivel mundial.