Políticas y procedimientos para una prevención eficaz de pérdida de datos

Para impedir la transferencia desapercibida o bien deliberada de datos reservados a personas no autorizadas, es esencial que las organizaciones realicen políticas y procedimientos de prevención de pérdida de datos. Las ideas de prevención de pérdida de datos que tienen éxito comienzan en la fase de planificación, en la que se definen las necesidades de la compañía. Es en esta fase, por poner un ejemplo, cuando deben amoldarse las políticas de clasificación y fuga de datos a las políticas de privacidad y también intercambio de datos de la organización.

Si las necesidades de la compañía se establecen con claridad, es más simple centrar la iniciativa de prevención de pérdida de datos y eludir que cambie continuamente de campo.

Identificación de datos sensibles

El próximo paso esencial de la iniciativa es identificar los datos reservados de la organización. Las tecnologías de análisis de servidores y endpoints dejan clasificar ficheros en función de expresiones regulares, diccionarios y géneros de datos no estructurados. Los productos de prevención de pérdida de datos de manera frecuente llevan incorporada la clasificación de categorías propias de datos reservados, como datos de tarjetas de pago o bien información médica personal, que puede apresurar el proceso de detección. Asimismo es posible crear clasificaciones adaptadas para identificar géneros de datos exclusivos de la organización.

Esta fase se complica con las aplicaciones autorizadas y no autorizadas por el departamento de TI y sus correspondientes datos en la nube. Con los datos en la nube autorizados por TI, la identificación de los datos confidenciales puede y debe formar parte del proceso de suscripción al servicio en la nube. Cuando es el caso, clasificar este tipo de datos puede ser relativamente sencillo.

Sin embargo, es frecuente que los grupos funcionales de las organizaciones soslayen al departamento de TI para satisfacer sus objetivos empresariales y se suscriban a los servicios en la nube por su cuenta. Si TI no conoce estos servicios y los datos que hay detrás, la posibilidad de fuga de datos crece. Como consecuencia, durante esta fase es importante trabajar con los grupos funcionales para identificar las ubicaciones de los datos en la nube y utilizar el proceso anterior para clasificarlos.

Políticas activas de seguridad

Tras completar el proceso de descubrimiento de datos confidenciales, pueden implementarse productos de prevención de pérdida de datos en la red de confianza y en todos los endpoints para obtener visibilidad y control de los datos importantes en reposo y en movimiento. Deben implementarse políticas para detectar el movimiento o el acceso imprevisto a datos confidenciales. Hay eventos, como la transferencia de datos confidenciales a dispositivos USB o a través de la red a una ubicación externa, que pueden formar parte de un proceso empresarial normal o bien constituir una acción deliberada o inadvertida que provoque una fuga de datos.

Formación de empleados

La probabilidad de fugas de datos puede reducirse con una capacitación bien
elaborada que sensibilice sobre la seguridad. Los usuarios podrían aprender las medidas apropiadas para trasferir datos reservados a través de pantallas informativas, que les dejarían formarse en las políticas de protección de datos a lo largo de su jornada de trabajo normal. Por poner un ejemplo, una pantalla de notificación notificaría al usuario de que su transferencia de datos reservados viola las reglas y le presentaría opciones alternativas, como tachar los datos reservados ya antes de procurar trasferirlos otra vez.
En general, los dueños de los datos saben mejor de qué forma emplearlos que otros conjuntos de la organización. Habrían de ser los encargados de clasificar los incidentes de pérdida de datos. Separar las funciones entre los dueños de los datos y el equipo de seguridad reduce la posibilidad de que un solo equipo burle las políticas de protección de datos.

Directivas de transferencia de datos

Tras establecer los movimientos de datos tolerados y también agregar las directivas que los rigen en los productos de prevención de pérdida de datos, pueden activarse las directivas que bloquean las transferencias no autorizadas de  datos reservados. Una vez activado el bloqueo, los usuarios ya no pueden efectuar acciones que violen las directivas. Estas pueden matizarse con mayor o bien menor flexibilidad conforme las necesidades de la compañía para asegurar que los usuarios desempeñen sus labores sin perder seguridad.

Conforme la iniciativa de prevención de pérdida de datos avance, es esencial validar y readaptar las directivas a intervalos programados. En ocasiones son demasiado restrictivas o bien laxas, y afectan a la productividad o bien suponen un peligro para la seguridad.