Fuga de Datos: Tipos, Causas y Canales

Te explicamos cómo puede ocurrir una fuga de datos confidencial en una organización y cómo evitar que tu negocio pierda datos importantes.

En el mundo actual, la información es uno de los recursos más valiosos, y su fuga se ha convertido en una grave amenaza para las organizaciones y los particulares. Cada año aumenta el número de incidentes relacionados con el acceso no autorizado a información confidencial. Para las empresas, esto conlleva importantes pérdidas financieras y de reputación. En este texto, analizaremos los tipos de fugas de información, sus causas y los canales a través de los cuales pueden filtrarse los datos.

¿Qué es una fuga de datos?

Definamos la terminología. Una fuga de datos (o Data Leak) es el acceso no autorizado, la difusión incontrolada o la pérdida de datos confidenciales que pueden ser personales, comerciales o estatales.

El acceso a los datos puede obtenerse intencionadamente, por ejemplo, como consecuencia de un ataque de un empleado interno, o accidentalmente, debido a un control de acceso insuficiente o errores de los empleados. A continuación, examinaremos las principales causas de las fugas de datos.

Causas de las fugas

• Factor humano: Probablemente, la causa más común de una fuga no es un pirateo, sino un simple error de los empleados al procesar datos sensibles. Por ejemplo, los datos pueden enviarse a personas equivocadas o transmitirse a través de canales de comunicación no cifrados (a través de mensajeros populares estándar). También se puede incluir la pérdida física de un dispositivo. Un empleado puede perder una memoria USB con datos, dejar un portátil en un lugar público, etc. Precisamente por estas razones, cualquier dato sensible debe estar cifrado.
• Ataques de hackers: Otra causa frecuente son los ciberataques, en los que los ciberdelincuentes acceden a los sistemas con el objetivo de causar daños reputacionales o financieros. En los últimos años también se observa un aumento de la actividad de hackers que persiguen objetivos políticos.
• Vulnerabilidades e insuficiente nivel de protección: Además, las deficiencias en los sistemas de seguridad, las vulnerabilidades del software o las medidas de protección insuficientes pueden permitir a los ciberdelincuentes acceder a los datos. Aquí también se incluye la falta de competencia de los empleados que se ocupan de la seguridad informática.
• Ingeniería social: Manipulación con el fin de engañar a la víctima y obtener acceso a información confidencial. Por ejemplo, los ciberdelincuentes pueden falsificar una cuenta del jefe en un mensajero y pedir que se envíen urgentemente datos importantes.

Hay muchas causas de fugas de datos. No analizaremos cada caso concreto, pero intentaremos estructurar los puntos clave. A menudo, la causa son las acciones intencionales o involuntarias de los empleados. En el primer caso, el trabajador transmite a sabiendas datos confidenciales y comprende que sus acciones son ilegales y que la empresa sufrirá daños. En el segundo, comete un error accidental o actúa con negligencia en sus funciones, transmitiendo archivos sin la protección adecuada.

La segunda causa más común son las acciones de los hackers y el pirateo del sistema. Aquí se pueden utilizar el phishing, el malware, la interceptación de datos dentro del sistema y otros métodos. Pasemos a los tipos de fugas de información.

Tipos de fugas por categorías

Las fugas de datos se pueden dividir en muchos grupos según diferentes criterios. Veamos algunos ejemplos.

Por vector de impacto

• Fugas internas: Se producen debido a las acciones de empleados o socios que pueden revelar información confidencial accidental o intencionadamente.
• Fugas externas: Se producen debido a las acciones de ciberdelincuentes, como hackers, que acceden a los datos de la empresa.

Por tipo de datos filtrados

• Datos personales: Fuga de información relacionada con la identificación de personas físicas. Esto incluye nombres, direcciones, números de teléfono, números de seguridad social.
• Datos financieros: Fuga de información sobre tarjetas de débito, cuentas bancarias, historial crediticio, etc.
• Información comercial: Fuga de datos sobre procesos empresariales, clientes, productos o estrategias de la empresa.
• Secreto de Estado: Fuga de información confidencial relacionada con la seguridad del Estado o los intereses nacionales.

Todos estos datos se procesan en ordenadores y otros dispositivos, lo que significa que pueden ser transmitidos por los ciberdelincuentes a través de canales técnicos de fuga. Veamos qué son y cuáles son.

Canales de fuga de información

Por canal técnico de fuga de información (CTFI) se entiende el conjunto de la fuente de información (transmisor), la línea de comunicación (medio físico, canal con ruido), por la que se propaga el canal de información, y los medios técnicos de interceptación de información (receptor). En pocas palabras, es la transmisión de información de cualquier manera a través de una línea de comunicación, que puede ser Internet, líneas telefónicas, cables de alimentación, etc.

Las fuentes de información pueden ser ordenadores, micrófonos, dispositivos fotográficos y de vídeo, líneas de comunicación internas. También pueden participar en la formación del canal de fuga medios y sistemas técnicos secundarios (MTTS), que no se utilizan en el procesamiento de la información, pero que pueden, por ejemplo, emitir ondas o propagar señales acústicas. Los canales técnicos de fuga de información se dividen en cuatro grupos principales.

Canales técnicos de fuga de información

“En la naturaleza” existen sólo cuatro medios de transmisión de información: rayos de luz, ondas sonoras, ondas electromagnéticas y soportes materiales. Sobre esta base se dividen los canales técnicos de fuga de información.

• Canales visual-ópticos: surgen al leer información a distancia de diferentes soportes. Por ejemplo, aquí se puede incluir la fotografía de pantallas y documentos en papel.
• Canales acústicos: ondas que se propagan por el aire. En pocas palabras, todo lo que se puede oír. La interceptación de información acústica es posible incluso en la calle con el ruido de los coches, el viento y el agua, si se utilizan dispositivos especiales.
• Canales electromagnéticos o canales de fuga de información por Tempest: veamos un ejemplo: un ordenador emite al funcionar oscilaciones en la corriente eléctrica, sobre la base de las cuales se puede interceptar la información. También es posible extraer datos de monitores LCD a una distancia de 10-20 metros, etc. En pocas palabras, cualquier aparato en funcionamiento emite ondas electromagnéticas que pueden interceptarse para leer la información.
• Canales materiales: las fuentes de información son muestras experimentales o defectuosas no destruidas, copias de documentos, soportes electrónicos defectuosos no destruidos, etc.

Te has dado cuenta de que puede haber muchos canales de fuga de información. Si no se dividen en grupos, en cada empresa habrá decenas o cientos, dependiendo de varios factores. Cabe señalar que para la protección de la información es necesario un enfoque integral, ya que cerrar por separado cada canal de fuga es extremadamente difícil. Por esta razón, consideraremos los principales signos que pueden indicar que la información no está suficientemente protegida.

Signos de vulnerabilidad de la información en una organización

Políticas de la organización

Empecemos por lo básico: la ausencia de una política de seguridad (documentos incompletos o inexistentes que regulen la seguridad de la información). Lógicamente, si no describimos los enfoques básicos para la protección de datos, podemos no tener en cuenta aspectos importantes. Como la empresa es un “organismo vivo” que crece y cambia dinámicamente, la política de seguridad de la información debe revisarse periódicamente. En otras palabras, la política de seguridad de la información es un documento de alto nivel que incluye los principios y las reglas para garantizar la seguridad de la información y que se centra principalmente en la protección de los activos de información de la organización.

Cuando tenemos este documento de alto nivel, podemos detenernos con más detalle en las vulnerabilidades más comunes. En primer lugar, estás expuesto al riesgo si tienes contraseñas débiles. Para solucionar este problema, es necesario informar a los empleados de que en la organización sólo se permite el uso de contraseñas seguras y describir claramente los requisitos para ellas. Este documento se denomina política de contraseñas de la organización.

Protección de software y física

La ausencia de cifrado de datos confidenciales, así como el acceso ilimitado a ellos, a menudo se convierten en puntos débiles. Además, podemos señalar la ausencia de seguridad física: cajas fuertes especiales, seguridad y otras medidas de protección para los empleados y los soportes materiales.

Un software no actualizado puede ser la causa de la piratería del sistema y, como consecuencia, de la fuga de información. También puedes ser pirateado fácilmente si no tienes medidas de protección como antivirus, cortafuegos, sistemas de detección de intrusos y otros.

Medidas para mejorar el nivel de seguridad informática

Es importante informar a los empleados de lo que constituye secreto comercial y realizar formación en seguridad de la información. Esto incluye instrucciones sobre cómo actuar en caso de amenazas, así como aclaraciones sobre si se pueden conectar dispositivos desconocidos a los equipos corporativos.

Es imposible proteger completamente a la empresa de las fugas, por lo que es necesario elaborar previamente un escenario de respuesta a los incidentes. Esto ayudará a minimizar los daños y a no perder información en una situación crítica. También es importante realizar auditorías periódicas y pruebas de penetración (pentesting). Estas medidas ayudarán a identificar los puntos débiles y a reforzar la protección.

Acciones ante la detección de una fuga

Ante la detección de una fuga, lo primero que hay que hacer es notificar a todas las partes interesadas: empleados, directivos, clientes, socios y fuerzas del orden.

Al mismo tiempo, hay que designar a los responsables de cada proceso y reunir un grupo de trabajo. Este grupo debe incluir especialistas en TI y seguridad informática, así como empleados del departamento de abogados, y la composición del grupo y la lista de responsables deben determinarse con antelación.

Los especialistas en TI y seguridad informática deben determinar cómo se produjo la fuga y bloquear inmediatamente el canal de fuga. Es importante localizar el problema y encontrar una forma rápida de solucionarlo, ya que incluso una fuga detenida puede repetirse. Además, los especialistas deben recopilar la mayor cantidad de información posible sobre a dónde y a quién se filtran los datos, así como averiguar quién es el culpable (si la fuga es intencionada).

El departamento de abogados debe preparar una declaración para los medios de comunicación o informar de otro modo a todas las partes interesadas. También es importante estar preparado para gestionar los comentarios negativos y mitigar las consecuencias para la imagen. Es importante que los abogados evalúen los riesgos de esta fuga y se preparen para posibles demandas judiciales por parte de los afectados.

Software de protección contra fugas

Para reducir el riesgo de fuga de información, primero debes proteger tu infraestructura. Para ello, es necesario utilizar diferentes herramientas, como antivirus, cortafuegos de nueva generación, medios de protección contra el acceso no autorizado. Estos se pueden adquirir o alquilar a un proveedor.

Sin embargo, esto es sólo el primer paso. La mayoría de las fugas de información se producen desde el interior de la organización, a través de los empleados. Es importante utilizar soluciones para monitorizar las acciones de los trabajadores y la información transmitida que sale de la empresa (por ejemplo, a Internet).

Para evitar fugas a través de los empleados, es necesario utilizar sistemas de control de la actividad de los usuarios, como LanAgent o StaffCop. Otro elemento importante de protección son los sistemas de prevención de la pérdida de datos (DLP). Estos sistemas rastrean toda la información que se transmite fuera de la zona controlada (red de la empresa), comprobando la presencia de secretos comerciales y otra información sensible.

Entre las soluciones DLP se encuentran SearchInform DLP, Stakhanovets, Falcongaze SecureTower, InfoWatch Data Loss Prevention System y otras. Cabe señalar que un sistema SIEM (sistema de gestión de eventos de seguridad) correctamente configurado ayuda a protegerse contra las fugas de información procedentes de los empleados de la empresa.

Conclusión

La seguridad de la información es un proceso extremadamente complejo y continuo. Para proteger los datos de las fugas, es necesario aplicar medidas organizativas (elaboración de políticas correspondientes, puesta a punto de los procesos, formación de los empleados), así como garantizar la seguridad de los ordenadores y servidores. Para ello, es importante utilizar soluciones de software especializadas y protección física (servicio de seguridad), limitando el acceso a la información crítica.