1

Prevencin de perdida de Datos

(Data Loss Prevention)
Luis Fran Cardozo Gonzlez, Bladimiro Garca Severiche

Resumen En la actualidad, la mayor parte de las organizaciones pierden informacin valiosa por daos de los dispositivos electrnicos y en menor porcentaje por robo. Algunas organizaciones que usan ciertos dispositivos, como por ejemplo servidores de computo, que permiten almacenar gran cantidad de informacin, sincronizar el correo el electrnico, manejar agendas detalladas de actividades, conexiones bluetooth, que si bien facilitan el desarrollo de las actividades de los empleados, representan un riesgo en cuanto a la prdida de confidencialidad en la informacin si no se tienen en cuenta las consecuencias de incorporar la tecnologa y los posibles mecanismos para protegerla. Si esta informacin llegase a manos de personas no autorizadas, se expone a la organizacin a una situacin de riesgo operacional, financiero y hasta reputacional que puede afectar a sta gravemente. Actualmente las entidades gubernamentales y privadas le estn dando mayor importancia al manejo de la informacin con la que cuentan estableciendo polticas, procedimientos, normas e inclusive leyes que la regulan. Y es que la informacin que posee una empresa es uno de los principales activos a proteger, en este artculo nos centraremos en algunas medidas de prevencin para proteger dicha informacin.

I. INTRODUCCIN El mundo ha cambiado [1]. Hace un tiempo sustraer un activo de una organizacin implicaba llevrselo materialmente. Algunos se llevaban material de oficina (folios, grapas, etc.), otros documentos confidenciales originales o fotocopiados. En la actualidad, los datos y la informacin que manejan las empresas son activos muy valiosos y no es necesario esconderlos en la chaqueta cuando el jefe no mira para robarlos. La informacin se puede enviar por correo electrnico, mensajera instantnea, subir a una pgina de Internet, imprimir o copiar en un dispositivo de almacenamiento USB o de multitud de otras maneras inventadas o por inventar. La Prevencin de Perdida de Datos tiene como objetivo identificar, monitorizar y proteger los datos de una organizacin. Los datos pueden ser tratados por usuarios en sus estaciones de trabajo, pueden transmitirse o pueden ser almacenados. II. DESARROLLO 1. Qu es la Perdida de datos? La prdida de datos es una condicin de error en sistemas de informacin en el que la informacin se destruye por las fallas o negligencia en el almacenamiento, transmisin o procesamiento, o simplemente por fuga de la informacin. 1.1 El valor de los datos. Establecer el valor de los datos es algo totalmente relativo, pues la informacin constituye un recurso que, en muchos casos, no se valora adecuadamente debido a su intangibilidad. Adems, las medidas de seguridad no influyen en la productividad del sistema por lo que las organizaciones son resistentes a dedicar recursos a esta tarea. 1.2 Informacin en las empresas u organizaciones. Respecto a la informacin en las organizaciones se han encontrado documentos que describen la valoracin de la informacin y la administracin de la informacin como herramienta bsica en las organizaciones. En general, se detalla la propuesta de autores que consideran a la informacin como un activo. 1.2.1 La informacin como un activo. Respecto al valor de la informacin, [2] Oppenheim, Stenson, & Wilson (2003a), identifican los atributos de la informacin y concluyen que a sta se le puede considerar, en

Palabras clave Data loss Prevention(DLP), Perdida de datos, Prevencin, Valor de los datos.

Ing. Luis Fran Cardozo Gonzlez y Bladimiro Garca Severiche pertenecen a la Maestra Ingeniera de Sistemas y Computacin y realizan la siguiente investigacin como parte del desarrollo de Seguridad en Redes (Email: lucag2004@gmail.com, bgarcias18@hotmail.com). La investigacin fue asesorada por el PhD(c) Ing. Enrique Santiago Chinchilla. Le agradecemos al PhD(c) Ing. Enrique Santiago Chinchilla, por su dedicacin y muestra de apoyos en nuestra formacin.

el mbito de las organizaciones, como activo informativo. En la misma lnea temtica, [3] Max F. Cohen (2002) analiza algunos aspectos del uso de la informacin en la economa de la informacin y al igual que Oppenheim, Stevenson & Wilson, considera que la informacin es un activo. Al considerar a la informacin como activo se encuentra una denotacin econmica, mejor dicho en la economa de la informacin, la cual concibe una preocupacin de la cantidad de informacin procesada en una organizacin, mediante la interaccin de sus integrantes, para la toma de decisiones (Cohen, 2002). Cohen, basado en un contexto de la teora de la informacin, describe cmo las organizaciones utilizan la informacin, desde el control de inventarios materia prima, horas mquina disponibles, tiempo de entrega de productos, hasta el uso de informacin por parte de los clientes, con la finalidad ltima de reducir costos. Las cualidades que conforman la [4] seguridad de los activos de informacin de una organizacin son: La confidencialidad tiene relacin con la proteccin de informacin frente a posibles accesos no autorizados, con independencia del lugar en que reside la informacin o la forma en que se almacena. La informacin sensible o valiosa que la organizacin custodia o maneja, necesita ser protegida mediante estrictas medidas de control. La verificacin y la autorizacin son dos mecanismos que se emplean para asegurar la confidencialidad de la informacin. La integridad se refiere a la proteccin de informacin, datos, sistemas y otros activos informticos contra cambios o alteraciones en su estructura o contenido ya sean intencionados, no autorizados o casuales. Tambin es importante proteger los procesos o programas que se emplean para manipular los datos. La informacin se debe preservar y poner a disposicin de sus propietarios y de los usuarios autorizados de una forma precisa, completa y oportuna. La disponibilidad es la garanta de que los usuarios autorizados puedan acceder a la informacin y recursos cuando los necesiten. 1.3 Tipos de prdida de datos o informacin La prdida de los datos [5] se produce muchas veces por accin intencional, como la eliminacin de un archivo o programa, o de manera involuntaria, como la perdida de cd o tarjetas de memorias o la incapacidad de leer el formato de un archivo desconocido; o por otras causas, como error de Hardware, por ejemplo; un fallo del sistema principal en un disco duro, los errores de software o mala usabilidad; o por desastres naturales, terremotos, inundaciones y con un gran auge los delitos informticos, como el robo, la piratera, el sabotaje, con actos maliciosos como gusanos, virus y hackers. Segn el blog de penjana minda strategik[6] nos muestra un informe estadsticos de las causas de perdida de datos ms frecuentes. Ver Figura 1.

Figura 1. Causas ms frecuentes de la perdida de datos. 1.4 Por qu se pierde la informacin July Calvo[7] en su artculo Fuga de informacin en las organizaciones, nos dice que algunas organizaciones usan ciertos dispositivos como por ejemplo celulares que permiten almacenar gran cantidad de informacin, sincronizar el correo electrnico, manejar agendas detalladas de contactos, conexiones bluetooth, conexiones wireless, que si bien facilitan el desarrollo de las actividades de los empleados, representan un riesgo en cuanto a la prdida de confidencialidad de la informacin si no se tienen en cuenta las consecuencias de incorporar la tecnologa y los posibles mecanismos para proteger la informacin. Eduardo Campos Segura [8] en su artculo La fuga de informacin en las empresas nos dice que De acuerdo a estudios de mercado como lo muestra la Figura 2, 63% de las empresas pblicas y privadas pierden anualmente archivos de informacin valiosa, pero solo 23% es por robo. De la prdida de informacin 57% se debe al extravo de equipos porttiles, como computadoras, celulares, agendas electrnicas, o dispositivos como discos compactos y memorias USB.

Figura 2. Fuga de informacin anual en empresas pblicas y privadas. Las personas en general utilizan sus computadoras porttiles en lugares pblicos sin considerar que las actividades que realizan en ellas, pueden estar siendo observadas por alguna persona que

no debe tener acceso a dicha informacin. Tener mecanismos de destruccin controlada de informacin una vez que los dispositivos van a reasignarse, tambin es un elemento de proteccin. 1.5 Puntos de fuga y perdida de datos Como July Calvo[9] nos dice, existen diferentes amenazas y vulnerabilidades que pueden conllevar a la fuga y perdida de datos, a continuacin se describen algunas de ellas. Redes sociales. Pginas como Facebook, Hi5, Twitter, Badoo, representan un riesgo para la prdida de confidencialidad de la informacin si las organizaciones no realizan campaas de sensibilizacin que eviten que los empleados publiquen informacin de la compaa en dichos sitos. Publicacin de videos. Las organizaciones realizan actividades al interior de sus instalaciones que son grabadas, en algunas ocasiones estas grabaciones son subidas a pginas como YouTube sin tener en cuenta la informacin que puede ser revelada, como por ejemplo nombre de reas de acceso restringido, controles de seguridad existentes, nombres y cargos de empleados de la compaa, lo que puede poner en evidencia informacin que slo es relevante para la compaa. Robo de dispositivos mviles. La informacin almacenada en estos dispositivos en la mayora de las ocasiones transita dentro y fuera de la organizacin sin ningn mecanismo de proteccin, lo que puede ocasionar que personal ajeno a la compaa tenga acceso a informacin de carcter confidencial. Falta o inadecuada clasificacin de activos de informacin. El hecho que las organizaciones no cuenten con una adecuada clasificacin de activos de informacin, conlleva a que los empleados no tengan claro cul es el nivel de proteccin de cada activo, lo que dificulta la proteccin de los mismos. Falta de sensibilizacin a los usuarios. Las compaas deben realizar en gran medida campaas de sensibilizacin, las cuales permiten involucrar a los empleados con la seguridad de la informacin, proporcionando herramientas que van a facilitar la toma de decisiones cuando se enfrenten ante un evento que pueda afectar su seguridad. Virus y Malware. Los virus y los programas maliciosos son una amenaza constante para los datos de las compaas, debido a su fcil propagacin, y en algunas ocasiones su difcil deteccin. Falta de acuerdos de confidencialidad. Las organizaciones hoy en da tienen diversos proveedores y empleados que llegan a conocer informacin del funcionamiento de la compaa, como por ejemplo: informacin de clientes internos y externos, planes estratgicos, proyectos futuros, proyectos en ejecucin, entre otra, la cual en algunos casos debe ser mantenida bajo reserva aun con los mismos empleados de la compaa. 2. Que es la Prevencin de perdida de datos Es un trmino de seguridad [10] referente a un sistema que identifica, monitorea y protege datos en uso, datos en movimiento y datos en reposo por medio de mecanismos de inspeccin, anlisis contextual de transacciones(origen, destino, medio, etc.), siendo administrado desde una consola central

donde tiene la capacidad de detectar y prevenir uso no autorizado as como transmisin de informacin confidencial. 2.1 Factores Clave para prevenir la prdida de datos A pesar de la aplicacin de las nuevas tecnologas de seguridad, las empresas siguen siendo vulnerables, como muestran los siguientes datos del articulo Efficacy of Emerging Network Security Technologies[11]; El 64% de las empresas tuvo una brecha de seguridad el pasado ao. El 34% de las empresas tuvo ms de un incidente. El 62% de los responsables tcnicos creen que los ataques ms serios provienen de la web. El 60% de los responsables tcnicos apunta a ataques de denegacin de servicio (DoS), el 47% a una inyeccin SQL. Ante este panorama[12], las compaas requieren tener una solucin y procesos claros para evitar sufrir prdidas o fugas de informacin. En el mercado existen ya varias tecnologas DLP que evitan la prdida de datos en uno o ms puntos del ciclo de vida de la informacin, ya sea mientras sta se encuentra transitando la red, almacenada y sin movimiento, o bien, en un punto final. Adicionalmente, varias empresas estn adoptando DLP como una forma de mitigar los riesgos de hacer negocios a travs de conexiones de alta velocidad y comunicaciones mviles. Sin embargo, DLP es un asunto que va ms all de la tecnologa. Proteger la informacin y evitar su prdida requiere adems de dos factores clave: tener procesos establecidos e involucrar al personal. Como parte de los procesos, es importante identificar los riesgos, establecer polticas, procesos y educar a los usuarios. En trminos de capital humano, DLP requiere el respaldo de mltiples equipos y colaboracin de varios departamentos que van desde planta fsica, jurdico, administracin, gerentes de riesgo empresarial, recursos humanos, mercadotecnia y ventas. De esta manera podemos identificar tres factores claves para prevenir la perdida de datos: 2.1.1 Evaluando riesgos Es importante aclarar que el proceso de identificacin de riesgos no significa clasificar toda la informacin que llega, sale o es almacenada en la organizacin. Por el contrario, significa identificar el tipo de informacin cuyas prdidas generan mayor impacto negativo en la compaa y es ah donde primero se debe aplicar DLP. Para algunas organizaciones, puede tratarse de cdigos fuente, diseos de productos o propiedad. Para otras, podra ser informacin de los clientes o datos financieros. Otra buena prctica que siguen varias empresas es el uso de soluciones DLP que incluyen un componente de evaluacin de riesgos y esto significa que la actividad en la red se supervisa durante dos o tres das y despus se elabora un informe que muestra a la organizacin los datos que salen a travs de la

red, as como los departamentos involucrados y la frecuencia. Este informe permite a las compaas determinar qu clase de datos estn en mayor riesgo y los departamentos que generan los mayores riesgos. 2.1.2 Estableciendo polticas y procesos Una vez que la organizacin ha identificado la proteccin que necesita puede establecer polticas para prevenir y administrar la prdida de datos. Posteriormente debe disear los procesos para controlar estos incidentes y medir su progreso con la consiguiente reduccin de riesgos. Es crucial aclarar quin es el responsable de realizar las tareas establecidas en caso de una violacin o prdida de datos, para que cuando ocurra una crisis, el personal adecuado realice los procesos necesarios para mitigar los riesgos. Por ejemplo, el personal de seguridad de TI, as como los empleados involucrados y sus gerentes deberan ser notificados. Si se sospecha que hay un comportamiento malicioso, es necesario traer especialistas forenses y jurdicos. Si ocurre una gran fuga de datos, las relaciones pblicas juegan un papel importante. Asimismo, los gerentes de las unidades de negocio deben rastrear los consiguientes riesgos de dicha prdida. Es importante que se configuren las soluciones DLP ms actuales para supervisar si los datos ms importantes de la compaa salen a travs de un Gateway, o bien, de un punto final en particular, por ejemplo. Las organizaciones tambin pueden utilizar la informacin real que saben que es importante, para definir las polticas y luego cumplirlas adecuadamente. Muchas soluciones DLP cuentan con funcionalidades inteligentes de respuesta a incidentes para que las organizaciones puedan automatizar el cumplimiento de las polticas con la flexibilidad necesaria. La inclusin de anlisis y flujo de trabajo permiten al sistema calcular la gravedad de los incidentes y proporcionar el nivel de cumplimiento de manera automtica. An mejor, estas soluciones pueden reducir significativamente el tiempo de configuracin de TI al ofrecer plantillas basadas en las mejores prcticas del sector para dar respuesta a incidentes, as como mejorar el flujo de trabajo de las medidas correctivas. 2.1.3 Mayor Conciencia En ocasiones la eficacia de la mejor tecnologa y los procesos pueden verse afectados si los empleados no entienden el valor de la informacin de la compaa y su papel en la disminucin de riesgos. Teniendo una mayor conciencia, los empleados tambin pueden convertirse en la lnea de defensa ms fuerte de la compaa y en su recurso ms valioso. Sin embargo, cmo lo haran? los programas de entrenamiento para tomar conciencia de la proteccin pueden ayudar de la misma manera que la claridad en las polticas internas. Sin embargo, quizs la educacin ms eficaz se deriva de la intervencin en el momento oportuno. Despus de todo, muchas brechas de datos son el resultado de errores sencillos del usuario. Las personas cometen errores, pueden

olvidar o entender mal las cosas, pero tambin corrigen los errores cuando saben que se equivocaron. Claramente, en el mundo de hoy, los directores de TI y seguridad de las empresas de todos los tamaos estn comprometidos con la proteccin de la informacin, independientemente de donde es enviada, almacenada o utilizada. Con la ayuda de las soluciones DLP que involucran al personal, los procesos y la tecnologa, las empresas no solamente pueden saber donde est la informacin, quin la est usando y a dnde va, tambin pueden administrar y controlar eficazmente los riesgos de la informacin ahora y en el futuro. III. CONCLUSIONES Una solucin para la Prevencin de Perdida de Datos [13] puede cubrir necesidades de seguridad importantes en las empresas. En los momentos que nos encontramos, la informacin es clave y las organizaciones no se pueden permitir el privilegio de tener fugas no controladas. De momento, las soluciones de Prevencin de Perdida de Datos existentes no son triviales de desplegar y requieren de personal especializado para su integracin en la organizacin. . REFERENCIAS [1] Introduccin a la tecnologa "Data Loss Prevention". | Florencio Cano. Disponible en Internet: http://www.seinhe.com/blog/14-introduccion-a-la-tecnologiadata-loss-prevention-dlp [2] Studies on information as an asset I: Definitions. Journal of Information Science, 29(3), 159-166. | Oppenheim, C., Stenson, J. & Wilson, R. M. S. (2003a). [3] Algunos aspectos de la utilizacin de la informacin en la economa de la informacin. Ciencias de la Informacin 2636. | Cohen, M. F. (2002). [4] Seguridad de la informacin en las instituciones financieras | Ing. Paola Katherine Macas Anchundia. Disponible en Internet: http://repositorio.maeug.edu.ec/bitstream/123456789/183/2/10 3929998713387829484856861425577492026.pdf [5] Types of data loss. | From Wikipedia, the free encyclopedia. Disponible en Internet: http://en.wikipedia.org/wiki/Data_loss#Types_of_data_loss [6] PMS! 5 Ways to Prevent Data Loss. | Penjana Minda Strategik. Disponible en Internet: http://polimuadzamshah.blogspot.com/2012/04/pms-5-waysto-prevent-data-loss.html [7] Fuga de informacin en las organizaciones. | Newnetsa July Calvo. Disponible en Internet: http://www.newnetsa.com/2009/08/fuga-de-informacion-en-

las-organizaciones/ [8] La fuga de informacin en las empresas. | PROSEG Information Security - Eduardo Campos Segura. Disponible en Internet: http://www.liderempresarial.com/num175/10.php [9] Fuga de informacin en las organizaciones. | Newnetsa July Calvo. Disponible en Internet: http://www.newnetsa.com/2009/08/fuga-de-informacion-enlas-organizaciones/ [10] Data Loss Prevention. Arame Seguridad para TI. ISACA. 9 - 12. | Karl-Heinz Holtschmit. [11] Efficacy of Emerging Network Security Technologies. editado por el Ponemon Institute. | February 2013. [12] Tres Factores Clave para prevenir la prdida de datos. | Wilson Grava - vicepresidente de Symantec Amrica Latina. Disponible en Internet: http://www.addictware.com.mx/index.php/blog/167-tresfactores-clave-para-prevenir-la-pida-de-datos [13] Introduccin a la tecnologa "Data Loss Prevention". | Florencio Cano. Disponible en Internet: http://www.seinhe.com/blog/14-introduccion-a-la-tecnologiadata-loss-prevention-dlp