La sensibilidad de la información se refiere a la necesidad de proteger datos específicos que, si no están protegidos, pueden tener consecuencias negativas para una persona u organización si se revelan a partes no autorizadas. La información sensible puede pertenecer a un individuo, empresa o gobierno.
¿Por qué es importante proteger la información confidencial?
La necesidad de que las entidades protejan los datos sensibles relativos a condiciones personales, financieras o médicas se está convirtiendo en objeto de legislación gubernamental en muchos países. Normativas como el Reglamento General de Protección de Datos (RGPD) protegen el derecho de las personas a la privacidad. Los controles inadecuados pueden provocar la pérdida de datos y posibles multas de hasta el 10 % de los beneficios de una empresa.
Las empresas que almacenan datos personales sobre clientes, como los bancos y los procesadores de tarjetas de crédito, deben cumplir normativas específicas sobre la información financiera que poseen. Los fallos en las auditorías de cumplimiento derivados de controles deficientes darán lugar a multas por parte de organismos reguladores como la Autoridad de Conducta Financiera (FCA) y la Oficina de Protección Financiera del Consumidor (CFPB).
En la atención sanitaria, los proveedores deben asegurarse de que nadie sin la debida autorización acceda a la información sanitaria protegida (PHI), que no puede traspasar fronteras y sólo puede consultarse en el país de residencia del paciente.
Para la investigación farmacéutica y el desarrollo de medicamentos, la pérdida de fórmulas puede costar miles de millones de dólares en ingresos perdidos. La investigación y las innovaciones deben mantenerse en secreto a nivel empresarial hasta que se registra una patente para protegerlas de usos ilegales.
Las consecuencias de un mal control de la sensibilidad de la información no son sólo financieras. Las fugas de datos son embarazosas, dañan la marca corporativa y la confianza de los clientes.
Los secretos gubernamentales protegen a los países limitando el desarrollo de armas extranjeras, vigilando la recopilación de información y previniendo el terrorismo.
Ejemplos de sensibilidad de la información
Una de las formas más eficaces de apreciar la necesidad de la sensibilidad de la información es considerar algunos ejemplos destacados de pérdida de datos:
- En mayo de 2023, un periódico alemán recibe 23.000 archivos filtrados con información sensible sobre accidentes de Tesla. A pesar de que los datos estaban protegidos por controles internos, una persona con información privilegiada filtró los archivos para avergonzar a su empresa.
- Yahoo expuso 3.000 millones de cuentas de usuario a ciberatacantes que utilizaron información de las cuentas, como preguntas de seguridad y contraseñas en texto plano, para obtener acceso.
- Se expusieron aproximadamente el 90% de los datos de los usuarios de LinkedIn, incluidas direcciones de correo electrónico, números de teléfono, registros de geolocalización y sexo. Se descubrió que estaban a la venta en la red oscura después de haber sido extraídos utilizando un punto débil de la API de LinkedIn. Hoy en día, estas organizaciones controlan volúmenes de datos mediante el acceso a la API.
- En 2019 Facebook descubrió que 533 millones de datos de sus usuarios estaban a la venta en la dark web tras ser robados.
- Marriott (Starwood) fue multada con 18,4 millones de dólares tras el robo de información sensible de su sistema de reservas de clientes en 2018. Esta brecha expuso nombres, direcciones de correo electrónico e información de tarjetas de crédito.
- En 2015, más de 190 millones de votantes estadounidenses tenían sus nombres, direcciones, información de contacto y afiliaciones de la base de datos nacional de votantes. La base de datos estaba mal configurada, exponiendo información sensible a la Internet abierta.
- En 2017, un dispositivo de almacenamiento USB sin cifrar que contenía información completa de seguridad del aeropuerto de Heathrow, incluidas placas, mapas y ubicaciones de cámaras de CCTV. Un desempleado encontró la unidad en la calle, que vendió a la prensa británica.
Protección de la información sensible
Una de las mejores formas de proteger la información sensible es evaluar quién tiene acceso proactivo a la información sensible y si lo necesita. Las personas con los privilegios necesarios sólo deben tener acceso a los datos sensibles. El acceso debe basarse en funciones e incluir un plazo de caducidad para limitar la exposición.
Los datos deben protegerse en reposo y en movimiento. El acceso adecuado a los datos sensibles debe limitar la capacidad de una persona para compartirlos. Los datos pueden etiquetarse para que los mecanismos de seguridad puedan comprobar que el acceso procede de una entidad con el nivel de autorización adecuado. Los niveles de autorización clasifican los datos gubernamentales para controlar el acceso.
La forma más básica de proteger los datos es mediante una contraseña. La gestión de contraseñas puede utilizarse para garantizar que se cambien con frecuencia y contengan un número determinado de caracteres y símbolos. Esto las hace más difíciles de adivinar y lleva mucho tiempo descifrarlas mediante métodos de fuerza bruta. La seguridad biométrica añade otro nivel de seguridad fácil de usar. La autenticación multifactor protege aún más la información sensible.
El cifrado de données au repos et en mouvement proporciona una salvaguarda adicional. Las claves más largas del estándar de cifrado avanzado (AES) pueden hacer que descifrar los datos lleve cientos de años.
La seguridad física nunca debe pasarse por alto. Guardar datos confidenciales en una caja fuerte o en un búnker funciona para bancos y gobiernos. Los soportes de copia de seguridad deben protegerse al menos tan bien como los datos originales.
Cuando la empresa necesita compartir partes de datos sensibles para su verificación, enmascarar el valor permite efectivamente un acceso limitado con bajo riesgo. Los emisores de tarjetas de crédito a menudo necesitan verificar la identidad de una persona que llama a los usuarios de aplicaciones en línea utilizando sólo los cuatro últimos dígitos de su número de la Seguridad Social. Los extractos impresos suelen ocultar la mayoría de los números de tarjetas de crédito para protegerlos de los buscadores de basura.
Al crear datos de prueba, la información sensible puede mezclarse u ofuscarse para proteger los datos reales del cliente, y los datos de prueba son representativos de los valores originales del jeu de données de prueba.
Sensibilidad de la información y Actian
Actian Data Platform admite instancias de almacén de datos que abarcan múltiples nubes y VPN o se ejecutan en las instalaciones, y puede ejecutar análisis dondequiera que residan sus datos. Actian Data Platform es perfecta para mantener la confidencialidad de la información gracias a sus avanzadas funciones de seguridad, como el cifrado de données au repos y en movimiento, el enmascaramiento de datos, la seguridad basada en roles y la autenticación externa.
