¿Qué es la gestión de la seguridad de los datos?

La pandemia mundial ha empujado a más personas a pasarse a internet (transformación digital) para trabajar, comunicarse, divertirse, ver películas y televisión, socializar, comprar, intercambiar información y mucho más. El movimiento digital de millones de personas ha facilitado que las industrias transformen su forma de comercializar o prestar servicios. Por desgracia, también ha abierto las puertas a los piratas informáticos y ha aumentado los casos de datos comprometidos. El Instituto Ponemon calcula que el coste medio de una violación de datos asciende a la cifra récord de 4,96 millones de dólares por incidente en términos de impacto y resolución.

La seguridad de los datos es ahora el aspecto más importante de la gestion des données. La transformación digital animó a capturar con enorme detalle todo lo que una persona o aplicación hace mientras está conectada a Internet. Las personas que trabajan desde casa, utilizando diversos dispositivos que quedan fuera de la supervisión corporativa o de las herramientas de supervisión, complican aún más la gestión de la seguridad de los datos. Más sorprendente es lo fácil que un dispositivo personal puede afectar a toda una organización con un virus informático o abrir la puerta a un pirata informático. Las normativas gubernamentales para el control de los datos, como el Reglamento General Europeo de Protección de Datos (GDPR) o la Ley de Portabilidad y Responsabilidad de los Seguros Médicos (HIPAA), proporcionan orientación y multas para obligar a las organizaciones a mejorar la gestión de la seguridad de los datos. Aun así, la regulación de la gestión de la seguridad personal es escasa.

¿Qué es la gestión de la seguridad de los datos?

Hay muchas definiciones de gestión de la seguridad de los datos, y abundan las soluciones de seguridad de los datos. Cada organización debe definir y comunicar claramente el programa de seguridad de datos y los servicios de seguridad de datos que ofrece, ya que éstos diferirán ligeramente de un lugar a otro. En general, la gestión de la seguridad de los datos es:

• La práctica de garantizar que los datos, independientemente de su forma, están protegidos mientras están en su posesión y uso frente a accesos no autorizados o corrupción.
• La combinación de procesos digitales (cibernéticos) y físicos para proteger los datos.
• La supervisión de la adquisición, el uso, el almacenamiento, la recuperación y la eliminación de datos, de modo que no se corrompan en ningún momento de su ciclo.
• La implantación de defensas tecnológicas que eviten la pérdida de datos por acciones malintencionadas internas o piratería informática.
• Animar a los desarrolladores de aplicaciones y servicios a realizar pruebas con las normas de seguridad de datos para mejorar la prevención de la fuga de datos.
• Las políticas que forman y rigen a los individuos sobre la importancia de la seguridad de los datos y la mejor manera de protegerse a sí mismos y a la empresa.
• La seguridad de los datos intercambiados con aplicaciones o servicios externos.
• Aprovechar el uso de almacenamiento cifrado en la nube o redes cifradas en la nube para proteger las transferencias y el intercambio de datos.
• La gestión de la seguridad del centro de datos, incluso si avantage desde los servicios en la nube, para garantizar que su recurso no humano más preciado está a salvo.

Las prácticas de gestión de la seguridad de los datos no se limitan a la información sensible o crítica para la empresa. Las prácticas de gestión de la seguridad de los datos le protegen a usted y a su organización de errores involuntarios o de piratas informáticos que corrompen o roban sus valiosos recursos.

Retos para la seguridad de los datos

El impacto más significativo de una violación de la seguridad de los datos es la pérdida de negocio de clientes actuales y potenciales.

El informe del Ponemon Institute señala que las dos causas principales de las violaciones de la seguridad de los datos son una gestión deficiente de las contraseñas o credenciales y un almacenamiento de datos en la nube mal configurado que permita el acceso público. A medida que las organizaciones recopilan y almacenan más información de las redes digitales, aumentan los retos de seguridad de los big data y de los datos en la nube. Para evitar las amenazas y preocupaciones de seguridad de big data, todos en su empresa deben ser conscientes de los problemas de seguridad y privacidad de big data; tales como:

• Se considera que las prácticas de seguridad entran en conflicto con los métodos de desarrollo ágil.
• Conocimiento inadecuado de cómo fluyen los datos dentro y a través de una organización.
• Las organizaciones no saben por qué se han recopilado o creado los datos ni cómo mantenerlos para que cumplan la normativa.
• Uso indebido del correo electrónico u otras formas de redes sociales o comunicación digital para intercambiar información (Dropbox o Zoom partage des données, por ejemplo).
• Falta de conocimiento de quién tiene acceso a qué y por qué, y de cómo mantenerlo actualizado a medida que cambian las funciones o se producen bajas.
• Permitir que los datos caigan en el olvido (viejos o anticuados), lo que representa una oportunidad para una violación de datos o multas.
• Seguridad y protección de red inmaduras (falta de cifrado adecuado, cortafuegos y análisis de vulnerabilidades).
• Posponer las actualizaciones de las aplicaciones que incluyen parches de seguridad.
• Falta de capacidad para controlar cómo interactúa o comparte datos el personal que trabaja desde casa.
• Permitir la creación de aplicaciones no gestionadas en lugar de mejorar las aplicaciones para garantizar la facilidad de uso e intercambio de datos para las tareas de los empleados.
• Redes domésticas o dispositivos móviles que comparten o acceden a redes corporativas desde puntos de acceso públicos sin utilizar una VPN segura.

Buenas prácticas de seguridad de datos

Los retos son de enormes proporciones, pero a continuación se recomiendan las mejores prácticas de seguridad de datos que las organizaciones pueden adoptar y adaptar para prevenir las filtraciones, la pérdida y la fuga de datos o evitar las amenazas a la ciberseguridad:

• Una auditoría completa de los datos para trazar el ciclo de vida y el linaje de los datos en su organización, desde su adquisición hasta su eliminación. Una vez auditados, los datos inadecuados deben limpiarse o eliminarse para evitar incidentes de seguridad o de cumplimiento normativo.
• Las mejores prácticas de clasificación de datos consisten en mantener un catálogo de datos utilizando gestion des données maestra gestion des données y métadonnées métadonnées, que actúan como las fichas de una biblioteca, ayudan a las aplicaciones o servicios a saber qué datos utilizar y cómo protegerlos adecuadamente durante o después de su uso. Esto sustenta las mejores prácticas de seguridad de las bases de datos.
• Restringir el acceso a los datos en función de su uso y sensibilidad.
• Acceder a los datos únicamente a través de API o aplicaciones autorizadas.
• Se debe utilizar una mentalidad de confianza cero para evaluar todos los perfiles que conceden autorización a los datos planteando la pregunta: ¿esta función o servicio sigue necesitando acceso y, en caso afirmativo, por qué?
• Todos los datos mantenidos en dispositivos físicos que residan en su centro de datos o en una nube deben contar con las mismas prácticas de seguridad estrictas que se aplican al software y a los servicios en la nube, incluida la supervisión, la alerta y la notificación de cualquier intento de acceso, independientemente del motivo.
• Las mejores prácticas de cifrado de datos, aunque no son infalibles, son uno de los métodos más seguros de garantizar la seguridad de los datos, especialmente cuando se combinan con el cifrado de la transferencia de datos.
• Las amenazas a la ciberseguridad se producen constantemente, y los métodos de adquisición de sus datos evolucionan para superar sus defensas de seguridad. La realización continua de análisis y pruebas de vulnerabilidad le ayudará a mantenerse a salvo.
• Las mejores prácticas de seguridad de bases de datos implican la gestión de los esquemas para satisfacer las necesidades de las aplicaciones, al tiempo que tienen un fuerte vínculo con las mejores prácticas y controles de gestión de acceso.
• Los datos digitales harán uso de analytique dans le cloud para la investigación y la toma de decisiones. Las mejores prácticas de seguridad de Power BI escanearán y validarán los datos antes de su uso para mantener la integridad y la clasificación de los datos.
• La formación y la aplicación de las mejores prácticas de seguridad de datos con el personal o el uso de guías de proveedores de seguridad pueden ayudar a mostrar lo fácil que es sucumbir a los esfuerzos de un pirata informático.
• El enmascaramiento de datos (ocultar los datos originales con contenido modificado) para el desarrollo de servicios es una práctica recomendada de DevSecOps, especialmente para la información de identificación personal (PII).
• avantage de expertos externos que comprueben la seguridad de sus redes, aplicaciones o servicios en la nube. Algunas empresas incluso han contratado a hackers para que realicen estas mismas actividades.
• Disponga de un plan de gestión de incidentes sobre lo que debe ocurrir exactamente y cómo debe comunicarse la infracción interna y externamente (especialmente a los clientes y organismos reguladores).
• Disponga de un plan de recuperación de datos probado para los casos en que los datos se borren o corrompan por error.
• Asegurarse de que las aplicaciones o servicios pueden utilizar cualquier copia de seguridad de los datos, incluso las creadas años antes, para cumplir los mandatos normativos, ya que los cambios de software y hardware pueden anular su uso. La accesibilidad de los datos de forma segura y la reintroducción de los datos archivados forman parte de las buenas prácticas para prevenir una violación de datos.
• Supervisar que los datos se eliminan cuando ya no son necesarios o quedan obsoletos.
• Forme a los clientes en prácticas de gestión de la seguridad de los datos para que confíen en que usted considera importante la seguridad de los datos.
• Disponga de una política sólida de gestión de contraseñas: caracteres mínimos, cómo se pueden derivar, desaconseje las contraseñas utilizadas anteriormente o avantage de una herramienta de gestión de contraseñas.
• Introduzca la autenticación multifactor, la huella dactilar o el reconocimiento facial para proteger mejor los servicios y las aplicaciones.
• Valide sus procesos con respecto a las mejores prácticas de seguridad de los centros de datos y las normas de mejores prácticas de seguridad para gestion des données , como ISO/IEC27001 o la seguridad de datos del NIST.
• Registre todas las pruebas y consérvelas para los equipos de auditoría y cumplimiento.
• Para dispositivos móviles o digitales:
  • Actualice periódicamente las aplicaciones y la seguridad.
  • Instale programas espía o bloqueadores de cookies según proceda.
  • Elimine las aplicaciones antiguas.
  • Instale herramientas de bloqueo de dispositivos móviles en caso de pérdida o robo del dispositivo.

Tipos de gestión de la seguridad de los datos

Lo anterior representa una parte de las mejores prácticas de gestión de la seguridad de los datos que una organización puede introducir. Comprender los tipos de prácticas y amenazas a la seguridad de los datos puede ayudar a evitar los tipos de violaciones de datos que se ven en la prensa, como:

• Conocimientos y lenguaje de seguridad: crear una guía de lenguaje de seguridad de datos para facilitar la formación y la comprensión.
  • Malware: Software malicioso diseñado para obtener acceso y causar daño.
  • Virus informático: programa informático que modifica el funcionamiento de los ordenadores de forma que pueden ser controlados desde el exterior o hacer que realicen actividades, a veces sin su conocimiento. Los virus informáticos, como cualquier otro virus, pueden propagarse de un ordenador a otro y son difíciles de eliminar una vez introducidos sin un esfuerzo considerable.
• Tipos de claves de cifrado y mejores prácticas: la transformación de datos en formatos ilegibles mediante un algoritmo ayudará a diseñar servicios que resistan los ataques a la seguridad. La introducción de los distintos tipos de cifrado de datos depende de la adopción de medidas de seguridad de los datos por parte de personal cualificado o de socios proveedores de confianza. Recuerde que las claves pueden perderse, y disponga siempre de un suplente para aquellas ocasiones en las que el propietario de la clave no esté localizable.
• Gestión organizativa de la seguridad de los datos: la asignación de funciones para la gestión de la seguridad de los datos a los responsables de los datos, administradores de datos, propietarios de productos, desarrolladores, proveedores externos de datos o software, proveedores de servicios gestionados y en la nube son solo el principio de este aspecto.
• Supresión, borrado y destrucción de datos: el uso de software para erradicar completamente los datos de un dispositivo de almacenamiento (digital o físico) bajo los auspicios del propietario de los datos, el administrador de datos o el equipo de gouvernance .
• Hay varios tipos de violaciones de datos, pero las mejores prácticas, como la resistencia de datos, implementarán la capacidad de restaurar y recuperarse de eventos físicos o de software perturbadores de manera segura y oportuna.

Diferencia entre seguridad y privacidad de los datos

La seguridad de los datos ayuda a mantener la seguridad de los datos mientras su organización los utiliza o almacena. La privacidad de los datos es la práctica fundamental para garantizar que la información personal u organizativa se mantiene y utiliza según lo estipulado por los organismos reguladores o la política interna. La seguridad y la privacidad de los datos son conceptos generales similares en términos de gestion des données , pero hay que tener en cuenta que la principal diferencia entre seguridad y privacidad de los datos es que la primera garantiza la confidencialidad de la información, mientras que la segunda mantiene a salvo los datos y la organización.

La información personal u organizativa es un bien valioso y comercializable, por lo que sus soluciones de privacidad de datos deben ser capaces de:

• Demuestre que ha obtenido la información legalmente y con el consentimiento de la otra parte.
• Muestre cómo sus prácticas combinan la ciberseguridad y las prácticas de privacidad, como las del NIST.
• Explicar cómo se derivan las funciones de acceso a los datos, cómo se supervisan y cómo se alerta cuando se produce una infracción.
• Ilustrar cómo se mantiene y protege la seguridad y privacidad de los big data (datos manuales, ciberdatos, datos de aplicaciones) frente a pérdidas, fugas e incidentes.
• Cumplir con las solicitudes requeridas por las regulaciones gubernamentales para la eliminación de datos de privacidad si así lo solicita el titular (GDPR).
• Alerte y responda con prontitud a todos los afectados por un incidente de datos.
• Copia de seguridad y restauración de la información para mitigar las amenazas a los datos.
• Esos datos se respaldarán o almacenarán de forma segura y sólo durante el tiempo necesario.

La supervisión periódica del cumplimiento, la actualización de las políticas de privacidad a medida que cambian las prácticas gubernamentales o recomendadas, y la garantía de que el software, la formación y los procesos de seguridad de los datos sustentan la privacidad de los datos es un compromiso organizativo asumido por la alta dirección.

Cómo gestionar las amenazas a la seguridad de los datos

Para gestionar adecuadamente la seguridad de los datos, tenga en cuenta estos tres conceptos:

• Confidencialidad: Para cumplir con las normas de privacidad, los datos se clasifican como públicos o confidenciales con las salvaguardas adecuadas para la aplicación y la accesibilidad individual.
• Integridad: La información creada o adquirida debe ser validada como necesaria para el uso empresarial antes de ser utilizada por una tarea empresarial.
• Disponibilidad: Los datos deben ser fácilmente accesibles y estar listos para su uso cuando sea necesario, incluida la recuperabilidad.