05-Data-Leak-Prevention_whp_Spa_0211.pdf

Prevencindefugadedatos

Documento ISACA

ResumenLa Prevencin de fuga de datos (DLP) consiste en un conjunto de tecnologas dirigidas a detener la prdida de informacin sensitiva que ocurre en empresas de todo el mundo. Al concentrarse en la ubicacin, clasificacin y monitoreo de informacin en reposo, en uso y en movimiento, esta solucin puede ser una herramienta sumamente til para ayudar a las empresas a manejar la informacin que poseen y a detener las numerosas fugas de informacin que ocurren da a da. La DLP no es una solucin tipo plug and play, es decir que se conecta y se puede usar de inmediato. La aplicacin exitosa de esta tecnologa supone un alto grado de preparacin y el debido mantenimiento continuo. Empresas que buscan integrar y poner en funcionamiento la DLP deberan prepararse para un esfuerzo significativo que, si se realiza correctamente, puede reducir de manera considerable el riesgo para la organizacin. Quienes ponen en prctica esta solucin deben asumir un enfoque estratgico que aborde los riesgos, impactos y pasos de mitigacin, junto con las medidas de garanta y gobierno adecuadas.

2 0 1 0 I S A C A . D e r e C h o S r e S e r v A D o S .

Prevencin de fuga de datos

2

ISACA

Con 95.000 miembros en 160 pases, ISACA (www.isaca.org) es uno de los principales proveedores del mundo en el rea de conocimiento, certificaciones, comunidad, apoyo y educacin en aseguramiento y seguridad de sistemas de informacin (SI), gobierno empresarial y gerencia de TI, as como riesgos y cumplimiento relacionados con TI. Fundada en 1969, ISACA, como ente independiente sin fines de lucro, organiza conferencias internacionales, publica el ISACA Journal y desarrolla normas internacionales para el control y la auditora de sistemas de informacin, que ayudan a sus miembros a garantizar la confianza y el valor de los sistemas de informacin. Asimismo, promueve y certifica destrezas y conocimientos en el rea de TI a travs de las siguientes designaciones mundialmente reconocidas: Certified Information Systems AuditorTM (Auditor Certificado en Sistemas de Informacin) (CISA), Certified Information Security Manager (Gerente Certificado de Seguridad de la Informacin) (CISM), Certified in the Governance of Enterprise IT (Certificado en Gobierno de Tecnologas de la Informacin Empresariales) (CGEIT) y Certified in Risk and Information Systems ControlTM (Certificado en Riesgo y Control de Sistemas de Informacin) (CRISCTM). ISACA actualiza continuamente COBIT, lo que permite a los profesionales y lderes empresariales en TI cumplir con sus responsabilidades de gestin y gobierno de TI, particularmente en las reas de aseguramiento, seguridad, riesgo y control, para agregar valor al negocio.

DescargoderesponsabilidadISACA ha diseado y creado Prevencin de fuga de datos (el Producto), ante todo como un recurso educativo para profesionales en el rea de seguridad, gobierno y aseguramiento. ISACA no asume ninguna responsabilidad en el sentido de que el uso del Producto garantizar un resultado exitoso. No se debe entender que el Producto incluye toda la informacin, procedimientos o pruebas adecuadas o que excluye cualquier otra informacin, procedimientos y pruebas que estn razonablemente dirigidos a obtener los mismos resultados. Al determinar la propiedad de cualquier informacin, procedimiento o prueba especfica, los profesionales en seguridad, gobierno y aseguramiento deberan aplicar su propio criterio a las circunstancias de control especficas que presenten los sistemas o el ambiente de tecnologa de informacin en particular.

Reservadederechos 2010 ISACA. Derechos reservados. Ninguna parte de la presente publicacin se podr utilizar, copiar, reproducir, modificar, distribuir, exhibir, almacenar en un sistema de recuperacin de datos o transmitida de cualquier manera por cualquier medio (electrnico, mecnico, fotocopia, grabacin o cualquier otro), sin el consentimiento escrito previo de ISACA. La reproduccin y el uso de la totalidad o de partes de esta publicacin estn permitidos exclusivamente con fines acadmicos, internos y no comerciales y para tareas de consultora/asesora, y deben incluir el crdito completo de la fuente del material. No se autoriza ningn otro derecho o permiso con respecto a este producto.

ISACA3701 Algonquin Road, Suite 1010 Rolling Meadows, IL 60008 EE.UU.Telfono: +1.847.253.1545 Fax: +1.847.253.1443Correo electrnico: [email protected] Internet: www.isaca.org


CRISC es marca registrada/de servicio de ISACA. La marca ha sido solicitada o registrada en pases de todo el mundo.



3

ISACA desea agradecer a:

EquipodedesarrollodelproyectoAnthony P. Noble, CISA, CCP, Viacom Inc., USA, PresidenteReza Kopaee, CISA, CISSP, CSLP, Deloitte & Touche LLP, CanadAdel Melek, CISM, CISSP, CPA, Deloitte & Touche LLP, CanadNirvik Nandy, Ernst & Young, USA

EquipodeexpertosderevisinGil Chilton, Capital One Financial, USATerry Griffith, CISM, CCE, CISSP, Capital One Financial, USAPatrick Hanrion, CISM, CISSP-ISSAP, Microsoft, USAKeith Lukes, TheBTO, USAGeorge Llano, CISM, CISSP, GCFA, GPEN, Viacom Inc., USA

JuntaDirectivadeISACAEmil DAngelo, CISA, CISM, Bank of Tokyo-Mitsubishi UFJ Ltd., USA, Presidente Internacional Christos K. Dimitriadis, Ph.D., CISA, CISM, INTRALOT S.A., Grecia, VicepresidenteRia Lucas, CISA, CGEIT, Telstra Corp. Ltd., Australia, VicepresidenteHitoshi Ota, CISA, CISM, CGEIT, CIA, Mizuho Corporate Bank Ltd., Japn, VicepresidenteJose Angel Pena Ibarra, CGEIT, Alintec S.A., Mxico, Vicepresidente Robert E. Stroud, CGEIT, CA Technologies, USA, Vicepresidente Kenneth L. Vander Wal, CISA, CPA, Ernst & Young LLP (jubilado), USA, Vicepresidente Rolf M. von Roessing, CISA, CISM, CGEIT, Forfa AG, Alemania, Vicepresidente Lynn C. Lawton, CISA, FBCS CITP, FCA, FIIA, KPMG Ltd., Federacin Rusa, antiguo Presidente Internacional Everett C. Johnson Jr., CPA, Deloitte & Touche LLP (jubilado), USA, antiguo Presidente Internacional Gregory T. Grocholski, CISA, The Dow Chemical Co., USA, DirectorTony Hayes, CGEIT, AFCHSE, CHE, FACS, FCPA, FIIA, Gobierno de Queensland, Australia, DirectorHoward Nicholson, CISA, CGEIT, CRISC, Ciudad de Salisbury, Australia, DirectorJeff Spivey, CPP, PSP, Gerencia de Seguridad de Riesgos, USA, ITGI Fideicomisario

ComitdePrcticasyOrientacinKenneth L. Vander Wal, CISA, CPA, Ernst & Young LLP (jubilado), USA, PresidenteKamal N. Dave, CISA, CISM, CGEIT, Hewlett-Packard, USAUrs Fischer, CISA, CRISC, CIA, CPA (suizo), SuizaRamses Gallego, CISM, CGEIT, CISSP, Entel IT Consulting, EspaaPhillip J. Lageschulte, CGEIT, CPA, KPMG LLP, USARavi Muthukrishnan, CISA, CISM, FCA, ISCA, Capco IT Service India Pvt. Ltd., IndiaAnthony P. Noble, CISA, CCP, Viacom Inc., USASalomon Rico, CISA, CISM, CGEIT, Deloitte, MxicoFrank Van Der Zwaag, CISA, Westpac New Zealand, Nueva Zelanda



4

AfiliadosypatrocinantesdeISACAydelITGovernanceInstitute(ITGI)Instituto Americano de Contadores Pblicos Certificados ASIS InternationalCentro de Seguridad en Internet Commonwealth Association for Corporate Governance Inc.FIDA InformForo de Seguridad de la Informacin Asociacin de Seguridad de Sistemas de Informacin Institut de la Gouvernance des Systmes dInformationInstitute of Management Accountants Inc.Captulos de ISACA ITGI JapnUniversidad de Norwich Escuela de Economa y Gerencia de Solvay, Bruselas Escuela de Gerencia de la Universidad de Antwerp Analytix Holdings Pty. Ltd.BWise B.V.Hewlett-PackardIBMProject Rx Inc.SOAProjects Inc.Symantec Corp.TruArx Inc.



5

Introduccin

Durante la ltima dcada, las empresas se han hecho cada vez ms dependientes de la informacin digital para alcanzar sus objetivos de negocio. En cualquier da normal de trabajo, volmenes significativos de informacin impulsan los procesos comerciales que involucran la participacin de partes tanto dentro como fuera de los lmites de las redes de las empresas. Estos datos pueden viajar por numerosas vas y de muchas maneras; mensajes de correo electrnico, documentos de procesamiento de texto, hojas de clculo, archivos de bases de datos y mensajera instantnea son apenas unos pocos ejemplos. Gran parte de esta informacin es inocua, pero en muchos casos, una buena parte se clasifica como sensitiva o registrada, lo que indica que la misma tiene que ser protegida de acceso o exposicin no autorizados. Esta necesidad puede ser resultado de factores externos, por ejemplo privacidad, as como de otros tipos de reglamentaciones o internos, tales como objetivos empresariales para proteger informacin financiera, estratgica u otros tipos de informacin competitiva.

La mayora de las empresas utiliza salvaguardas para controlar la informacin sensitiva. Sin embargo, a menudo estos controles no son permanentes y se administran en diferentes puntos de la empresa con diferentes niveles de diligencia y eficacia. El resultado es que a pesar de sus esfuerzos, en empresas a todo lo largo y ancho del mundo se producen fugas de grandes volmenes de informacin sensitiva. Estas fugas generan un riesgo considerable para las empresas, sus clientes y socios comerciales, y tienen el potencial de ejercer un impacto negativo sobre la reputacin del negocio, su cumplimiento, ventajas competitivas, finanzas, confianza de los clientes y socios comerciales.

La preocupacin por esta necesidad de tener un mejor control y proteger informacin sensitiva ha dado lugar a un nuevo conjunto de soluciones dirigidas a mejorar la capacidad de una empresa para proteger sus activos de informacin. Estas soluciones son variadas en cuanto a sus capacidades y metodologas, pero, en conjunto, se han ubicado dentro de una categora conocida como prevencin de fuga de datos (DLP). Si bien todava es una tecnologa joven, la DLP se est adoptando cada vez ms y un nmero creciente de productos est siendo lanzado al mercado. En un estudio publicado a principios de este ao por la empresa de investigacin en TI TheInfoPro, la DLP se calific como una primera prioridad para los presupuestos de seguridad de las empresas.1

El presente documento ofrece una visin general de la DLP y explora los beneficios, riesgos y razones para que una empresa la utilice. Asimismo, analiza factores importantes que se deben considerar al seleccionar y desplegar una solucin de DLP. Finalmente, examina consideraciones sobre aseguramiento y gobierno relacionadas con la puesta en funcionamiento de una solucin de DLP.

Cabe mencionar que si bien las soluciones de DLP tienen la capacidad de interceptar algunos intentos maliciosos o delictivos de robo de informacin, la tecnologa todava no est suficientemente desarrollada para impedir mtodos ms sofisticados de robo de datos. Afortunadamente, el consenso general es que estos casos constituyen una parte muy pequea del riesgo general de la fuga de datos. En un informe publicado en marzo de 2009 por el Instituto Ponemon, se estima que 88 por ciento de los incidentes relacionados con fuga de datos fueron debidos a negligencia por parte de los usuarios y 12 por ciento se debi a intentos maliciosos.2 No obstante, este bajo porcentaje puede ser algo engaoso, pues normalmente un porcentaje mucho mayor de robos maliciosos de datos que de prdidas accidentales conducir a acciones adversas.

1 SC Magazine; Security Spending, DLP Projects to Increase, www.scmagazineus.com/security-spending-dlp-projects-to-increase/article/164337/2 Trend Micro; Data-stealing Malware on the RiseSolutions to Keep Businesses and Consumers Safe, Focus Report Series, June 2009, USA, http://us.trendmicro.com/imperia/md/content/us/pdf/threats/securitylibrary/data_stealing_malware_focus_report_-_june_2009.pdf

En un estudio publicado por la compaa de investigacin en TI, TheInfoPro, la DLP se clasific como de mxima prioridad para los presupuestos de seguridad de

las empresas.



6

Definicin de la Prevencin de fuga de datos

La mayora de las soluciones de DLP incluye un conjunto de tecnologas que facilitan tres objetivos clave: Ubicar y catalogar informacin sensitiva almacenada en la empresa Monitorear y controlar el movimiento de informacin sensitiva a travs de las redes de la empresa Monitorear y controlar el movimiento de informacin sensitiva en sistemas de usuarios finales

Estos objetivos estn asociados con tres estados de informacin bsicos: datosenreposo,datosenmovimientoydatosenuso. Cada uno de estos estados de datos es atendido por un conjunto especfico de tecnologas que ofrecen las soluciones de DLP: DatosenreposoUna funcin bsica de las soluciones de DLP es la capacidad de identificar y registrar dnde se

almacenan tipos especficos de informacin a lo largo y ancho de la empresa. Esto significa que la solucin de DLP debe tener la capacidad de buscar e identificar tipos de archivo especficos, tales como hojas de clculo y documentos de procesamiento de texto, ya sea que estn en servidores de archivos, redes de rea de almacenamiento (SAN) o incluso puestos de trabajo de usuarios finales. Una vez encontrados, la solucin de DLP debe poder abrir estos archivos y leer su contenido para determinar si estn presentes datos especficos, tales como nmeros de tarjetas de crdito o de la seguridad social. Para realizar estas tareas, la mayora de los sistemas de DLP utilizan rastreadores, que son aplicaciones que se despliegan en forma remota para que entren en cada sistema final y rastreen a travs de los almacenes de datos, buscando y registrando conjuntos de informacin especficos con base en una serie de normas que han sido introducidas en la consola de administracin de la DLP. La recopilacin de esta informacin es un paso muy valioso que permitir a la empresa determinar dnde se encuentra la informacin clave, si su ubicacin est permitida dentro de las polticas existentes y qu trayectos podran recorrer estos datos que violaran polticas de informacin.

Datosenmovimiento(red)Para monitorear el movimiento de datos en las redes de una empresa, las soluciones de DLP utilizan dispositivos de red especficos o tecnologa incrustada3 para capturar en forma selectiva y analizar el trfico en la red. Cuando se envan archivos a travs de una red, por lo general se fragmentan en paquetes. Para inspeccionar la informacin que se enva por la red, la solucin de DLP debe tener la capacidad de: monitorear de manera pasiva el trfico en la red, reconocer las secuencias de datos correctas que se van a capturar, ensamblar los paquetes recolectados, reconstruir los archivos transportados en el sistema de datos y luego realizar el mismo anlisis que se efecta a los datos en reposo para determinar si alguna parte del contenido del archivo est restringida por su conjunto de reglas. El ncleo de esta capacidad es un proceso conocido como inspeccinprofundadepaquetes(DPI), que permite al componente de datos en movimiento de la DLP ejecutar estas tareas. La DPI va ms all de la informacin bsica de encabezamiento de un paquete (la cual es similar a la informacin de destinatario y remitente que se encuentra en un sobre postal) para leer el contenido dentro de la carga del paquete (como la carta dentro del sobre postal). Si bien esta tecnologa ha evolucionado a lo largo de los aos, todava es imperfecta; no obstante, ha aumentado su poder de procesamiento y nuevas formas de identificacin de paquetes han contribuido considerablemente a su desarrollo. Esta capacidad de DPI permite al sistema de DLP inspeccionar datos en trnsito y determinar contenido, fuente y destino. Si se detecta que datos sensitivos estn fluyendo hacia un destino no autorizado, la solucin de DLP tiene la capacidad de alertar y opcionalmente bloquear los flujos de datos en tiempo real o casi real, nuevamente con base en el conjunto de reglas definidas dentro de su componente de administracin central. Basndose en el conjunto de reglas, la solucin tambin puede poner en cuarentena o encriptar los datos en cuestin. Una consideracin importante para la DLP de una red es que se deben desencriptar los datos antes de que la solucin de DLP los pueda inspeccionar. La solucin de DLP debe tener la capacidad de hacer esto por s misma (al contar con esta funcin y las claves de encriptacin necesarias) o debe haber un dispositivo que desencripte el trfico antes de la inspeccin por el mdulo de DLP, y lo encripte nuevamente luego de que hayan sido inspeccionados los datos y se les haya permitido pasar.

3 Algunas capacidades de DLP estn embebidas en los sistemas de red, por ejemplo cortafuegos y servidores de correo electrnico, en lugar de funcionar como equipos dedicados.

Datosenuso(puestodetrabajo)Los datos en uso tal vez sean el aspecto ms desafiante de la DLP. Estos datos se refieren principalmente al monitoreo del movimiento de datos que se deriva de acciones que ejecutan los usuarios finales en sus estaciones de trabajo, tales como copiar datos a una unidad USB, enviar informacin a una impresora o incluso cortar y pegar entre aplicaciones. Las soluciones de DLP por lo general ejecutan estas funciones usando un programa de software conocido como agente, el cual en el caso ideal est controlado por las mismas capacidades de administracin central de la solucin de DLP general. La ejecucin de conjuntos de reglas en un sistema de usuario final tiene limitaciones inherentes a ella, siendo la ms importante que el sistema de usuario final debe tener la capacidad de procesar el conjunto de reglas aplicadas. Dependiendo del nmero y la complejidad de las reglas que se estn ejecutando, podra ser necesario ejecutar solo una parte de ellas, lo que puede dejar brechas significativas en la solucin en general.

Para ser considerada una solucin de DLP completa, debe contar con la capacidad de atender los tres estados de informacin y estar integrada por una funcin de administracin centralizada. La gama de servicios disponibles en la consola de administracin vara de un producto a otro, pero muchos, si acaso no la mayora de ellos, comparten las siguientes funciones: CreacinyadministracindepolticasLas polticas (conjuntos de reglas) dictan las acciones que toman los

diferentes componentes de la DLP. La mayora de las soluciones de DLP vienen con polticas (reglas) previamente configuradas que hacen referencia a reglamentaciones comunes, por ejemplo a las dos siguientes leyes estadounidenses: la Ley de Portabilidad y Responsabilidad de Seguros Mdicos (HIPAA) y la Ley Gramm-Leach-Bliley (GLBA). Es igualmente importante poder personalizar estas polticas o desarrollar polticas que estn totalmente adaptadas a las necesidades especficas.

IntegracindeserviciosdedirectorioLa integracin con servicios de directorio permite a la consola de DLP mapear una direccin de red a un usuario final especfico.

AdministracindelflujodetrabajoLa mayora de las soluciones de DLP completas ofrecen la capacidad de configurar el manejo de incidentes, lo que permite al sistema de administracin central enrutar incidentes especficos a las partes adecuadas con base en el tipo de violacin, gravedad, usuario y otros criterios similares.

RespaldoyrestitucinLas funciones de respaldo y restitucin permiten la preservacin de polticas y otros valores de configuracin.

ElaboracindeinformesUna funcin de elaboracin de informes puede ser interna o utilizar herramientas externas para el mismo propsito.

Enfoque del programa de DLP

La aplicacin de una solucin de DLP es una tarea compleja que requiere considerables actividades preparatorias, tales como desarrollo de polticas, anlisis de procesos comerciales e inventarios detallados y anlisis de los tipos de informacin que utiliza la empresa. Estas actividades requieren la participacin de una amplia base de actores tanto de las unidades de negocio como de TI que la solucin apoya. Las secciones siguientes describen las consideraciones clave para cada etapa del proceso de ejecucin.



7

Datosenuso(puestodetrabajo)Los datos en uso tal vez sean el aspecto ms desafiante de la DLP. Estos datos se refieren principalmente al monitoreo del movimiento de datos que se deriva de acciones que ejecutan los usuarios finales en sus estaciones de trabajo, tales como copiar datos a una unidad USB, enviar informacin a una impresora o incluso cortar y pegar entre aplicaciones. Las soluciones de DLP por lo general ejecutan estas funciones usando un programa de software conocido como agente, el cual en el caso ideal est controlado por las mismas capacidades de administracin central de la solucin de DLP general. La ejecucin de conjuntos de reglas en un sistema de usuario final tiene limitaciones inherentes a ella, siendo la ms importante que el sistema de usuario final debe tener la capacidad de procesar el conjunto de reglas aplicadas. Dependiendo del nmero y la complejidad de las reglas que se estn ejecutando, podra ser necesario ejecutar solo una parte de ellas, lo que puede dejar brechas significativas en la solucin en general.

Para ser considerada una solucin de DLP completa, debe contar con la capacidad de atender los tres estados de informacin y estar integrada por una funcin de administracin centralizada. La gama de servicios disponibles en la consola de administracin vara de un producto a otro, pero muchos, si acaso no la mayora de ellos, comparten las siguientes funciones: CreacinyadministracindepolticasLas polticas (conjuntos de reglas) dictan las acciones que toman los

diferentes componentes de la DLP. La mayora de las soluciones de DLP vienen con polticas (reglas) previamente configuradas que hacen referencia a reglamentaciones comunes, por ejemplo a las dos siguientes leyes estadounidenses: la Ley de Portabilidad y Responsabilidad de Seguros Mdicos (HIPAA) y la Ley Gramm-Leach-Bliley (GLBA). Es igualmente importante poder personalizar estas polticas o desarrollar polticas que estn totalmente adaptadas a las necesidades especficas.

IntegracindeserviciosdedirectorioLa integracin con servicios de directorio permite a la consola de DLP mapear una direccin de red a un usuario final especfico.

AdministracindelflujodetrabajoLa mayora de las soluciones de DLP completas ofrecen la capacidad de configurar el manejo de incidentes, lo que permite al sistema de administracin central enrutar incidentes especficos a las partes adecuadas con base en el tipo de violacin, gravedad, usuario y otros criterios similares.

RespaldoyrestitucinLas funciones de respaldo y restitucin permiten la preservacin de polticas y otros valores de configuracin.

ElaboracindeinformesUna funcin de elaboracin de informes puede ser interna o utilizar herramientas externas para el mismo propsito.

Enfoque del programa de DLP

La aplicacin de una solucin de DLP es una tarea compleja que requiere considerables actividades preparatorias, tales como desarrollo de polticas, anlisis de procesos comerciales e inventarios detallados y anlisis de los tipos de informacin que utiliza la empresa. Estas actividades requieren la participacin de una amplia base de actores tanto de las unidades de negocio como de TI que la solucin apoya. Las secciones siguientes describen las consideraciones clave para cada etapa del proceso de ejecucin.

La puesta en funcionamiento de una solucin de DLP es una tarea compleja que requiere considerables actividades

preparatorias.



8

Clasificacin, ubicacin y trayectos de los datos de la organizacin A menudo las empresas no estn conscientes de todos los tipos y ubicaciones de la informacin que poseen. Es importante, antes de adquirir una solucin de DLP, identificar y clasificar los tipos de datos sensitivos y su flujo de un sistema a otro y a los usuarios. Este proceso debera producir una taxonoma de datos o un sistema de clasificacin que aprovecharn diversos mdulos de DLP mientras buscan y toman acciones con respecto a la informacin que corresponde a las diversas clasificaciones dentro de la taxonoma. El anlisis de procesos de negocio crticos debera producir la informacin requerida. Las clasificaciones pueden incluir categoras tales como datos privados de clientes o empleados, datos financieros y propiedad intelectual. Una vez que los datos han sido identificados y clasificados debidamente, el anlisis ulterior de los procesos debera facilitar la ubicacin de almacenes de datos primarios y trayectos de datos clave. Con frecuencia, se dispersan mltiples copias y variaciones de los mismos datos a travs de toda la empresa en servidores, estaciones de trabajo, cintas y otros medios. Usualmente se hacen copias para facilitar probar la aplicacin sin limpiar antes los datos de contenido sensitivo. Tener una buena idea de las clasificaciones de datos y la ubicacin de los almacenes de datos primarios es til tanto para la seleccin como para la ubicacin de la solucin de DLP. Luego de que ha sido instalada la solucin de DLP, podr ayudar a encontrar otras ubicaciones y trayectos de datos.

Tambin es importante entender el ciclo de vida de los datos de la empresa. Entender el ciclo de vida desde el punto de origen, pasando por el procesamiento, mantenimiento, almacenamiento hasta la eliminacin de los datos, ayudar a descubrir repositorios de datos adicionales y vas de transmisin.

Se debe recopilar informacin adicional a travs de un inventario de todos los puntos de salida de datos, ya que no todos los procesos de negocios estn documentados y no todo movimiento de datos es resultado de un proceso establecido. El anlisis de los conjuntos de reglas para el enrutador y el cortafuegos puede contribuir con estos esfuerzos.

Establecimiento y socializacin de procesos y polticas de alto nivel Una vez que se ha ubicado y clasificado la informacin, se debern crear polticas o modificarlas para definir clasificaciones especficas y el manejo apropiado de cada categora. Las polticas de clasificacin de datos debern mantenerse lo ms sencillas posible.

Luego de que se hayan establecido las polticas, se deber desarrollar un plan de flujo de trabajo de alto nivel. Este plan deber incluir las categoras de datos establecidas como objetivos, las acciones que se van a tomar (y por parte de quin) para atender las violaciones, los procesos de escalacin y cualquier proceso necesario para las solicitudes excepcionales. Adems se debern establecer procesos para casos fuera del horario de trabajo y das feriados, cuando tal vez no estn disponibles las personas clave. Es importante que los procesos fuera del horario de trabajo cuenten con procedimientos claros y bien documentados, que en ellos participen personas que puedan tomar decisiones apropiadas y bien fundamentadas y que los actores pertinentes documenten y revisen debidamente cualquier decisin que se tome para manejar casos excepcionales fuera del horario de trabajo. Deber existir un proceso formal para el manejo de excepciones, el cual deber documentar toda la informacin relevante relativa a la excepcin en particular. Asimismo es importante asegurar que existan procesos adecuados para el manejo de incidentes y que los mismos sean funcionales para cada una de las categoras de reglas antes de iniciar las actividades reales.

Una vez que se ha ubicado y clasificado la informacin, se debern crear polticas o modificarlas para definir clasificaciones

especficas y el manejo apropiado de cada categora.



9

Puesta en prcticaLas empresas debern considerar seriamente poner en prctica la DLP inicialmente en un modo solo de monitoreo. De esta manera, se podr poner a punto el sistema y predecir los impactos para los procesos de negocios y la cultura de la organizacin. Permitir que las alertas activadas por el sistema generen conciencia y den lugar a cambios de comportamiento por lo general suele ser un mejor enfoque que bloquear flujos de trfico y correr el riesgo de desbaratar los procesos de negocio. Aunque los cuadros directivos tal vez tengan preocupaciones importantes por el volumen de datos sensitivos que se escapan por la puerta luego de activar el sistema, iniciar el bloqueo real demasiado pronto puede provocar problemas aun mayores pues interrumpe u obstaculiza seriamente los procesos de negocios crticos. Lo que se espera es que estos procesos se identifiquen durante la etapa de preparacin, pero con frecuencia se pasan cosas por alto que rpidamente salen a la luz cuando se activa la solucin de DLP.

Resolucin de violaciones Las soluciones de DLP, por lo general, proporcionan una buena cantidad de informacin til con respecto a la ubicacin y las vas de transmisin de la informacin sensitiva. Sin embargo, a veces esto puede convertirse en una caja de Pandora. Una empresa puede desconcertarse rpidamente ante el volumen y la extensin de sus datos sensitivos y la prdida de los mismos y tal vez pueda estar inclinada a apresurarse y tratar de atender todos los problemas al mismo tiempo, lo que seguro es una frmula para el desastre. Es importante que una empresa est preparada para emplear un enfoque basado en riesgo a fin de priorizar y tratar los hallazgos en la forma ms expeditiva posible. Todos los actores clave deben participar en este proceso, ya que el mismo a menudo implica dejar que un problema contine por un tiempo mientras se atiende uno ms serio. El anlisis y las decisiones subsiguientes en relacin con el proceso debern estar bien documentados y mantenerse en anticipacin a futuras auditoras o investigaciones reglamentarias.

Programa DLP en curso Se debe monitorear de cerca la solucin de DLP y entregar informes peridicos de riesgo, cumplimiento y privacidad a los actores pertinentes (por ejemplo, gestin de riesgo, gestin de cumplimiento, equipo de privacidad y recursos humanos [RR.HH.]).

Se deben seguir revisando y optimizando las reglas de DLP, pues las soluciones de DLP no informarn a los administradores si una regla es demasiado amplia y podra tener un impacto importante de desempeo en la infraestructura de DLP. Las empresas debern asegurarse de que todos los actores sean diligentes en cuanto a informar cualquier nuevo formato o tipo de dato que tal vez no est representado en el conjunto de reglas de DLP existente. Se debe disponer de un ambiente de prueba y evaluacin que se utilizar para probar el impacto de los parches y actualizaciones de la solucin de DLP. Finalmente, es importante dar continuidad a los programas de creacin de conciencia y adiestramiento, los cuales podran ser reforzados con las capacidades de alerta y generacin de informes de la solucin de DLP.



10

Beneficios de DLP para el negocio

Igual que con cualquier conjunto de controles de seguridad, la puesta en prctica de la DLP debera apoyar los objetivos de negocios y ofrecer un beneficio tangible al negocio. La lista siguiente destaca algunos de los beneficios ms directos de una solucin de DLP que ha sido puesta en funcionamiento correctamente: ProtegelosdatoscrticosdelnegocioylapropiedadintelectualEl

principal beneficio de DLP es la proteccin de la informacin que es crtica para el negocio. Las empresas mantienen muchos tipos de informacin que deben proteger por razones legales, de reputacin y de competencia. Por ejemplo, informacin sobre clientes, registros personales, informacin de salud, registros financieros confidenciales, documentos de diseo de productos, planes comerciales e investigacin bajo patente son apenas unos cuantos casos.

MejoraelcumplimientoLa DLP puede ayudar a que las empresas cumplan los requerimientos legales relacionados con la proteccin y el monitoreo de datos que contienen informacin privada financiera y sobre los clientes. Las soluciones de DLP por lo general vienen con reglas previamente configuradas que abordan tipos de datos que han sido impactados por normativas legales importantes, tales como la industria de tarjetas de pago (PCI), GLBA y HIPAA. El uso de estos conjuntos de reglas puede simplificar los esfuerzos para proteger los datos afectados por estas normativas.

ReduceelriesgodeviolacindelosdatosAl reducir el riesgo de fugas de datos, disminuye el riesgo financiero para la empresa. En su informe para 2009, el Instituto Ponemon estim que el costo promedio de la fuga de datos en Estados Unidos es de $20 por registro.4 Incluso con violaciones relativamente pequeas de los registros que podran ascender a miles, cada incidente representa potencialmente un impacto financiero importante.

MejoraeladiestramientoylaconcienciaAunque la mayora de las empresas cuenta con polticas escritas, las mismas tal vez hayan sido olvidadas al pasar el tiempo. Las soluciones de DLP alertan, y a veces bloquean, el movimiento de datos que est violando la poltica y ofrece educacin en lnea para garantizar que los usuarios siempre estn conscientes de las polticas asociadas con datos sensitivos.

MejorarlosprocesosdenegociosUno de los principales intangibles de la DLP es el desarrollo de nuevas polticas, controles y pruebas que permiten identificar procesos de negocio interrumpidos. A menudo, el paso de simplemente evaluar y catalogar los procesos de negocio en preparacin a la puesta en funcionamiento de la DLP puede ofrecer una excelente perspectiva a la empresa.

OptimizaelespacioendiscoyelanchodebandadelaredUn importante beneficio de las soluciones de DLP es la identificacin de archivos estancados y videos que se estn cargando, los cuales consumen una gran cantidad de recursos de TI, tales como almacenamiento en servidores de archivos y ancho de banda de la red. Depurar los archivos inactivos y evitar que se carguen videos no relacionados con el negocio puede reducir las necesidades de almacenamiento, respaldo y ancho de banda.

DetectasoftwaremaliciosooilegalOtro intangible clave de la DLP es su capacidad de identificar software malicioso que trata de transmitir informacin sensitiva a travs del correo electrnico o una conexin de Internet. La DLP en la red puede ayudar a reducir el dao causado por software malicioso pues detecta la transmisin ilegal de informacin sensitiva fuera de la empresa, lo que tal vez no siempre sea as, pues las transmisiones pueden estar encriptadas. Pero incluso en ese caso, un sistema que cuente con un conjunto de reglas que alerten o bloqueen el flujo de datos que no puede desencriptar ser una excelente ayuda para las defensas contra software malicioso.

Igual que con cualquier conjunto de controles de seguridad, la puesta en prctica de la DLP debera apoyar los

objetivos de negocios y ofrecer un beneficio tangible al negocio.

4 Ponemon Institute; Ponemon Study Shows the Cost of a Data Breach Continues to Increase, USA, 2009, www.ponemon.org/news-2/23



11

Consideraciones de seguridad y riesgo

Igual que con cualquier solucin de TI compleja, la puesta en funcionamiento de un programa de DLP, de no manejarse debidamente, puede representar una serie de riesgos para la empresa. Muchos de estos riesgos pueden tener un impacto directo en las operaciones del negocio, por lo tanto, es importante tomar las medidas de mitigacin adecuadas y que los actores en el negocio participen en todo momento en este proceso. LaFigura1 presenta una lista de los riesgos operacionales clave que se relacionan con la puesta en funcionamiento de la DLP.

Figura 1Riesgos operacionales relacionados con la puesta en funcionamiento de la DLP

Riesgo Impacto Estrategia de mitigacin

Mdulos de DLP mal ajustados en la red Interrupcin de procesos de negocio Prdida de tiempo y de ingresos Dao a las relaciones con clientes o socios comerciales

Prdida de apoyo de los actores del negocio

Se debe poner a punto y probar correctamente el sistema de DLP antes de activar el bloqueo real de contenido. Activar el sistema en modo solo de monitoreo permitir ponerlo a punto y ofrecer la oportunidad de alertar a los usuarios acerca de procesos y actividades que estn incumpliendo las reglas, de modo que se puedan emprender los ajustes correspondientes. La participacin de los actores adecuados del rea de TI y negocios en las etapas de planificacin y monitoreo permitir garantizar que se anticipen y mitiguen las interrupciones a los procesos. Por ltimo, se deben establecer algunos medios de accesibilidad en caso de que se est bloqueando contenido crtico fuera de las horas de trabajo, cuando el equipo que administra la solucin de DLP no est disponible.

Un mdulo de DLP de red mal dimensionado Prdida o eliminacin de paquetes de red que permiten que algunos datos pasen sin ser inspeccionados

Garantizar que el tamao del mdulo de DLP sea el adecuado para el volumen de trfico en la red es una consideracin de diseo crtica. Sin embargo, es igualmente importante monitorear los mdulos de red de la DLP para asegurar que el trfico en la red no se incremente en el tiempo hasta un punto tal que haga que el mdulo pierda su efectividad.

Igual que con cualquier solucin de TI compleja, la puesta en funcionamiento

de un programa de DLP, de no manejarse debidamente, puede representar una serie

de riesgos para la empresa.



12

Figura 1Riesgos operacionales relacionados con la puesta en funcionamiento de la DLP (cont.)


Exceso de informes y falsos positivos Prdida de tiempo del personal Omisin de amenazas ciertas Tendencia a ignorar registros en el tiempo

Igual que un sistema de deteccin de intrusiones (IDS) mal configurado, las soluciones de DLP pueden registrar cantidades considerables de falsos positivos, que sobrecargan al personal y pueden hacer que se pasen por alto ataques reales. Evite el uso excesivo de patrones de plantillas o soluciones tipo caja negra que no permiten un alto grado de personalizacin. El rasgo ms importante de una solucin de DLP es la capacidad de personalizar las reglas o plantillas de acuerdo con los patrones de datos especficos de la organizacin. Igualmente es importante que el sistema se desarrolle en fases, concentrndose primero en las reas de ms alto riesgo. Tratar de monitorear demasiados patrones de datos o permitir demasiados puntos de deteccin desde un principio puede sobrecargar rpidamente los recursos.

Conflictos con software o rendimiento del sistema

Tiempo de inactividad del sistema Degradacin del rendimiento Interrupcin de la DLP o de otros controles o procesos

Los sistemas de DLP, en particular los rastreadores y agentes de puntos de destino, pueden entrar en conflicto con otro software en el sistema y el rendimiento. Antes del despliegue, se debe dejar un margen para una extensa planificacin y pruebas. Lo ideal es disponer de un ambiente de pruebas y evaluacin permanente. Verifique con el proveedor si hay conflictos conocidos. Asegrese de que los rastreadores estn correctamente configurados y puestos a punto y que su operacin est programada de tal manera que no permita ventanas pico de procesamiento del sistema. Cuando sea posible evitarlo, no se deben programar exploraciones sobre puestos de trabajo para horas de trabajo pico o cuando los sistemas estn conectados en forma remota. Adems, cercirese de que todos los parches y actualizaciones hayan sido probados dentro del ambiente de prueba antes del despliegue para produccin.



13

Figura 1Riesgos operacionales relacionados con la puesta en funcionamiento de la DLP (cont.)


Cambios en procesos o infraestructura de TI que hacen que los controles de la DLP pierdan su eficacia

Reduccin de la eficacia de la DLP debido a que se evaden los controles de la misma

El administrador o un representante del sistema de DLP deber participar en el cambio de los procesos de control a fin de garantizar que los cambios realizados no evadan o degraden de cualquier otra manera las capacidades de la DLP. Adems, la empresa deber estar bien preparada para los cambios relacionados con la DLP para reducir el riesgo de que se pase por alto en forma intencional el sistema de DLP en aras de la eficiencia.

Mdulos de red de DLP mal colocados Flujos de datos perdidos o no inspeccionados

Es importante asegurarse de la colocacin adecuada de los mdulos de red de la DLP. Asegrese de que estn disponibles mapas de red precisos y de que los mdulos se coloquen en los puntos de salida ms externos para los flujos de datos que la empresa desea monitorear.

Falla no detectada de los mdulos de DLP Datos no inspeccionados debido a falla parcial o total del mdulo

Los mdulos de DLP pueden fallar, pero no siempre informan su estado a la consola. Es importante realizar pruebas peridicas para garantizar que los mdulos y los filtros asociados a ellos estn funcionando de acuerdo con lo esperado.

Servicios de directorio incompletos o mal configurados

Incapacidad para rastrear violaciones a los usuarios finales apropiados

El servicio de directorio constituye la conexin clave entre una direccin de red y un usuario real, y la mayora de las empresas desea contar con este proceso en oposicin a la deteccin manual de esta informacin, la que puede consumir demasiado tiempo y no siempre es posible. Las empresas que tienen servicios de directorio incompletos o que carecen de ellos debern considerar cubrir esta brecha antes de poner en funcionamiento una solucin de DLP.

Limitaciones de la DLP

Aunque las soluciones de DLP pueden ser muy tiles para que una empresa tenga una mayor perspectiva y control de los datos sensitivos, los actores tienen que estar conscientes de sus limitaciones y de las deficiencias en las soluciones de DLP. Entender estas limitaciones es el primer paso en el desarrollo de estrategias y polticas que permitirn compensar las limitaciones de la tecnologa. Algunas de las limitaciones ms importantes comunes entre las soluciones de DLP son las siguientes:

Aunque las soluciones de DLP pueden ser muy tiles para que una empresa tenga una mayor perspectiva y control de los datos sensitivos, los actores tienen que

estar conscientes de sus limitaciones y de las deficiencias en las soluciones de DLP.



14

EncriptacinLas soluciones de DLP solo pueden inspeccionar la informacin que primero pueden desencriptar. Para ello, los agentes de DLP, los dispositivos de red y los rastreadores deben tener acceso y poder utilizar las claves de desencriptacin adecuadas. Si los usuarios tienen la capacidad de usar paquetes de encriptacin personales en caso de que las claves no sean administradas por la empresa y suministradas a la solucin de DLP, no se pueden analizar los archivos. Para mitigar este riesgo, las polticas deben prohibir la instalacin y el uso de soluciones de encriptacin que no se administren en forma centralizada; asimismo, se debe educar a los usuarios en el sentido de que cualquier cosa que no pueda ser desencriptada para inspeccin (lo que significa que la solucin de DLP tiene la clave de encriptacin) finalmente ser bloqueada.

GrficosLas soluciones de DLP no pueden interpretar archivos grficos de modo inteligente. Debido a la incapacidad de bloquear o inspeccionar manualmente toda informacin de este tipo, se producir una brecha importante en la capacidad que tiene una empresa de controlar su informacin. La informacin sensitiva que se digitaliza en un archivo grfico o la propiedad intelectual que existe en un formato grfico, por ejemplo documentos de diseo, entraran en esta categora. Las empresas que tienen una cantidad importante de propiedad intelectual en formato grfico debern desarrollar polticas slidas que rijan el uso y la divulgacin de esta informacin. Aunque las soluciones de DLP no pueden leer en forma inteligente el contenido de un archivo grfico, s pueden identificar tipos de archivos especficos, su fuente y su destino. Esta capacidad, combinada con un anlisis de trfico bien definido, puede identificar movimientos no caractersticos de este tipo de informacin y proporcionar cierto grado de control.

OtrosproveedoresdeservicioCuando una empresa enva su informacin sensitiva a un tercero de confianza, inherentemente est confiando en que el proveedor de servicio aplica el mismo nivel de control de fugas de informacin, ya que las soluciones de DLP de la empresa pocas veces se extienden hasta la red de los proveedores de servicio. Un programa slido de gestin de terceros, que incorpora lenguaje contractual efectivo y un programa de auditora de apoyo, puede contribuir a mitigar este riesgo.

ServiciosmvilesCon la llegada de los equipos de computacin mviles, tales como telfonos inteligentes, es indudable que hay canales de comunicacin que no se pueden monitorear o controlar fcilmente. El servicio de mensajes de texto cortos (SMS) es el protocolo de comunicacin que permite enviar mensajes de texto y es un ejemplo clave. Otra consideracin es la capacidad de muchos de estos equipos de utilizar Wi-Fi o incluso de convertirse en un punto caliente (hotspot) de Wi-Fi. Ambos casos permiten comunicacin fuera de banda que no puede ser monitoreada por parte de la mayora de las empresas. Por ltimo, la capacidad de muchos de estos equipos de capturar y almacenar fotografas digitales e informacin de audio representa otra posible brecha. Si bien se estn alcanzando ciertos avances en esta rea, las grandes limitaciones del poder de procesamiento y administracin centralizada siguen constituyendo un reto. De nuevo, la mejor manera de enfrentar esta situacin es desarrollando polticas slidas y fomentando la educacin de los usuarios para instarlos a que usen debidamente estos equipos.

ApoyomultilingePocas soluciones de DLP ofrecen apoyo multilinge, pero prcticamente todas las consolas de administracin trabajan con el idioma ingls. Tambin es cierto que por cada idioma y juego de caracteres adicionales que el sistema debe soportar, se incrementan tanto los requerimientos de procesamiento como los tiempos de anlisis. En tanto los proveedores no reconozcan una demanda suficiente para atender esta deficiencia, no quedan muchos recursos ms que buscar otros mtodos para controlar las fugas de informacin en idiomas diferentes al ingls. Las empresas multinacionales deben considerar cuidadosamente esta deficiencia potencial cuando evalen y desplieguen una solucin de DLP.

Estos puntos no tienen la intencin de desalentar la adopcin de la tecnologa de DLP. El nico recurso para la mayora de las empresas es la adopcin de polticas de conducta y controles de seguridad fsicos que complementen la serie de controles tecnolgicos que estn disponibles hoy en da, tales como: SupeditacinaunanicasolucinEn este momento no existe portabilidad de los conjuntos de reglas entre las

diferentes plataformas de DLP, lo que quiere decir que cambiar de un proveedor a otro o integrarse con una solucin adquirida por una organizacin puede requerir un trabajo considerable para reproducir un conjunto complejo de reglas en un producto diferente.



15

ApoyolimitadoalsistemaoperativoclienteMuchas soluciones de DLP no ofrecen agentes de DLP en los puntos de destino para sistemas operativos como Linux y Mac, pues su uso como clientes en la empresa es mucho menos comn. Sin embargo, esto da lugar a una deficiencia potencialmente importante para las empresas que tienen varios de estos clientes. Este riesgo solo se puede abordar por medio de polticas orientadas hacia el comportamiento o requiere el uso de soluciones personalizadas que no suelen estar integradas en la plataforma de DLP de las empresas.

ApoyoentreaplicacionesLas funciones de la DLP tambin pueden estar limitadas por el tipo de aplicacin. Un agente de DLP que no pueda monitorear las manipulaciones de datos de una aplicacin no podr hacerlo para otra en el mismo sistema. Las empresas deben asegurarse de que todas las aplicaciones que pueden manipular datos sensitivos estn identificadas y deben verificar que la solucin de DLP sea compatible con ellas. En aquellos casos en los que existan aplicaciones con las cuales no haya compatibilidad, tal vez sean necesarias otras acciones a travs de las polticas o, de ser factible, la eliminacin de la aplicacin especfica.

Consideraciones en cuanto a cambios y gobierno

La introduccin de una solucin de DLP para una empresa puede tener un impacto sobre muchos sistemas de TI y procesos de negocio. Estos impactos pueden implicar cambios considerables a procesos de negocio que tienen mucho tiempo, un incremento de los gastos generales en sistemas clave y modificaciones de las configuraciones del sistema y la red. Antes de seleccionar y poner en funcionamiento una tecnologa de DLP, es importante asegurarse de que se hayan desarrollado las polticas adecuadas para regir su uso. Es igualmente importante que en el desarrollo de una poltica de DLP participen los actores clave que entiendan qu informacin se debe restringir y por qu. En una presentacin reciente en una reunin sobre gestin de riesgo y seguridad organizada por Gartner, el analista de esta empresa, Eric Ouellett, observ lo siguiente:

Las organizaciones subestiman la necesidad de la participacin de unidades de negocio que no pertenezcan al rea de TI. En muchos casos, realmente no es apropiado que la gente de TI tenga que analizar lo que los sistemas de DLP puedan estar reportando en cuanto a problemas de cumplimiento con la proteccin de datos, pero en la prctica, el monitoreo de DLP algunas veces no funciona bien en las manos de la gente del negocio que sera la ms adecuada.5

La clave es que las personas correctas en la empresa deben participar en el desarrollo inicial de polticas as como cuando el programa de DLP se est aplicando, pues ellas sern determinantes a la hora de tomar las decisiones apropiadas en caso de violaciones. El propietario de datos de negocio que tenga una idea del contexto estar mucho ms equipado para tomar estas decisiones que un analista de seguridad de TI. Asimismo es importante que estos actores entiendan por completo las ramificaciones de los cambios esperados y que exista una preparacin adecuada para evitar un impacto negativo para estos procesos de negocio.

Adems, cabe destacar que es importante reconocer que los cambios significativos al proceso de negocio o procedimientos que tiene mucho tiempo instaurados puede tener impactos mucho ms extensos sobre la cultura de la empresa. Pese a los mejores esfuerzos para comunicarse y educarse antes de la puesta en funcionamiento, algunas personas tal vez no entiendan o acepten los cambios y busquen vas para evadir los nuevos controles, introduciendo as

Antes de seleccionar y poner en funcionamiento la tecnologa de DLP, es importante garantizar que se desarrollen polticas adecuadas para regir su uso.

5 Network World; Too many data-loss prevention tools become shelfware, says analyst, 22 June 2010, www.networkworld.com/news/2010/062210-data-loss-prevention-tools.html

6 ISACA; An Introduction to the Business Model for Information Security, USA, 2009, www.isaca.org/Knowledge-Center/BMIS/Documents/IntrotoBMIS.pdf



16

un mayor riesgo para la empresa. Entender la naturaleza sistmica de la gestin de seguridad de la informacin, tal como la que se describe en la publicacin de investigacin de ISACA An Introduction to the Business Model for Information Security,6 puede ayudar a desarrollar estrategias para enfrentar este riesgo.

Las empresas deben asegurar que se aplique un enfoque basado en riesgo cuando se ponga en funcionamiento una solucin de DLP. Incluso cuando se despliegue en modo solo de monitoreo, es fcil abrumarse con el volumen de informacin presentada por el sistema. Cuando esto ocurra, existe una clara posibilidad de que la solucin sea desechada hasta el punto de que sea ineficaz o de que a la larga se ignore, como sucedi con muchos primeros sistemas de deteccin de intrusiones (IDS). Un enfoque que estn empleando algunas empresas consiste en poner en funcionamiento la DLP solo para sistemas o protocolos especficos que han determinado como de alto riesgo. Un nico canal que con frecuencia se cubre es el del correo electrnico, pues a menudo presenta el mximo riesgo de prdida de datos para una empresa.

Consideraciones sobre aseguramiento para la DLP

Los profesionales en aseguramiento tienen la tarea de garantizar que la solucin de DLP se despliegue, administre y gobierne correctamente, lo que implica entender claramente los riesgos, as como monitorear constantemente cuatro reas clave: EstrategiaygobiernoempresarialRevisar la estrategia de proteccin de

datos para examinar si est acorde con los objetivos de negocio y sus riesgos. Prestar atencin a los riesgos indirectos en caso de que la informacin confidencial pueda ser objeto de abuso por parte de competidores. Evaluar si hay puntos de verificacin para mantener la estrategia de datos en lnea con los cambiantes objetivos de negocio. Verificar si existe un marco de gobierno claro que permita orquestar acciones entre las personas, procesos y tecnologa. Verificar si estn siendo consideradas todas las leyes, legislacin y leyes de privacidad aplicables.

LagenteVerificar si los actores adecuados estn comprometidos durante y despus de poner en funcionamiento la DLP. Los actores clave son, entre otros:

Legal, privacidad, seguridad corporativa, seguridad de la informacin Ingeniera y operaciones de TI RR.HH. y representantes de los empleados Representantes de las lneas de negocio clave Gerencia ejecutiva

Revisar el programa de conciencia y adiestramiento para garantizar que los empleados estn conscientes de sus funciones y responsabilidades. Garantizar que el personal necesario para manejar la informacin confidencial est bien adiestrado de acuerdo con la poltica de seguridad de la empresa y que solo personal con una necesidad de negocio tenga acceso a la informacin confidencial. Asimismo, garantizar que los actores adecuados participen en la identificacin de datos sensitivos y el flujo de trabajo que evale y aborde las violaciones de la poltica de DLP.

ProcesosdenegocioRevisar los procesos de negocio con acceso a informacin confidencial y determinar si ese acceso es necesario para ejecutar cada proceso. Identificar la necesidad de acceso a informacin confidencial desde procesos de negocio es uno de los mtodos ms seguros para proteger esos datos. Adems, debern existir procesos adecuados para el monitoreo, deteccin, calificacin, manejo y cierre de los incidentes de fuga de datos.

Los profesionales en aseguramiento tienen la tarea de garantizar que la solucin de DLP se despliegue, administre y gobierne

correctamente.



17

TecnologaRevisar la tecnologa especfica que haya sido desplegada y determinar si est instalada segn su diseo. Por ejemplo, determinar si cubre todos los puntos de salida y equipos crticos para la empresa. Esto podra incluir puntos de salida de socios comerciales y equipos con acceso a informacin sensitiva. Adems, asegurar que cubra todos los elementos necesarios de la tecnologa que se est usando en la empresa. Finalmente, revisiones peridicas de registros y procesos para el manejo de eventos garantizan que la solucin est siendo utilizada de manera correcta y optimizada.

Conclusin

La informacin de una empresa puede ser uno de sus activos ms valiosos. Las soluciones de DLP a menudo tienen una capacidad con mltiples facetas para aumentar de modo significativo la capacidad de la empresa para la gestin de riesgos para sus activos de informacin clave. Sin embargo, las soluciones pueden ser complejas y propensas a afectar otros procesos y la cultura de la organizacin si se aplican de manera indebida y apresurada. Una planificacin y preparacin cuidadosas, la comunicacin y el adiestramiento en la creacin de conciencia son primordiales para el despliegue de un programa exitoso de DLP.

Si desea encontrar otros recursos relacionados con la DLP, visite www.isaca.org/DLP.

Las soluciones de DLP ofrecen una capacidad de mltiples facetas para incrementar de modo significativo la capacidad de la organizacin para la gestin de riesgos para sus activos de

informacin clave.

05-Data-Leak-Prevention_whp_Spa_0211.pdf

Documents

Transcript of 05-Data-Leak-Prevention_whp_Spa_0211.pdf