La importancia de la seguridad de datos y cómo proteger tu información en 2022

Es simple, no pierdas los datos

Karen Roby: Cuando hablamos de privacidad de datos, hay un día especial dedicado a crear conciencia al respecto. Pero, como discutimos fuera de cámara, debería tener su propia semana o mes, o ni siquiera sé. No podemos hablar lo suficiente sobre privacidad, seguridad y todo eso, porque es un tema enorme. Hay muchos problemas, muchas violaciones. Hay mucho en juego aquí.

Terry Ray: Sin duda. Me refiero a que no creo que la gente a menudo relacione una violación de seguridad con la privacidad en términos de cumplimiento normativo. Pero la realidad es que tanto los clientes como las empresas, todos los demás, vienen a mí todo el tiempo y hablan sobre la necesidad de cumplir con este reglamento o esta regulación, o se trata de la privacidad.

La realidad es que todo se reduce a lo mismo, que es exactamente lo que dijiste, no pierdas los datos, sean cuales sean esos datos. Mis datos se convierten en privacidad. Una tarjeta de crédito es dato de un banco. Eso no necesariamente es privacidad. Así que todo depende de qué datos sean, pero no los pierdas. Solo deja que ciertas personas los vean. Desde el punto de vista de la privacidad, si ya no quiero que los tengas, quiero que los cambies. Entonces, debes hacer lo que te digo, porque son mis datos. Así que hay todas estas facetas individuales que entran en juego. Pero es interesante que hemos estado lidiando con la seguridad de datos desde hace 20 años. Todavía existen muchas deficiencias, identificadas precisamente por las violaciones de seguridad de las que estás hablando.

¿Qué significa realmente la seguridad de datos?

Karen Roby: Sí. Vamos a profundizar en eso. ¿Dónde estamos realmente? ¿Qué te preocupa? ¿Hacia dónde vamos?

Terry Ray: A lo largo de los años, ha habido muchas cosas diferentes que han sucedido en cuanto a seguridad de datos. Uno de los mayores desafíos a los que se ha enfrentado la seguridad de datos es que es un tema tan amplio. Cualquiera puede decir que se dedica a la seguridad de datos. Podría ser un firewall de red y decir: "Al proteger su red, estoy protegiendo sus datos. Por lo tanto, hago seguridad de datos". Lo mismo sería cierto para cifrado o, aún más específico, tecnologías como tokenización o pseudoanonimización o todas estas formas de ocultar tus datos, todas ellas son seguridad de datos y tratan de proteger los datos. Creo que ese es probablemente el desafío más grande al que se enfrentan las organizaciones y los profesionales, simplemente no saben qué hacer exactamente. Hay tantas opciones diferentes y todos dicen que resuelven mi problema. ¿Cómo sé cuándo se ha resuelto realmente mi problema? ¿Tengo la tecnología adecuada? ¿Tengo los procesos adecuados?

Lo he dicho durante años, y sigue siendo verdad, si vas a LinkedIn y escribes entre comillas "seguridad de bases de datos", solo en relación a la seguridad del almacenamiento de datos, encontrarás 36.000 personas en el mundo que dicen ser expertos en seguridad de bases de datos. Si haces lo mismo para seguridad de redes, encontrarás 1.5 millones de personas que dicen ser expertos en seguridad de redes. Entonces, la gente ni siquiera afirma ser expertos en seguridad en algunos de los lugares más comunes donde almacenamos nuestros datos, lo cual revela que no hay mucha experiencia en el tema. Existe mucha confusión sobre cómo abordar el problema de proteger tus datos.

Protección antivirus en línea: McAfee Clinic lleva la seguridad de tu PC al siguiente nivel

Es crucial lograr una visibilidad completa de tus datos privados

Karen Roby: Sí. Eso es lo que... Hablamos con personas todos los días y escribimos artículos y videos con todo tipo de personas y diferentes aspectos de la seguridad y la privacidad. Esa es la cosa, parece que es confuso. Hay tantos caminos diferentes y quién es responsable de qué, y como líder de una empresa o aquellos responsables de la privacidad de esos datos, es una batalla constante, creo, mantenerse al tanto, y como dijiste, saber si realmente tienes las cosas correctas en su lugar. A veces es difícil saberlo.

Terry Ray: Clavaste la situación. Si lo llevamos a lo más básico cuando se trata de privacidad o seguridad de datos. Algunas personas dirán que todo comienza con A, saber dónde están tus datos. Ahora, ese es el enfoque tradicional para decir: "Antes de poder asegurar cualquier cosa, debo saber dónde está". Te diré que la seguridad de datos moderna realmente no se preocupa por dónde están tus datos. Deberías poder ver... Necesito poder analizar cada fragmento de datos que tengo, y si estoy viendo todo eso, realmente no importa dónde esté porque estoy buscando un comportamiento sospechoso. Pero tradicionalmente, la gente diría: "Necesito saber dónde están mis datos privados". Te diré dos cosas. Una es que tradicionalmente, la capacidad para identificar dónde se encuentran esos datos sería un proceso muy técnico, y de hecho lo es. Es un proceso sencillo, pero técnico.

Solía hacer una pregunta en un grupo de directores de seguridad de la información (CISOs, por sus siglas en inglés), solo ten en cuenta que esto es seguridad, pero hacía una pregunta a un grupo de CISOs. Les preguntaba: "Miren, ¿quién es responsable de la seguridad de datos? ¿Es tu responsabilidad, el CISO?". Te diré que solo la mitad de las manos en la sala se levantaría y diría: "Es mi responsabilidad". La otra mitad de la sala diría: "Sé que mi teléfono va a sonar cuando haya una violación, pero ¿cómo puedo saber en 100 bases de datos cuál de estas bases de datos es importante y cuál tiene datos privados y quién gestiona esos datos? Estoy a cargo de la seguridad allí. ¿Cómo puedo saber todo esto?". Y eso es solo con 100 bases de datos. Imagina un banco multinacional que tiene decenas de miles de bases de datos. ¿Cómo puede la seguridad encargarse de todo eso? No digo si deben o no. Solo digo que es uno de los desafíos a los que se enfrentan.

Si vuelves a las organizaciones hoy en día, verás que la mayoría de las organizaciones aún no saben dónde están sus datos privados y no saben si realmente podrían verlo todo, pero ni siquiera saben dónde está exactamente el dato privado. La última cosa aquí, les preguntaría: "¿Saben dónde están sus datos privados?". Te diré que la mayoría de las manos en la sala se levantarían y dirían: "Sí, sé dónde están". Yo les diría: "¿Saben que es posible que esos datos puedan estar en otro lugar y que tengan la certeza de que no se han movido?". Y ellos dirían: "Bueno, no sabemos eso. Lo que sabemos es que de mis 100 servidores, dos de ellos tienen tarjetas de crédito". "¿Pero no sabes nada sobre los otros 98?" Dirían: "No, no sabemos nada sobre los otros 98, pero sabemos que esas tarjetas de crédito se supone que están aquí". Les diría: "Entonces, en realidad no sabes dónde están tus datos privados. Sabes dónde se supone que deben estar tus datos privados".

Pero en el mundo real, a medida que esos datos privados se mueven por toda la organización, eso es un gran desafío para las organizaciones si comienzan en el mundo de "tengo que saber dónde están todos mis datos privados", ese proyecto nunca termina. Siempre estás buscando los datos privados porque siempre se están moviendo, en lugar de que la organización simplemente diga: "No importa. No necesito saber dónde están mis datos privados. En cambio, realmente necesito tener posiblemente una visibilidad completa de mis datos. Necesito estar vigilándolos, como lo hago con el malware, como lo hago con mi red. Conozco cada paquete que entra y sale de mi red y conozco cada archivo que se copia en un USB con mi plataforma de prevención de pérdida de datos. Sin embargo, no puedo decirte quién tocó esa tabla ayer porque no lo estoy vigilando en una base de datos". Esa es la brecha que creo que la seguridad alcanza y simplemente no puede superar en muchas organizaciones.

Previsiones para la privacidad de datos en 2022

Karen Roby: Con eso en mente, Terry, y a medida que avanzamos hacia 2022, ¿qué significa eso? ¿Qué predices? ¿Qué ves en el horizonte?

Cómo proteger tu computadora de los virus: métodos y consejos

Terry Ray: Ciertamente, el cumplimiento normativo se dividió hace unos años. Hace cinco o seis años se lanzó el Reglamento General de Protección de Datos (GDPR, por sus siglas en inglés). Fue el primer gran reglamento técnico con consecuencias en materia de privacidad que abarcó todo un continente. Las empresas se apresuraron en tratar de resolver los problemas que esto planteaba. Diré que, desde el punto de vista de la seguridad, la mayoría de las organizaciones que ya existían en ese momento tenían la capacidad de responder a muchas de las preguntas que planteaba el GDPR. Por ejemplo, ¿sabes dónde están tus datos privados? Bueno, había tecnologías que podían resolver eso, pero no necesariamente se enfocaban en la privacidad. También había organizaciones que se enfocaban en el otro aspecto de privacidad del GDPR: proteger tus datos, no perder datos, no ser negligentes hacia tus datos. Necesitas tener buenas prácticas para tus datos.

Las tecnologías hacían eso, pero realmente no cumplían con el lenguaje del GDPR. La mayoría de estas organizaciones no se dieron cuenta de que, cuando se solicitaban un DPO (Oficial de Protección de Datos) o un CPO (Responsable de Privacidad, por sus siglas en inglés), ahora se trataba de una persona diferente en la organización encargada del proyecto, diferente a las personas con las que la mayoría de los productos de seguridad hablan, el departamento del CISO. Por lo tanto, lo que hemos visto en los últimos cinco años es que ha habido una división en el ámbito tecnológico de la seguridad de datos. La seguridad de datos se dividió en un elemento de lo que hablamos antes, ese enfoque en la clasificación, la capacidad de conocer dónde y cómo están tus datos privados, y llegar al punto de tener DPOs que encabecen proyectos para clasificar y encontrar los datos, decir: "Aquí es donde existen los datos", porque tengo solicitudes de DSAR (Solicitud de Derechos de Acceso de los sujetos de datos, por sus siglas en inglés) que se presentarán y cuando necesite realizar una tarea de triaje en una solicitud de DSAR, si Terry dice: "¿Qué datos tienes sobre mí? Quiero que los borres o los modifiques". Debo responder y dar una respuesta. Así que necesito una tecnología para eso.

Lo que estos DPOs o CPOs podría no haber sabido es que si su organización ya era un negocio altamente regulado, probablemente ya tenían tecnología que probablemente podría hacer eso, pero los proveedores de tecnología, incluyéndome a mí mismo, no hicimos un gran trabajo al decir: "Por cierto, ¿sabías que podríamos resolver este problema para ti también?". Así que ahora tienes organizaciones en los últimos cinco años que tienen tecnologías superpuestas. Mi predicción total es que lo que verás en el próximo año o dos años es que las organizaciones comenzarán a darse cuenta y dirán: "Bien, ¿con qué estamos clasificando nuestros datos? ¿Con qué estamos descubriendo nuestros datos privados? ¿Qué producto tiene esta empresa y qué producto tiene esta otra? ¿Tenemos dos en funcionamiento?". La pregunta obvia es: "¿Por qué debería pagar por dos de estas tecnologías? ¿No deberíamos tener solo una?". ¿Cuál es realmente la pieza de tecnología más poderosa?

No voy a responder eso aquí, pero creo que cuando te enfocas en el núcleo del cumplimiento normativo, si tienes que cumplir con estándares de privacidad y regulaciones de privacidad, probablemente, en muchos, muchos casos, también tienes otras regulaciones que no son de privacidad con las que debes cumplir. La tecnología superpuesta que ocurre en todos los ámbitos es que necesitas monitorear el acceso a esos datos. Necesitas saber quién los tocó, cuándo los tocó, cómo los tocó, desde dónde los tocó, tal vez necesites poder prevenirlo, pero como mínimo, necesitas tener pruebas de que sabes qué está sucediendo en esa organización. Ha habido algunos ejemplos en el último año, año y medio, donde algunas cadenas hoteleras y organizaciones de transporte fueron multadas, pero no por no poder hacer la parte manual del triaje de DSAR, sino porque no encontraron el nivel adecuado dentro de esas organizaciones de seguridad de datos inherente.

Ese sigue siendo el tema común, volviendo al principio de lo que mencionaste antes, estas violaciones siguen ocurriendo, no por falta de triaje de DSAR, sino porque seguimos viendo violación tras violación. Entonces, en mi opinión, creo que veremos que esto se fusionará con la seguridad de datos, sigue siendo seguridad de datos. Aunque es amplio, tiene estos aspectos fundamentales que, independientemente de lo que hagas, debes poder responder preguntas muy básicas como quién tocó tus datos, cuándo lo hicieron, y lo que es más importante, si realmente deberían haber tocado esos datos o no. Si puedes responder esas preguntas, por lo general estarás bastante bien cuando se trata de responder a incidentes desafortunados o simplemente responder preguntas sobre dónde está mi dato privado.

¡Defiéndete! Protege tu seguridad en línea contra amenazas críticas

En Newsmatic nos especializamos en tecnología de vanguardia, contamos con los artículos mas novedosos sobre Seguridad, allí encontraras muchos artículos similares a La importancia de la seguridad de datos y cómo proteger tu información en 2022 , tenemos lo ultimo en tecnología 2023.