¿Qué es la prevención de pérdida de datos (PPD)?

PPD son las siglas de Prevención de pérdida de datos (DLP, en inglés). PPD es un concepto, o un conjunto de estrategias , que consta de herramientas o procesos que, cuando las utiliza un administrador de red, puede impedir el acceso, uso indebido o pérdida de datos sensibles. Con la PPD, los usuarios no envían datos sensibles o críticos fuera de las redes de sus organizaciones. Los usuarios de redes son susceptibles a compartir datos, accidental o maliciosamente, lo cual podría perjudicar a la organización propietaria de las redes. Por ejemplo, el reenvío de mensajes de trabajo fuera del dominio corporativo, o cargar archivos sensibles en un servicio comercial de almacenamiento en la nube, como Dropbox. El software de PPD categoriza y protege los datos sensibles, tanto si son críticos para la organización como confidenciales o regulados.

Motivos para adoptar la PPD

Las circunstancias nunca han sido más favorables para la adopción generalizada del software de PPD. El volumen de datos expuesto por las vulneraciones ha ido creciendo de año en año. Entre el 60% y el 70% de todas las vulneraciones de datos es objeto de difusión pública, con un significativo perjuicio para la reputación, y en ocasión las finanzas, de las organizaciones. El 84% de los directivos de TI creen que la PPD es más difícil a causa de los trabajadores remotos. Cada 11 segundos, otra empresa cae víctima de un ciberataque. En EE.UU., el coste medio de una vulneración de datos es de 9,44 millones de dólares. La PPD aborda tres temas sensibles comunes de la seguridad informática de las organizaciones: protección de los datos personales y cumplimiento normativo correspondiente, protección de PI y visibilidad de los datos.

• Protección de los datos personales y cumplimiento normativo correspondiente: toda organización que recoja y almacene IPI, DSP o PCI posiblemente esté sujeta al cumplimiento de normas como la HIPAA o el RGPD. Ello implica que están obligadas a proteger los datos sensibles de sus clientes.
• Protección de PI: si su organización posee propiedad intelectual valiosa, secretos comerciales o incluso secretos de Estado, su pérdida o robo puede ponerla en peligro. Las soluciones de PPD pueden utilizar clasificación contextual, capaz de jerarquizar la PI de maneras estructuradas y desestructuradas. Mediante políticas y controles es posible frenar la exfiltración de datos.
• Visibilidad de los datos: una solución de PPD empresarial exhaustiva puede detectar y vigilar sus datos en terminales, en redes y en la nube. Podrá ver cómo los usuarios de su organización interactúan con los datos.

Además, la PPD es conveniente para vigilar amenazas de infiltrados, protección de datos de Office 365, análisis de comportamientos de usuarios/entidades y amenazas avanzadas.

Buenas prácticas de prevención de pérdida de datos

Al iniciar una evaluación de la mejor manera de implementar la PPD en su organización, es importante recordar: no todos los datos son críticos. Diferentes organizaciones priorizarán diferentes datos. ¿El robo de qué tipo de datos sería más desastroso? Centre su estrategia de PPD inicial en protegerlos.

Considere clasificar sus datos por contexto. Asocie una clasificación con la aplicación de origen, el almacén de datos o el usuario creador. Las etiquetas de clasificación persistentes indican que las organizaciones pueden negociar el uso de los datos.

La capacitación y las directrices pueden reducir el riesgo de pérdidas accidentales de datos por el personal interno. Las soluciones de PPD más avanzadas ofrecen alertas a los usuarios para indicarles que su uso de los datos puede vulnerar las políticas de la empresa o incrementar los riesgos, a la vez que controlan las actividades de riesgo.

Una implementación correcta de PPD se basa en entender cómo se utilizan los datos en la organización y cómo identificar los comportamientos de riesgo. Las organizaciones deben monitorizar los datos en movimiento como parte de una estrategia de observación de qué ocurre con sus datos más sensibles, y entender los problemas que toda estrategia de PPD debería abordar.

Naturalmente, el nivel de riesgo variará en función del destino de los datos, como asociados, clientes, la cadena de suministro, etc. Normalmente, el riesgo es mayor cuando se utiliza en terminales, como en mensajes de correo electrónico o dispositivos de almacenamiento extraíbles. Un programa de PPD sólido tendrá en cuenta estos riesgos de los datos móviles.

¿Cuál es su principal objetivo de protección de datos? Quizá no sea un tipo de datos específico. La protección de la PI, el cumplimiento normativo, la obtención de la visibilidad de los datos: todos son objetivos valederos. Tener establecido un objetivo simplifica la determinación de cómo implementar de manera eficaz su solución de PPD.

Es importante no apresurarse antes de adoptar una solución de PPD. Establezca objetivos mensurables de rápido cumplimiento para la definición de su concepto inicial. Puede adoptar un concepto de proyecto, reduciendo el ámbito inicial del programa para centrarse en un tipo de datos específico. Por ejemplo, hacer hincapié en detectar y automatizar la clasificación de datos sensibles. Es una estrategia más eficiente que una implementación inicial demasiado ambiciosa y compleja.

Al implementar su programa de PPD, establezca y vigile KPI, con el objeto de tener patrones de medida de su éxito y detectar áreas de posibles mejoras. Comparta estos parámetros con los directivos de su organización para demostrar el valor que agrega la PPD.

Al implementar su programa inicial de PPD, no cometa el error de hacerlo en un único departamento cada vez. Una aplicación incongruente y unas prácticas de PPD ad hoc serán ignoradas por diversas secciones de la organización con las cuales no están relacionadas directamente, lo cual se traduce en un importante derroche de recursos.

En relación con este aspecto, lo mejor es conseguir el visto bueno de ejecutivos de la organización, como el Director financiero y el Consejero delegado, para conseguir la aprobación del presupuesto para un programa de PPD. Tendrá que demostrar cómo la PPD aborda los temas sensibles de diferentes unidades de negocio, como el crecimiento rentable y el uso eficiente de los activos (ya que la PPD elimina la necesidad de personal adicional). De esta manera, la adopción generalizada del programa por parte de toda la organización resultará más fácil de defender y de coordinar. La colaboración de los directivos de las unidades de negocio para definir las políticas de PPD que regirán los datos de la organización permite que todas las unidades conozcan dichas políticas, cómo implantarlas y sus repercusiones.