La seguridad en la protección de datos en la empresa debe mirar hacia adentro. Data Leakage Prevention (DLP) Parte 1

Diferentes informes realizados por empresas de seguridad apuntan que las Pymes son las empresas que menos recursos asignan a la protección de la seguridad en los datos mientras que las grandes corporaciones cuentan con diferentes capas de protección.

Es importante remarcar que las empresas se preocupan mucho de la protección frente a agentes externos mientras que dedican pocos recursos a la protección contra elementos de la propia organización.

Riesgos:

• Externos
• Internos
• Causas accidentales

Externos

• Ataques desde el exterior (hackers)
• Colaboradores con acceso a infraestructura
• Robos físicos de equipos o soportes.

Internos
Todo tipo de dispositivos que permitan copiar información desde el interior de la compañía pueden constituir una amenaza. Algunos riesgos:

• Grabadoras
• Pendrives
• Smartphones y dispositivos similares con tarjetas de expansión.
• Unidades de cinta
• Bases de datos distribuidas
• Acceso masivo a datos

Accidentales

• Incendios
• Fallos de hardware
• Subidas de tensión
• Envíos de email por error con información sensible.
• Borrados accidentales

Las políticas de seguridad implantadas en las compañías deben anticiparse a los riesgos enumerados anteriormente implementando entre otras las siguientes medidas:

• Físicas
  • Caja seguridad ignífugas almacenamiento copias seguridad
  • Ventilación servidores y equipos críticos
  • Seguridad acceso a CPD’s
  • Alarmas anti-incendios
  • Desconexión o eliminación de elementos que permitan realizar copias.
  • Hardware
    • Firewall
    • SAI
    • Estabilizadores de tensión
    • Discos espejo
    • Appliances de seguridad
  • Software
    • Soluciones antivirus, anti-spyware, anti hackers, anti pishing, etc.
    • Copias de seguridad in company
    • Copias de seguridad online
    • Cifrado de datos (EFS). Este permitiría por ejemplo que si un empleado copia datos en una unidad pendrive estos fueran ilegibles una vez copiados
    • Limitación de acceso a datos a empleados. Bases de datos online, no distribuidas.
  • Jurídicas (contractuales)
    • Acuerdos de confidencialidad tanto con empleados como con colaboradores que dispongan de acceso a datos sensibles.

En esta serie de post que inicio en el día de hoy voy a centrarme en la seguridad interna y concretamente en la encriptación de datos.