Las plataformas de colaboración de su empresa podrían ser una puerta abierta a la filtración de datos.
¿Y si le dijéramos que existe un lugar donde la información confidencial está a disposición de casi toda su organización? Donde se invita a entrar a extraños y se puede acceder a los datos, descargarlos o copiarlos en un clic. A menos que haya tomado medidas para evitarlo, está ocurriendo en su organización ahora mismo.
Hablamos de herramientas de colaboración empresarial y redes sociales. La mayoría de las empresas utilizan al menos dos. Slack, Microsoft Teams, Workplace de Meta, Yammer.... Todas estas plataformas están ayudando a romper los silos y a turboalimentar la productividad en el lugar de trabajo. ¿Pero a qué precio?
Los fundamentos de una fuga de datos: definición y hechos clave
Cada vez que se liberan inadvertidamente datos restringidos, eso es una fuga de datos. Las fugas de datos no son lo mismo que las violaciones de datos. En los casos de violación de datos, la organización sufre el ataque de un mal actor que quiere robar esa información. Las fugas de datos se producen por negligencia o descuido, y no siempre es necesario un ataque para desencadenarlas.
Las empresas modernas cuentan con salvaguardas y herramientas de seguridad para protegerse de las violaciones de datos. Pero muchas organizaciones siguen pasando por alto el riesgo que plantean las modernas plataformas de colaboración interna. Y eso puede tener consecuencias desastrosas.
Fuga de datos frente a violación de datos
La mayoría de las filtraciones de datos suponen un riesgo pequeño pero manejable para las finanzas de una empresa, la reputación de la marca y la confianza de los empleados, mientras que una violación de datos es una filtración de datos que se ha descontrolado. Los efectos de una violación de datos en la empresa generan costes significativos que amenazan la propia supervivencia de la empresa.
Dado que no hay dos empresas exactamente iguales, una filtración de datos para una empresa podría ser una brecha para otra, en función del tamaño, las finanzas y los recursos de la empresa. Una empresa grande y consolidada puede ser capaz de capear grandes multas, la pérdida de confianza de sus clientes y demandas judiciales, pero una pequeña startup puede hundirse por sólo un par de fugas de datos menores. Pero tanto para las empresas como para los actores más pequeños, detectar y reparar una fuga debe ser una prioridad absoluta, porque las consecuencias de una fuga convertida en filtración pueden ser graves. Tanto las fugas como las violaciones de datos pueden proceder del interior de una organización, a menudo como resultado de un error accidental de un empleado. Sin embargo, no todas las fugas de datos se deben a la negligencia de los empleados. Por ejemplo, una persona con información privilegiada podría compartir maliciosamente datos con un tercero. Para ser claros, el 80% de los incidentes no son malintencionados, pero independientemente de la intención, las filtraciones tienen el potencial de inflarse y hundir su empresa.
Las filtraciones no reciben el mismo tiempo en antena y la misma atención que las infracciones. A menudo oímos hablar de grandes filtraciones de datos que aparecen en los titulares y cuestan millones a las empresas. Pero las fugas de datos, aunque más pequeñas, pueden seguir causando graves dolores, especialmente a quienes trabajan en el ámbito de la seguridad. Con las recientes actualizaciones de la normativa de la SEC de diciembre de 2023, es posible que deba informar incluso de las pequeñas filtraciones si alteran significativamente la reputación general de seguridad de su empresa.
¿Qué causa las fugas de datos?
Aunque hablar de filtraciones de datos puede traer a la mente imágenes de piratas informáticos y espionaje corporativo, la realidad es mucho más mundana. En 2021, la causa más común de las fugas de datos fue una mala configuración del software. Por ejemplo, UpGuard descubrió configuraciones en Microsoft Power Apps que exponían 38 millones de registros.
La desconfiguración es una causa creciente de fugas de datos empresariales, responsable de más del 40% de los incidentes en 2019. Esto supone un aumento de cinco veces desde 2015, un aumento que ha ido de la mano de la transformación digital del lugar de trabajo moderno. Sencillamente, utilizar más aplicaciones basadas en la nube significa más oportunidades de que los datos se escapen.
Confiar en contraseñas predeterminadas o recicladas también supone un peligro para la seguridad de la información. Esto es especialmente problemático cuando los dispositivos del Internet de las Cosas están conectados a una red empresarial más amplia. Esa nevera inteligente, termostato o rastreador de fitness podría estar abriendo una puerta trasera a la bóveda digital de su organización.
Por último, cuando actores sin escrúpulos quieren acceder a los datos sensibles de su empresa, muchos descubren que es más fácil piratear a su personal que a su software. Las estafas de ingeniería social se basan en las jerarquías empresariales para engañar a los empleados y conseguir que entreguen sus credenciales de acceso. Piense en una recepcionista que recibe un mensaje del director general pidiéndole los datos de la tarjeta de crédito de la empresa. O un correo electrónico de Mike, de TI, diciendo que todos los operarios deben hacer clic en un enlace para completar un inicio de sesión de seguridad. Excepto, por supuesto, que el director general no envió tal mensaje, y no hay ningún Mike en TI.
Riesgos habituales de fuga de datos: proteja su información confidencial
El término "fuga de datos" puede parecer bastante amplio. ¿Qué tipos específicos de información podrían formar parte de una filtración de datos? La mayoría de los datos implicados en fugas tienen el potencial de comprometer a los clientes de su organización, a sus empleados y los conocimientos internos de su propiedad:
- Datos de los clientes: Números de teléfono, direcciones, correos electrónicos, números de tarjetas de crédito, números de la seguridad social y otra información personal identificable.
- Datos internos de los empleados: Direcciones y correos electrónicos, así como información de recursos humanos como comprobaciones de antecedentes, escaneados de pasaportes y datos sobre compensaciones.
- Propiedad intelectual: Investigación, secretos comerciales, documentación interna y código fuente
- Credenciales de seguridad: Contraseñas o números de teléfono para la autenticación multifactor (MFA)
¿Son graves las filtraciones de datos?
No toda la información revelada en una fuga de datos será crítica para la organización. Sin embargo, la presencia de la fuga es en sí misma un problema grave. La violación media de datos cuesta 3,92 millones de dólares mitigarla y 280 días detectarla y contenerla. Algunas de las consecuencias de las filtraciones de datos son:
- Pérdida de confianza del cliente o de la clientela
- Multas reglamentarias
- Tiempo de inactividad operativa
- Acceso de los competidores a la propiedad intelectual
Dado que las filtraciones de datos suelen ser el resultado de negligencias o descuidos, pueden causar más daño a la reputación de la empresa que un ataque selectivo de actores malintencionados. Sin embargo, la mayoría de las empresas dedican mucho más tiempo y recursos a defenderse de los piratas informáticos. Es fácil pasar por alto la formación y la tecnología que podrían evitar fugas accidentales.
Ejemplos de fuga de datos
Muchas empresas han experimentado fugas como las descritas anteriormente. Algunos ejemplos clave de líderes de la industria ponen de relieve el daño que puede causar la fuga de datos.
Boeing
La empresa aeroespacial mundial Boeing sufrió una filtración cuando en 2017 uno de sus empleados envió por correo electrónico una hoja de cálculo a su esposa, que no era empleada. Esperaba que ella pudiera ayudarle con algunos problemas de formato, pero no se dio cuenta de que la hoja de cálculo incluía datos personales de 36.000 empleados de Boeing en columnas ocultas.
Al enviar por correo electrónico la hoja de cálculo a un dispositivo no seguro y a una cuenta de correo electrónico que no era de empleado, burló los protocolos de seguridad y puso en peligro las identificaciones de los empleados, el lugar de nacimiento y la información de la seguridad social de sus compañeros de trabajo.
Boeing dijo que confiaba en que los datos quedaran limitados al dispositivo del empleado y al de su esposa, pero ofreció a todos los empleados afectados dos años de monitorización gratuita de su crédito, lo que supone un coste estimado de 7 millones de dólares.
Microsoft
El gigante del software Microsoft experimentó de primera mano lo que puede ocurrir por errores por descuido.
En agosto de 2022, la empresa de ciberseguridad spiderSilk detectó una filtración de credenciales de inicio de sesión en el entorno Github de Microsoft. Si los ciberdelincuentes hubieran encontrado las credenciales, podrían haber sido el punto de entrada para acceder a los servidores Azure de Microsoft y posiblemente a otros sistemas internos.
Los efectos de la exposición de los datos y el código fuente de Microsoft podrían haber sido catastróficos para la organización, sus clientes y sus empleados. Aunque Microsoft no reveló los sistemas concretos a los que daban entrada las credenciales, si personas ajenas a la empresa hubieran accedido a información de clientes de la Unión Europea, Microsoft podría haber recibido una multa de hasta 20 millones de euros por violar la normativa GDPR.
Tras una investigación posterior, Microsoft confirmó que nadie accedió a los datos y está aplicando nuevas salvaguardias para evitar otra filtración.
Amazon
Muchas empresas confían en los productos de AWS, incluido Amazon S3, pero las configuraciones incorrectas de los buckets de S3 han provocado filtraciones. Por ejemplo, en 2019, los investigadores de la empresa vpnMentor encontraron un cubo s3 a disposición del público lleno de datos de los departamentos de recursos humanos de varias consultoras del Reino Unido. Estos archivos incluían información sensible del personal como pasaportes, documentos fiscales, comprobaciones de antecedentes, fechas de nacimiento y números de teléfono.
Cómo evitar las filtraciones de datos
La mayoría de las fugas de datos se deben a errores humanos. Eso significa que necesitan soluciones humanas. La formación del personal sobre los procedimientos adecuados para acceder a la información o compartirla debe ser un proceso continuo. Hacer que los nuevos empleados vean un vídeo de una hora de duración durante la incorporación no es suficiente. A medida que la tecnología evoluciona -y los estafadores se vuelven más sofisticados-, los pasos para evitar una filtración deben actualizarse.
Los cursos rutinarios de actualización sobre las mejores prácticas de seguridad de datos deberían formar parte de las operaciones empresariales normales de su organización. Cree políticas claras sobre cómo manejar la información, dónde almacenar las contraseñas y qué hacer para validar una solicitud inusual.
El cambio al trabajo a distancia durante la pandemia aumentó drásticamente el riesgo para las organizaciones. La adopción repentina de nuevas tecnologías creó grandes agujeros en la seguridad digital. Enfrentados a una agitación sin precedentes, los empleados se quedaron sin saber cómo protegerse a sí mismos o a sus organizaciones. Con el trabajo a distancia aquí para quedarse, las empresas necesitan revisar su pila tecnológica actual para identificar y cerrar posibles puntos de entrada.
Plataformas de colaboración y fugas de datos
Junto con la mejora de la formación de los empleados, las empresas también deben proporcionar a su personal las herramientas adecuadas para salvaguardar su información. Puede que no exista una política de escritorio limpio para el trabajo a distancia, pero la seguridad sigue siendo fundamental. Los empleados deben conocer los procedimientos para almacenar contraseñas, acceder a los archivos de la empresa y compartir información.
Los gestores de contraseñas, las VPN, las soluciones de almacenamiento centralizado y el SSO/confianza cero pueden ayudar a proteger la información confidencial en el lugar de trabajo remoto. Sin embargo, hay un lugar común en el que la información se comparte libremente y a menudo se invita a participar a personas ajenas a la comunidad. Esas son sus plataformas digitales de colaboración.
El objetivo de la colaboración es romper los silos internos y democratizar el acceso a la información. Cuanto más rápido y fácil sea para las personas de toda la organización comunicarse, mejor podrán hacer todos su trabajo. Para facilitar el intercambio de información, las plataformas de colaboración pueden conectarse a cualquier otro programa. Slack permite cientos de integraciones diferentes, desde herramientas de gestión de proyectos y productividad hasta intercambio de archivos, redes sociales y juegos. Es la misma historia con Microsoft Teams y Workplace de Meta. Incluso Yammer permite que un centenar de aplicaciones de terceros se conecten a su oficina remota.
Cada una de estas aplicaciones expone su lugar de trabajo en línea a nuevas vulnerabilidades. La violación de una de ellas podría abrir una puerta trasera a toda la información compartida en su red de colaboración. Por eso es importante examinar y aprobar cuidadosamente cada integración que sus empleados conecten a sus plataformas, antes de que lo hagan. Otra preocupación para las empresas que utilizan la colaboración es el acceso de usuarios de terceros. Slack Connect permite a los usuarios invitar a clientes, contratistas y proveedores al entorno Slack del lugar de trabajo para facilitar aún más la comunicación y el intercambio de documentos. Existen funciones similares en la mayoría de las plataformas de colaboración, como Teams Connect, los grupos multiempresa de Workplace y los grupos externos de Yammer.
Permitir el acceso de terceros a las plataformas de colaboración de la empresa tiene beneficios probados para el negocio. Puede acelerar los proyectos, reforzar las relaciones de trabajo y producir mejores resultados para todas las partes. Pero no viene sin riesgos. Las relaciones comerciales pueden cambiar y, cuando finalizan, no querrá que los documentos antiguos, la propiedad intelectual y otra información confidencial permanezcan en un único repositorio compartido.
Incluso si mantiene buenas relaciones con un socio comercial en un espacio de colaboración compartido, ¿cómo puede estar seguro de que sus políticas de seguridad coinciden con las suyas? ¿Han anotado o compartido sus datos de acceso con un tercero, como un contratista que trabaje en su nombre? ¿Cómo puede saber si lo han hecho? ¿Y cómo puede estar seguro de que cada actor de su ecosistema de colaboración está tomando medidas para salvaguardar la información confidencial compartida en su red de mensajes y chats?
Cómo puede ayudar Mimecast a evitar fugas de datos en la colaboración
Muchas posibles fugas de datos pueden evitarse implantando una solución de supervisión única y segura. Nuestra plataforma se conecta a las principales redes de colaboración a través de API y webhooks, lo que significa que no es necesario ningún esfuerzo informático adicional. A partir de ahí, puede establecer políticas que se apliquen en todo su ecosistema de colaboración y nosotros nos encargaremos de la implementación.
La carga continua significa que capturamos el contexto completo de la colaboración casi en tiempo real, incluidas las revisiones y las supresiones. Otras herramientas de seguridad de la colaboración se basan en ingestas por lotes para registrar los datos, lo que da lugar a la pérdida de información y a un contexto incompleto. Sólo nosotros podemos ofrecer una supervisión completa y contextualizada de 360 grados de la actividad dentro de la colaboración.
A continuación, llevamos la seguridad de la colaboración un paso más allá, con la supervisión automatizada de las conversaciones mediante conocimientos basados en IA/ML entrenados para comprender los mensajes de colaboración de formato corto. Nuestro procesador de lenguaje natural es el mejor de su clase para la colaboración, porque fue construido y entrenado específicamente para esta tarea. Obtenga información auténtica sobre el sentimiento de los empleados y comprenda dónde existen riesgos dentro de su entorno de colaboración. Capacitamos a algunas de las mayores organizaciones del mundo para que adopten una actitud proactiva respecto a la seguridad de los datos de colaboración.
