Proteger los endpoint de malware ya no es suficiente. Las amenazas externas se han vuelto más sofisticadas porque los atacantes están usando métodos creativos para penetrar en las redes de las organizaciones. Además, las amenazas internas son cada vez más poderosas, con los empleados editando o compartiendo datos altamente sensibles (como documentos que contienen información confidencial) sin ser conscientes de las consecuencias, revisaremos como reducir el riesgo en esta situación.

Una brecha de datos y/o la perdida de información confidencial puede cerrar un negocio,  la perdida de la credibilidad, una reputación dañada, información sensible en manos de nuestra competencia puede ser el tiro de gracia para una empresa. No dar suficiente importancia a la seguridad de la información es una de las razones principales por las que algunas empresas no protegen sus datos, de ahi la importancia de evitar estos cuatro errores comunes:

1. DESESTIMANDO EL ERROR HUMANO: Este es el error más común. El personal de TI, el CSO, CISO, etc. tratan a las amenazas externas con alta prioridad pero sin tomar en cuenta los errores humanos. Esto genera una alerta importa nte  porque los malos hábitos de los empleados (usando dispositivos móviles personales en la red corporativa, descargando aplicaciones no autorizadas, ignorando (si existen) las políticas de tratamiento de datos sensibles al compartir información por estos medios) se incrementan de no estar identificados. Las herramientas y aplicaciones que los empleados necesitan  para desarrollar su trabajo deben de ser elementos fundamentales en una estrategia de seguridad informática, de esta forma al seleccionar tecnologías de protección de datos las posibilidades que las necesidades de TI y los empleados se alineen son mayores.
2. DELEGAR TODA LA RESPONSABILIDAD AL ÁREA DE TI:  El interés que poseen los ejecutivos de alto nivel y gerentes de unidad juegan un rol importante en el éxito de una organización al proteger sus datos. En algunas empresas se tiene la creencia que  la seguridad de la información no es un tema de negocio, no se incluye dentro de sus objetivos estratégicos, presupuestos o simplemente  se delega al departamento de TI. Estas organizaciones no están conscientes del impacto negativo al negocio, clientes, socios o accionistas que puede ocasionar una brecha de información. Otros invierten muchos recursos en seguridad pero los administran pobremente, Adquieren mucha tecnología de protección y dejan que el departamento de TI encuentre el propósito de la misma así como encontrar la forma más óptima de implementarlo. La responsabilidad y proporción del programa de protección de datos esta mucho más allá de solamente el departemento de tecnologías de la información.
3. PROTECCIÓN SUPERFICIAL: Instalar un antivirus y un firewall usualmente es lo más cercano a no hacer nada. Es una forma superficial de proteger información ya qué la época en que el  malware era la única preocupación esta bastante lejos. La amenazas han evolucionado al igual que las soluciones de protección, otro error clásico en la protección de datos es adquirir soluciones DLP y crear políticas irrelevantes, ya sea porque no se ha identificado lo que es información confidencial, el nivel de autorización o excepciones estan mal configuradas o las entidades no están definidas. Por ejemplo, el fácil cometer errores cuando no se posee un método robusto de autenticación, caso que sucede cuando todo esta identificado por IP o dirección MAC.
4. PENSAR QUE CUMPLIMIENTO ES LO MISMO QUE SEGURIDAD: La información sensible puede perderse o ser robada incluyendo información financiera, de propiedad intelectual, números de seguridad social, números de tarjeta de crédito entre otros. En los últimos años se ha hecho un gran progreso en el desarrollo de reglas y regulaciones para estandarizar las implementaciones de estrategias de seguridad. Existen múltiples y algunas aplicán de manera global y otras son de carácter local y las organizaciones necesitan cumplir con ellas por una normatividad interna o para evitar multas y penalizaciones. Estar en cumplimiento es algo ineludible pero uno de los grandes errores es adquirir tecnología de seguridad y no implementarla solo en caso de auditoría o utilizarla solo en sus funcionalidades básicas solo para cumplir un estándar. Las empresas deben detenerse y mirar que estan haciendo erróneamente para reestructurar su plan de protección de datos.

En resumen deben de dejar de desestimar los errores humanos y empezar a educar a sus empleados sobre seguridad de la información, seguido deben de hacer de la protección de los datos un tema de negocio y finalmente dejar de tratar el tema superficialmente y rechazar el concepto de que estar en cumplimiento de un estándar es lo mismo que seguridad.

 SI DESEAS EVALUAR GRATUITAMENTE  CON UN EXPERTO RIESGOS PARA ESTOS Y OTROS RUBROS DENTRO DE TU EMPRESA DA CLICK EN LA IMAGEN Y RESERVA LA FECHA

Si tienes algún comentario o requerimiento adicional puedes contactarme en mi dirección de correo electrónico: mtorres@smartekh.com  

*Kelly Jackson/ DarkReading/2016