En este artículo, vamos a describir –de forma sencilla y sin pretender ser exhaustivos– algunos de los riesgos más habituales a los que nos enfrentamos cuando tratamos datos personales.
¿Qué es una amenaza en seguridad de la información?
Por «amenaza» se puede entender todo factor de riesgo con potencial para causar daños y perjuicios a los interesados sobre cuyos datos de carácter personal se realiza un tratamiento. También se puede entender cualquier acción capaz de atentar contra la seguridad de la información.
Si bien no hay una clasificación universal, se pueden establecer cuatro categorías de las causas que generan una amenaza: no humanas, humanas involuntarias, intencionadas que necesitan presencia física y humana intencional que proviene de un origen remoto.
Tipos de amenazas en protección de datos
1. Amenazas no humanas
- Incidentes causados por desastres naturales.
- Incidentes causados por explosiones o fallos de infraestructura.
- Sensibilidad de los equipos a la humedad, temperatura y agentes contaminantes.
- Fluctuaciones o cortes de suministro eléctrico.
2. Amenazas humanas involuntarias
- Errores de monitorización, registros y trazabilidad del tráfico de la información.
- Errores de diseño o programación del software.
- Mantenimiento deficiente de equipos o sistemas.
- Transmisión incorrecta de información entre sistemas.
- Cambio involuntario de datos de un sistema de información.
- Violaciones de la confidencialidad por empleados o encargados del tratamiento.
3. Amenazas humanas intencionadas con presencia física
- Accesos no autorizados a redes o sistemas de información.
- Destrucción de registros y/o dispositivos.
- Actos de vandalismo.
- Robos o hurtos.
- Uso no autorizado de software.
4. Amenazas humanas intencionales con origen remoto
- Malware, ransomware, virus, troyanos, etc.
- Phishing y otras técnicas de ingeniería social.
- Fraude informático y suplantación de identidad.
- Ataques de denegación de servicio (DDoS).
¿Qué son las vulnerabilidades en seguridad de datos?
Las «vulnerabilidades» son aquellos puntos débiles que afectan a la confidencialidad, la disponibilidad e integridad de la información. Pueden ser de tipo físico, natural, de hardware, de software, de almacenamiento, de conexión o humanas.
Veamos algunos ejemplos:
1. Vulnerabilidades de hardware y software
- Conservación inadecuada de equipos por falta de mantenimiento y cuidado.
- Inexistencia o falta de configuración de dispositivos de respaldo o contingencia.
- Sistemas operativos conectados a una red sin contraseñas de acceso.
- Configuraciones indebidas de programas informáticos, que pueden llevar al uso abusivo de los recursos por usuarios mal intencionados.
- Software que ejecuta código malicioso sin control.
- Ausencia de sistemas de encriptación.
2. Vulnerabilidades en soportes físicos
- Almacenamiento en locales insalubres, con humedad o moho.
- Uso de soportes más allá de la vida útil recomendada por el fabricante.
- Defectos de fabricación.
- Manipulación o uso incorrecto del soporte.
3. Vulnerabilidades organizativas
- Falta de formación del personal en ciberseguridad y protección de datos.
- Políticas de seguridad inexistentes o desactualizadas.
- Exceso de privilegios de acceso a sistemas e información.
Fuentes de detección de amenazas y vulnerabilidades
La información acerca de amenazas y vulnerabilidades puede proceder de diversas fuentes:
- Consumos excesivos y repentinos de memoria o disco en servidores y equipos.
- Anomalías de tráfico de red o picos de tráfico en horas inusuales.
- Alertas generadas por antivirus.
- Alertas de sistemas de detección/prevención de intrusión (IDS/IPS/ SANDBOX).
- Análisis de registros en herramientas DLP (Data Loss Prevention).
- Análisis de registros de conexiones realizadas a través de proxys corporativos
- Análisis de registro de servidores y aplicaciones con intentos de acceso no autorizados.
- Conexiones bloqueadas en los cortafuegos.
- Notificaciones efectuadas por los usuarios ante la presencia de archivos sospechosos, comportamiento extraño de los equipos o dispositivos móviles, imposibilidad de acceder a determinados servicios, extravío o robo de dispositivos de almacenamiento o equipos con información.
En ocasiones, es posible que la detección del incidente se produzca a través de la comunicación de un tercero (proveedores de servicios informáticos, proveedores de servicios de Internet o fabricantes de soluciones de seguridad), por las comunicaciones de organismos públicos como el Instituto Nacional de Ciberseguridad (INCIBE), el Centro Criptológico Nacional (CCN), Fuerzas y Cuerpos de Seguridad del Estado o mediante información publicada en medios de comunicación y redes sociales.
Conclusión
Con este artículo no quiero alarmar a nadie, solo pretendo que tomen conciencia de las amenazas y vulnerabilidades a las que estamos expuestos.
Resulta innegable que las nuevas tecnologías presentan vulnerabilidades y no siempre disponemos de recursos suficientes para hacerles frente; de modo que debemos aceptar el riesgo residual y mantener un equilibrio entre el nivel de seguridad, los recursos disponibles y la funcionalidad deseada, teniendo en cuenta los siguientes elementos:
- Análisis de Riesgos.
- Gestión de Riesgos.
- Gobernanza.
- Vigilancia.
- Planes de contingencia.
Frente a las amenazas y vulnerabilidades de la organización, debemos buscar un equilibrio entre las medidas de seguridad que adoptemos para minimizar los riesgos y la funcionalidad que necesitamos para trabajar, siendo conscientes que la seguridad al cien por cien no existe.
No se pierda nuestro podcast sobre el artículo
