¿Qué es la seguridad de los datos?

¿Por qué es importante la seguridad de los datos?

Con los avances en la tecnología de computación en la nube junto con la amplia adopción de la nube a nivel mundial, la información confidencial está mucho más distribuida (y sujeta a una mayor variedad de riesgos de seguridad) que cuando estaba toda en un centro de datos local. La industria de la ciberseguridad ha desarrollado muchas herramientas de seguridad nuevas que aprovechan la IA avanzada y la automatización, pero los ciberdelincuentes siguen siendo persistentes y continúan desarrollando sus tácticas.

Muchas organizaciones están implementando medidas de seguridad de la información más estrictas para proteger los datos críticos de los ciberataques de próxima generación. Esta tendencia es el resultado no solo de las nuevas amenazas a la seguridad, sino también del aumento exponencial del volumen de datos que las organizaciones están procesando y generando. Las enormes cantidades de datos personales (por ejemplo, información sanitaria protegida [PHI] e información de identificación personal [PII]) utilizados en sectores muy regulados como la sanidad, las finanzas y el sector público son especialmente preocupantes.

Normativa sobre seguridad de datos

Las industrias y los gobiernos de todo el mundo mantienen marcos de cumplimiento normativo que se refieren a los requisitos de seguridad de los datos, cómo deben manejarse tipos específicos de datos, dónde pueden guardarse determinados datos y mucho más. Algunos de los principales marcos de cumplimiento incluyen:

• La Ley de Privacidad del Consumidor de California (CCPA) otorga a los residentes de California el derecho a saber qué datos personales recopilan, comparten o venden las empresas, así como el derecho a optar por no participar en estas acciones.
• El Programa Federal de Gestión de Riesgos y Autorizaciones (FedRAMP) estandariza un enfoque para la evaluación y autorización de proveedores de servicios en la nube que trabajan con agencias federales de los EE. UU.
• El Reglamento General de Protección de Datos (RGPD) exige que las empresas informen rápidamente sobre las violaciones de datos y obtengan el consentimiento para procesar los datos personales de los ciudadanos de la UE, quienes se reservan el derecho a acceder a ellos, modificarlos y borrarlos.
• La Ley de Portabilidad y Responsabilidad del Seguro Médico (HIPAA) impone requisitos de privacidad y seguridad a los proveedores de atención médica y entidades estadounidenses que gestionan PHI.
• La norma ISO/IEC 27001 establece un enfoque para que las organizaciones establezcan, mantengan y mejoren la gestión de la seguridad de la información, centrándose en la evaluación de riesgos, los controles de seguridad y la supervisión continua.
• El Marco de Ciberseguridad del Instituto Nacional de Estándares y Tecnología (NIST) ofrece un conjunto integral de pautas para que las organizaciones reduzcan los riesgos de seguridad y mejoren la resiliencia de la ciberseguridad.
• El Estándar de Seguridad de Datos de la Industria de Tarjetas de Pago (PCI DSS) obliga a las organizaciones que gestionan transacciones con tarjetas de crédito a implementar cifrado, controles de acceso y más para proteger los datos del titular de la tarjeta.

Estos y otros marcos se revisan y modifican con frecuencia para reducir al máximo el riesgo de los datos de la organización. Más información sobre los riesgos en la siguiente sección.

Los mayores riesgos para la seguridad de los datos

Es seguro asumir que los datos están en peligro pase lo que pase, por lo que es importante saber qué hay que tener en cuenta al gestionarlos. Algunos de los mayores riesgos de datos incluyen:

• Acceso no autorizado y amenazas internas: Los mecanismos de autenticación débiles o comprometidos pueden permitir que usuarios no autorizados dentro o fuera de una organización obtengan acceso a datos confidenciales y propiedad intelectual.
• Vulnerabilidades y configuraciones erróneas: El software sin parches puede contener vulnerabilidades conocidas que permitan a los hackers obtener acceso. Las configuraciones inseguras pueden crear brechas similares incluso en sistemas que de otro modo serían seguros.
• Ransomware y otros programas maliciosos: El ransomware puede cifrar, exfiltrar, destruir y fugar datos, causando potencialmente una pérdida de datos catastrófica. Otras modalidades de malware pueden hacer de todo, desde espiar las actividades de los usuarios hasta dar a los ataques el control del sistema.
• Phishing e ingeniería social: Los ataques de phishing, a menudo enviados por correo electrónico, utilizan técnicas manipulativas de ingeniería social para engañar a los usuarios y conseguir que revelen sus credenciales de acceso o información confidencial.
• Cifrado de datos insuficiente: Transmitir o almacenar los datos de una organización en texto simple (sin cifrado) los expone a un mayor riesgo de ser interceptados por terceros no autorizados.
• Riesgos de seguridad de terceros y de la nube: La externalización del procesamiento o almacenamiento de datos a terceros puede introducir riesgos si su seguridad es deficiente, las responsabilidades de seguridad compartidas no están claras, se producen errores de configuración, etc.

Para mitigar estos riesgos, es fundamental contar con una estrategia integral de ciberseguridad que incluya controles de acceso sólidos, gestión de vulnerabilidades, cifrado sólido, supervisión continua en tiempo real, auditorías y más.

Diferentes soluciones de seguridad de datos

La protección eficaz de los datos requiere múltiples controles de seguridad que operen juntos como uno solo para proporcionar una protección integral de los datos en reposo y en movimiento.

Estos son algunos de los medios básicos y más comunes para mantener la seguridad de los datos:

• El cifrado de datos es un proceso en el que los datos en texto plano se convierten en texto cifrado codificado mediante un algoritmo y una clave de cifrado, que posteriormente puede revertirse a texto plano con una clave de descifrado.
• La tokenización disfraza los valores de los datos para que aparezcan como valores no confidenciales para los malintencionados. También llamado encubrimiento de datos, la tokenización vincula estos marcadores de posición, o tokens, a sus homólogos sensibles.
• Los firewalls, en el sentido tradicional, protegen los datos gestionando el tráfico de red entre los hosts y los sistemas finales para garantizar transferencias de datos completas. Permiten o bloquean el tráfico en función del puerto y el protocolo y toman decisiones basadas en políticas de seguridad definidas.

Además de estas, otras soluciones más avanzadas ayudan a defenderse de las amenazas avanzadas modernas:

• Las tecnologías de prevención de pérdida de datos (DLP) supervisan e inspeccionan los datos en reposo, en movimiento y en uso para detectar violaciones e intentos de borrado o exfiltración de datos. Las soluciones DLP más sofisticadas forman parte de una plataforma de protección de datos más amplia creada para proteger a los usuarios, las aplicaciones y los dispositivos en cualquier lugar.
• La gestión de identidades y accesos (IAM) protege los datos aplicando políticas de control de acceso en toda la organización. Por lo general, IAM otorga a los usuarios acceso a los recursos a través de autenticación multifactor (MFA), que puede incluir inicio de sesión único (SSO), autenticación biométrica y más.
• El acceso a la red Zero Trust (ZTNA) permite el acceso seguro a aplicaciones internas para los usuarios independientemente de su ubicación, otorgando acceso según sea necesario y con los privilegios mínimos definidos por políticas granulares. ZTNA conecta de manera segura a los usuarios autorizados con aplicaciones privadas sin colocarlos en la red privada ni exponer las aplicaciones a Internet.

Mejores prácticas de seguridad de datos

Deberá tomar algunos pasos más allá de simplemente implementar medidas de seguridad de datos si desea maximizar su efectividad. A continuación se muestran algunas maneras de ayudarle a aprovechar al máximo la seguridad de sus datos:

• Realice evaluaciones de riesgos periódicas: Comprender dónde se encuentran las vulnerabilidades de su organización ayuda a su equipo y a su liderazgo a determinar dónde puede cerrar las puertas abiertas para los hackers.
• Mantenga el cumplimiento normativo: Operar dentro de marcos de cumplimiento determinados no solo reduce el riesgo sino que también ayuda a sus resultados, ya que las sanciones por incumplimiento pueden ser elevadas.
• Mantenga copias de seguridad de datos de alta calidad: Las buenas copias de seguridad de datos son un componente crucial de la seguridad moderna, especialmente con el ransomware en aumento.
• Establezca políticas de seguridad estrictas: Esto puede parecer obvio, pero muchas violaciones se derivan de un lapsus en las políticas que acaba dejando entrar a un malintencionado por una puerta abierta.

Cómo Zscaler puede ayudar con la seguridad de los datos

Zscaler Data Protection sigue a los usuarios y las aplicaciones a las que acceden, protegiéndolos en cualquier lugar y en cualquier momento contra la pérdida de datos. Nuestro Zero Trust Exchange™ inspecciona el tráfico en línea, cifrado o no, y garantiza la seguridad de sus aplicaciones SaaS y de nube pública al tiempo que ofrece un enfoque drásticamente racionalizado de la protección y las operaciones, ventajas que no son posibles con las soluciones locales heredadas.

Zscaler Data Protection protege las cuatro fuentes principales de pérdida de datos de la siguiente manera:

• Previene la pérdida de datos en Internet: Los datos de la empresa se ven amenazados cuando los usuarios acceden a Internet y a sus destinos de riesgo. Los dispositivos heredados no pueden seguir a los usuarios fuera de la red ni asegurar su tráfico web. La plataforma nativa de la nube Zscaler se escala para inspeccionar todo el tráfico, en todas partes. Una única política DLP protege los datos en la web, el correo electrónico, los puntos finales, SaaS y aplicaciones privadas, junto con técnicas de clasificación avanzadas.
• Protege los datos SaaS con CASB: Proteger los datos en reposo en las aplicaciones SaaS es fundamental para la seguridad: basta con dos clics para compartir datos con un usuario no autorizado a través de aplicaciones como Microsoft OneDrive. Nuestro CASB integrado y multimodo asegura las aplicaciones SaaS sin el costo y la complejidad de un producto puntual. La funcionalidad en línea ofrece una detección y un control completos de la TI en la sombra. DLP y ATP fuera de banda remedian el intercambio de archivos de riesgo y el malware en reposo en la nube.
• Protege los datos en la nube pública: La mayoría de las violaciones de la nube son causadas por configuraciones erróneas peligrosas o permisos excesivos. Zscaler CSPM y CIEM encuentran y remedian configuraciones erróneas potencialmente fatales, violaciones de cumplimiento, permisos y derechos; el escaneo continuo prioriza el riesgo. La gestión integrada de la postura de seguridad de SaaS extiende esta funcionalidad a aplicaciones como Microsoft 365, Salesforce y Google Workspace.
• Protege los dispositivos no gestionados: Los BYOD y otros dispositivos no gestionados son amenazas considerables para los datos. Zscaler Browser Isolation permite de manera segura el acceso de dispositivos no gestionados sin los problemas de rendimiento de VDI o proxy inverso. La solución transmite los datos como píxeles desde una sesión aislada en el Zero Trust Exchange, permitiendo el uso de BYOD al tiempo que se evita la pérdida de datos por descarga, copia, pegado e impresión.