Cuando hablamos de fuga de datos, de seguridad y de protección de datos, la mayoría de las empresas piensan en las amenazas externas. Y es lógico, si tenemos en cuenta que los ciberataques no dejan de crecer, el phishing sigue siendo una constante, los ataques a la nube aumentan cada día y que el coste medio de una fuga de datos en 2024 alcanzó casi los 5 millones de dólares, según estimaciones de IBM.
Pero ¿y si no sólo hay que protegerse del exterior? ¿Y si la amenaza está dentro de la empresa? Según el informe “The State Of Data Security, 2024” de Forrester, el 21 % de las fugas de datos en los últimos doce meses se debieron a ataques externos dirigidos a los puestos de trabajo remoto o de teletrabajo de los empleados.
Cada vez es más habitual que los datos de la empresa se almacenen en diferentes espacios y ubicaciones propias de la empresa o de terceros, principalmente en la nube.
La fuga de datos en una empresa es una de las amenazas más críticas en el mundo digital actual, donde la información sensible —como datos personales de clientes, secretos comerciales o información financiera— puede ser comprometida por diversas razones. Estas brechas de seguridad y fugas de datos no sólo generan pérdidas económicas y riesgo de sanciones legales, sino también daños irreparables a la reputación, lo que obliga a adoptar una visión más global de data governance.
Fuga de datos dentro de la empresa
Del mismo modo que leemos a diario noticias sobre ciberataques y fugas de datos, también la escasez de talento es un tema habitual en los medios. ¿Y qué tiene que ver eso con la seguridad y la protección de los datos? Analicemos tres ejemplos muy sencillos.
La rotación del talento
En un escenario empresarial cada vez más competitivo, el riesgo de fuga de talento y la rotación de personal representan desafíos críticos para la seguridad de la información.
Según datos de la consultora Manfred, la tasa de rotación en el sector de la tecnología en España oscila entre el 15-20% anual, un porcentaje que es ligeramente superior al de la media europea (12-15%). En el caso de las startups españolas tienen una tasa de rotación del 40%, muy superior al de las empresas tradicionales.
Estas cifras revelan que por las empresas hay un flujo constante de empleados que llegan y que se van. Con capacidad para acceder a todo tipo de datos salvo que exista una adecuada política de gestión de permisos en la empresa.
El riesgo se produce cuando el empleado deja la compañía, ya sea de forma voluntaria o por haber sido despedido. Ante cualquiera de estas dos situaciones es bastante probable que intente llevarse consigo información valiosa, ya sea de forma intencionada o por desconocimiento de las políticas de seguridad. Este tipo de exfiltración de datos puede comprometer la propiedad intelectual, la continuidad de negocio y, en algunas ocasiones, la reputación de la organización.
La exfiltración de datos, asociada a este tipo de situaciones, puede ocurrir de diversas formas:
- Mediante la descarga masiva de archivos antes de la salida;
- El envío de correos electrónicos con información confidencial a cuentas personales de correo;
- La descarga de información sensible / valiosa en dispositivos de almacenamiento extraíbles;
- La impresión de documentos confidenciales, de listados de clientes o de los impagos en la empresa…
Detectar cualquiera de estos comportamientos de manera temprana o a través de una auditoría de ficheros es clave para la reputación y funcionamiento de las empresas.
El riesgo del empleado descontento
Si ante las rotaciones voluntarias de personal hay que poner mil ojos en la seguridad y protección de los datos, en el caso de los despidos o del personal descontento las alertas y las medidas de protección deben ser aún mayores. Por ejemplo, en 2022, un ex empleado de una firma de consultoría tecnológica robó datos de clientes antes de ser despedido, vengándose por su salida. Vendió la información en el mercado negro, afectando a cientos de empresas asociadas. Este incidente llevó a la empresa a revisar sus políticas de salida de personal, incluyendo la eliminación inmediata de los permisos de acceso y la monitorización de actividades sospechosas de empleados descontentos.
Fuga de datos por error humano
A diferencia de los ejemplos anteriores, el error humano es un caso bastante habitual, en el que simplemente, por error o por descuido, se comparten datos fuera de la organización. Un ejemplo clásico ocurre cuando un empleado envía accidentalmente un correo electrónico con información confidencial a la dirección equivocada. En 2018, un empleado de una conocida cadena de supermercados en Europa envió por error un archivo con los datos personales de miles de clientes —nombres, direcciones y números de teléfono— a un proveedor no autorizado. Este incidente, resultado de un descuido humano, expuso la falta de formación adecuada en ciberseguridad. La empresa enfrentó multas de la autoridad de protección de datos y tuvo que implementar un programa de capacitación obligatoria para sus empleados, además de mejorar los controles de aprobación de correos sensibles.
También sin mala intención y, con voluntad de adelantar trabajo, un empleado puede reenviar desde su correo corporativo un documento confidencial o una presentación con gráficos con datos sensibles para revisar el fin de semana o durante unas vacaciones. Si por casualidad guarda esa información en su ordenador se puede poner en riesgo la seguridad y protección de los datos en el momento en que cambia de ordenador personal o permite a su hijo que haga sus deberes o eche una partida a un juego online. Son dos ejemplos muy recurrentes que pueden acabar en multa por no tener una correcta trazabilidad de los datos de la organización.
Por descuido también se pueden perder dispositivos de almacenamiento externo, como una memoria USB o se te puede olvidar un móvil en un restaurante o un portátil en el tren o el avión. Y es que la pérdida o robo de dispositivos corporativos es otra causa común de fuga de datos. En 2019, un ejecutivo de una multinacional de bienes de consumo perdió su laptop en un aeropuerto. El dispositivo no estaba cifrado y contenía información sobre estrategias de marketing y datos de clientes. La empresa tardó semanas en detectar la pérdida, y aunque no hay evidencia de uso malicioso, tuvo que notificar a los reguladores y ofrecer compensaciones. Este caso subraya la importancia de cifrado obligatorio y políticas estrictas para el uso de dispositivos móviles, además de implementar software de rastreo remoto.
Identificar la fuga de datos en la empresa
En un mundo donde los datos son el activo más valioso de una empresa, contar con una solución como Arexdata DSPM (Data Security Posture Management) es esencial para garantizar la seguridad de la información, la trazabilidad de los datos y la continuidad del negocio.
Por ejemplo, pensando en los ejemplos anteriores, con nuestra solución es posible monitorizar continuamente el acceso y el uso de los datos, identificando cualquier tipo de situación asociada a los ficheros o los datos de las organizaciones, con independencia de la ubicación del repositorio (Cloud, Local, BBDD, Mail, Puestos de trabajo, entre otros).
Es más, mediante el uso de la inteligencia artificial, la solución de Arexdata DSPM, puede detectar actividades sospechosas, generar alertas y ayudar a mitigar el riesgo de fuga de datos.
También permite generar mapas de calor de dónde se encuentra la información sensible de la compañía, implantar una adecuada política de permission management y garantizar la trazabilidad de los datos a lo largo de todo su ciclo de vida.
Y es que un buen DSPM tiene la capacidad de mejorar tecnologías existentes dentro de la empresa.
Por ejemplo, con un DLP se pueden poner reglas para compartir datos y que no se pueda adjuntar o compartir un PDF por correo. Con Arexdata DSPM se pueden realizar auditorías que permiten detectar pantallazos guardados en una carpeta local.
Un DLP puede permitir que se mande un archivo jpeg o png en un correo, porque puede ser la firma de correo. En cambio, un DSPM permite el reconocimiento óptico de caracteres y tiene la capacidad de detectar el tipo de imagen que se envía y si contiene datos sensibles.
Y, otro ejemplo habitual, un DLP igual no permite imprimir documentación sensible en las impresoras del trabajo, pero, a diferencia de un DSPM, no pone barreras para imprimir y guardar ese documento como PDF en una carpeta local o dispositivo extraíble. Es más, un DSPM permite detectar si se imprime por wifi direct desde el portátil corporativo a la impresora personal en casa.
En definitiva, la implementación de una estrategia proactiva de protección de datos basada en DSPM no solo protege la información de la empresa, sino que también establece controles efectivos para reducir la fuga de datos y la vulnerabilidad ante los descuidos de los empleados o la rotación de personal.
Si quiere conocer más casos de uso de Arexdata DSPM o ampliar la información sobre seguridad para evitar la fuga de datos no dude en contactar con nuestros expertos.
