¿Qué podemos hacer cuando hemos sufrido una fuga de información?

Las organizaciones debemos de incrementar las medidas de seguridad aplicadas a los datos, lo que puede requerir de algunos controles adicionales de seguridad como el cifrado, algún software de DLP (Data Loss Prevention), detección de intrusos, y algunos más para poder detectar rápidamente algún intento de violación de datos o fuga de información.

Pero, ¿Qué podemos hacer si a pesar de todos los controles se produce una fuga de información?

Algunos puntos importantes que recopilé de proveedores como Gemalto, INCIBE, algunos playbooks de Incident Response, AT&T Cybersecurity y otras fuentes que me han ayudado en estos casos son los siguientes (cabe mencionar que se encuentran ordenados conforme a lo que me ha funcionado al estar frente a estos problemas).

Detener la actividad.

Tan pronto como la empresa se de cuenta de que se ha producido un incidente de fuga de información, debe tomar medidas para detener cualquier acción adicional que pueda incrementar el daño producido.

Evaluación.

Realizar el análisis forense para detectar los siguientes puntos.

• ¿Cuál fue la línea de ataque?
• ¿Qué tan sensible es la información filtrada?
• ¿Qué tipo de información fue afectada?

Recuperar.

En caso de que los datos hayan sido eliminados o cifrados, es importante volver a restablecerlos conforme al plan de recuperación, con el uso de respaldos por ejemplo.

Informar.

La empresa debe de informar directamente a los afectados lo antes posible, debido a que puede tener efectos colaterales en las personas, incluyendo daños físicos y materiales. 

Si no se realiza a tiempo, el daño o afectación en la reputación de la empresa podría ser mucho peor. La mayoría de las personas comprenden hoy en día que ninguna organización esta 100% segura.

Realizar una auditoría.

Una vez que realizaste los pasos anteriores, debes generar una auditoría de seguridad, enfocándote en dos puntos:

• ¿Cómo es que pudieron conseguir el acceso a la información?
• Analizar las consecuencias de la infracción.

Documentarlo.

Las empresas deben de contar con un registro de todas las infracciones de seguridad que ocurran con el fin de llevar un histórico y poder obtener métricas para mejorar los procesos y si es necesario, implementar controles adicionales en donde se detectaron las fallas.

Aprende de lo sucedido.

Desafortunadamente, no es posible estar protegido al 100% de las amenazas que existen en el mundo, la fuga de información continua incrementando año con año y seguirá en ascenso. 

Informes recientes indican que 4 de cada 5 incidentes de este tipo, ocurren por algún error humano o de procesos. 

Algunas medidas de prevención deben orientarse a las personas, (campañas de concientización) pues el factor humano se encuentra dentro de las principales causas de este tipo de incidentes. 

Otros puntos a tomar en cuenta son los controles de acceso y segregación de permisos, así como el uso de antimalware, cifrado, VPNs, etc.

Cada organización es diferente y es necesario buscar un equilibrio entre complejidad, coste y riesgo, en relación con la implementación de medias de seguridad, el asesoramiento de un profesional en la fase del diseño es de vital importancia.

Si estas más interesado en el tema, te recomiendo leer los Play Books del Incident Response Consortium.