La seguridad de los datos es y siempre será una de las principales prioridades para cualquier organización. No solo es un activo valioso, sino que también es de alto riesgo y, a menudo, el objetivo principal de los actores maliciosos. El riesgo de exposición ha crecido significativamente a medida que los datos se trasladan a aplicaciones en la nube. Considera esto: según el Informe sobre el Estado de la Seguridad SaaS 2024 de AppOmni, el 30% de las 644 organizaciones encuestadas sufrieron una violación de datos en sus aplicaciones SaaS el año pasado.

Con ese fin, hemos compilado una lista de 13 criterios de evaluación que pueden ayudarte a evaluar rápidamente la postura de seguridad de los datos de tu organización. Esta lista de verificación está alineada con la estrategia de Zero Trust del Departamento de Defensa (DoD), los controles del CIS y nuestro enfoque centrado en la seguridad.

Identificar:

1. Proceso de Gestión de Datos: ¿Tienes una política documentada que aborde: sensibilidad de los datos, propiedad, controles de acceso, retención, requisitos de cifrado y los estándares de seguridad de datos de la organización?

   Consejo: un proceso de gestión de datos exitoso debe desarrollarse con la participación de las partes interesadas del negocio, para responder preguntas como: ¿Quién necesita acceso a los datos sensibles? ¿Qué tipo de datos se consideran sensibles? ¿Cómo se almacenan y transfieren los datos sensibles? ¿Cuándo y cómo deben eliminarse o archivarse los datos sensibles?

2. Inventario de Datos: un inventario de datos debe cubrir al menos los datos sensibles junto con los permisos de acceso.

3. Descubrimiento y Clasificación de Datos: esquema de clasificación de datos combinado con herramientas para automatizar el proceso de descubrimiento. Idealmente, conectado a todos los almacenes de datos de la organización, incluidas las aplicaciones en la nube y actualizando el inventario de datos.

4. Etiquetado de Datos: estructura y herramientas de etiquetado. El etiquetado suele ser una combinación de políticas basadas en el usuario y basadas en políticas.

   Consejo: considera la posibilidad de documentos mal etiquetados y asegúrate de tener controles para identificar y corregirlos automáticamente, aplicando las etiquetas apropiadas según tus políticas.

Proteger: 5. Controles de Acceso a los Datos: ¿Qué controles de acceso existen? El objetivo es hacer cumplir los controles de acceso basados en roles (RBAC) en los datos de la organización, sin importar dónde se encuentren. Estos controles deben aplicarse de manera coherente tanto a identidades humanas como no humanas.

Consejo: considera los controles actuales y cómo se aplican a los datos alojados en la nube y en aplicaciones en la nube, y los procesos de revisión de derechos de acceso.

6. Aplicación de la Retención de Datos: ¿qué herramientas se utilizan para detectar datos obsoletos y qué acciones aplican a los datos identificados?

7. Cifrado de Datos: evalúa los métodos y protocolos de cifrado aplicados para los datos en reposo, en tránsito y en medios removibles.

8. Prevención de Pérdida de Datos (DLP): ¿qué controles DLP existen en la organización? Considera los controles aplicados a todos los canales de salida posibles (Web, Correo Electrónico, Red, Dispositivos Finales, Aplicaciones en la Nube y API), cómo están configurados, monitoreados y optimizados.

9. Controles en los dispositivos de los usuarios finales: esto incluye el cifrado a nivel de disco y los controles DLP en el punto final.

10. Segmentación: ¿cómo se segregan los datos sensibles? Almacenar y procesar datos sensibles en los mismos activos que los datos no sensibles puede aumentar el riesgo de violaciones o abusos de datos.

Detectar: 11. Registro de Actividades en Datos Sensibles: evalúa las capacidades de registro existentes para el acceso a los datos, modificaciones y comparticiones. Esto es valioso para auditorías e investigaciones.

12. Detección de Anomalías: ¿Qué herramientas se utilizan para monitorear las actividades de acceso a los datos? Evalúa su capacidad para detectar comportamientos sospechosos, enviar alertas e integrarse con las operaciones de seguridad.

Responder: 13. Capacidades de Respuesta a Amenazas a los Datos: es importante incluir detecciones y alertas centradas en los datos en la solución de detección y respuesta ante amenazas de la organización.

Consejo: Pregúntate: ¿Tienes visibilidad completa de la actividad de tus datos? Si alguien abusara de su acceso, ¿qué tan rápido lo sabrías y responderías?

 ¿Cómo se compara la seguridad de datos de tu organización? Contáctanos para una evaluación de riesgos gratuita. Te ayudaremos a descubrir riesgos críticos, proporcionar orientación para la resolución y ofrecer asesoramiento experto para enfrentar los desafíos de seguridad de datos, donde sea que se encuentren tus datos.