¿Qué es la Prevención de pérdida de datos o Data Loss Prevention (DLP)?

DLP son las siglas en inglés de Data Loss Prevention o Prevención de pérdida de datos. El DLP es un enfoque o conjunto de estrategias consistentes en herramientas o procesos que, cuando son utilizados por un administrador de red, pueden garantizar que los usuarios no autorizados no accedan a los datos sensibles, no los utilicen indebidamente o no los pierdan. Con DLP, los usuarios no envían información sensible o crítica fuera de la red de la organización. Los usuarios de la red tienen el potencial de compartir accidental o maliciosamente datos que podrían perjudicar a la organización a la que pertenece la red. Por ejemplo, reenviando correos electrónicos de trabajo fuera del dominio corporativo, o subiendo archivos sensibles a un servicio comercial de almacenamiento en la nube como Dropbox. El software de DLP categoriza y protege los datos sensibles, ya sean críticos para la empresa, confidenciales o regulados.

Razones para adoptar DLP

Las circunstancias nunca han estado más a favor de la adopción generalizada del software de DLP. El volumen de datos expuestos por las filtraciones de datos ha ido creciendo año tras año. Entre el 60% y el 70% de todas las filtraciones de datos ocurren por divulgación pública, lo que tiene un efecto significativo en la reputación de la empresa y, a menudo, en sus finanzas. El 84% de los responsables de TI cree que el DLP es más difícil con una fuerza laboral remota. Cada 11 segundos, otra empresa es víctima de un ciberataque. En Estados Unidos, el coste medio de una filtración de datos es de 9,44 millones de dólares. El DLP aborda tres puntos problemáticos comunes para la seguridad de TI de las organizaciones: protección de la información personal/cumplimiento normativo, protección de la propiedad intelectual y visibilidad de los datos.

• Cumplimiento y protección de la información personal: cualquier organización que recopile y almacene PII, PHI o PCI probablemente esté sujeta a normativas de cumplimiento como HIPAA o GDPR. Eso significa que necesitan proteger los datos confidenciales de sus clientes.
• Protección de PI (propiedad intelectual): si tu organización tiene PI valiosas, secretos comerciales o incluso secretos de estado, su pérdida o robo podría ponerla en peligro. Las soluciones de DLP que utilizan la clasificación basada en el contexto pueden clasificar la PI tanto en formas estructuradas como no estructuradas. Mediante políticas y controles, pueden detener la filtración de tus datos.
• Visibilidad de los datos: una solución de DLP empresarial completa puede ver y rastrear tus datos para puntos finales, redes y la nube. Podrás ver cómo los usuarios de tu organización interactúan con los datos.

El DLP también es beneficiosa para supervisar las amenazas internas, la seguridad de los datos de Office 365, el análisis del comportamiento de usuarios/entidades y las amenazas avanzadas.

Mejores prácticas de Prevención de pérdida de datos

Al comenzar una evaluación de cómo implementar mejor DLP para su organización, es importante recordar: no todos los datos son críticos. Diferentes organizaciones priorizarán diferentes datos. ¿Qué datos serían los más desastrosos si fueran robados? Concentra tu estrategia DLP inicial protegiendo esos.

Considera la posibilidad de clasificar tus datos por contexto. Asocia una clasificación con la aplicación de origen, el almacén de datos o el usuario creador. Las etiquetas de clasificación persistentes permiten a las organizaciones intercambiar el uso de los datos.

La formación y la orientación pueden reducir el riesgo de pérdida accidental de datos por parte de personas internas. Las soluciones avanzadas de DLP ofrecen avisos a los usuarios para alertar a los empleados de que el uso que hacen de los datos puede infringir la política de la empresa o aumentar el riesgo, además de controlar las actividades de riesgo.

El éxito de la utilización del DLP depende de la comprensión de cómo se utilizan los datos en la organización y de cómo identificar los comportamientos de riesgo. Las organizaciones necesitan monitorear los datos en movimiento como parte de una estrategia para observar lo que está sucediendo con tus datos más sensibles, y para entender los problemas que cualquier estrategia de DLP debe abordar.

Naturalmente, el nivel de riesgo variará en función del destino de los datos, como socios, clientes, la cadena de suministro, etc. A menudo el riesgo es mayor cuando se utilizan en puntos finales, como en un correo electrónico o en un dispositivo de almacenamiento extraíble. Un programa de DLP sólido tendrá en cuenta estos riesgos de los datos móviles.

¿Cuál es su principal objetivo de protección de datos? Quizá no sea un tipo de datos específico. Proteger la propiedad intelectual, cumplir la normativa, obtener visibilidad de los datos: todos son objetivos dignos de mención. Tener un objetivo establecido simplifica la determinación de cómo desplegar eficazmente tu solución de DLP.

Es importante no correr antes de poder caminar en el caso del DLP. Establece objetivos rápidos y medibles para tu enfoque inicial definido. Podrías adoptar un enfoque de proyecto, reduciendo el alcance inicial del programa para centrarte en un tipo específico de datos. Por ejemplo, prestar atención en descubrir y automatizar la clasificación de datos sensibles. Esta es una estrategia mejor que un despliegue inicial demasiado elaborado y ambicioso.

Al utilizar el programa de DLP, determina y supervisa los KPIs para disponer de métricas de su éxito y áreas de mejora. Comparte estas métricas con los líderes de tu organización para demostrar el valor añadido del DLP.

Cuando esté desplegando tu programa inicial de DLP, no cometas el error de implementarlo departamento por departamento. Las prácticas de DLP ad hoc aplicadas de forma incoherente serán ignoradas por las secciones de la organización con las que no guardan relación directa, lo que las convierte en gran medida en un desperdicio de recursos.

En relación con esto, lo mejor es obtener el apoyo de los ejecutivos de la, como el CFO y el CEO, para conseguir un presupuesto aprobado para un programa de DLP. Muestra cómo el DLP resuelve los puntos débiles de las distintas unidades de negocio, como el crecimiento rentable y el uso eficiente de los activos (ya que el DLP elimina la necesidad de personal adicional). De este modo, es más fácil defender y coordinar la adopción del programa en toda la organización. Cuando se colabora con los jefes de las unidades de negocio para definir las políticas de DLP que regirán los datos de la organización, todas las unidades de negocio conocerán las políticas, cómo las incorporaron y su impacto.