Qué es la fuga de información

¿Qué es la fuga de información?
Abril 13, 2010 12:17 pm
Se denomina fuga de información al incidente que pone en poder de una persona ajena a la organización, información confidencial y que sólo debería estar disponible para integrantes de la misma (tanto todos como un grupo reducido).
Se trata de un incidente que puede ser tanto interno como externo, y a la vez intencional o no. Algunosejemplos de fuga de información pueden ser desde un empleado vendiendo información confidencial a la competencia (incidente interno e intencional), una secretaria que pierde un documento en un lugar público (incidente interno y no intencional) o en la misma línea la pérdida de una laptop o un pen drive, así como también el acceso externo a una base de datos en la organización o un equipo infectado conun Spyware que envíe información a un delincuente.
Todos estos incidentes tienen un punto en común como se indicó en la definición: información de la organización termina en manos de un tercero, que no debería tener acceso a la misma.
La información expuesta puede ser de cualquier índole: un listado de empleados con datos personales, listado de salarios, base de datos de clientes o una fórmula oalgoritmo secretos, por citar algunos ejemplos.
Es difícil medir el impacto de la fuga de información pero puede ser muy diverso, especialmente según la intencionalidad del incidente. En aquellos casos en que se trata de un accidente no intencional, el impacto en la empresa dependerá de qué ocurre con el nuevo poseedor de esa información. Si se supone que un gerente de la empresa pierde unacomputadora portátil, el impacto puede ser nulo si quién la encuentra ignora la información que allí se contiene y formatea el sistema; o puede ser alto si el nuevo poseedor identifica los datos y los utiliza para publicarlos, comercializarlos o cualquier otra acción dañina.
Por otro lado, en los incidentes intencionales (es decir, maliciosos) el impacto está más claro: esa información puede serutilizada para realizar un ataque a la organización, para venderse, para hacerse pública o para afectar la reputación o imagen de la organización. En cualquiera de los casos la fuga de información se caracteriza por ser un incidente que difícilmente pueda ser reparado o realizar algún procedimiento que permite “volver atrás” la situación.
Algunos estudios afirman la importancia de este tipo deincidentes en un esquema de seguridad. Según el 2009 CSI Computer Crime and Security Survey, un 15% de las empresas encuestadas sufrieron accesos no autorizados a la información por integrantes de la organización, y un 14% sufrieron acceso de personas ajenas a la empresa. Además, un 42% sufrieron el robo o pérdida de equipos portátiles. Sumados al 6% que sufrió acceso no autorizado a informaciónprotegida por propiedad intelectual por pérdida de equipos móviles y al 8% que sufrieron el acceso no autorizado de otro tipo a material protegido por la propiedad intelectual, son todos incidentes que aplican a la fuga de información.
Por otro lado, un estudio reciente de Intel, que ya comentamos en el blog, analiza el costo promedio para una empresa al perder una laptop. El mismo afirma que la mayorpérdida monetaria está asociada a la pérdida por violación de datos. Esto certifica que la fuga de información posee un impacto importante a considerar por cualquier organización.
En el próximo post, veremos algunas ideas más sobre fuga de información, a quién afecta y, más importante aún, cómo protegerse.

¿Qué es la fuga de información? (parte II)
Abril 22, 2010 1:13 pm
El otro día lescomentaba qué es la fuga de información. Una de los mitos alrededor de este incidente es que sólo afecta a las grandes empresas. Por el contrario, la fuga de información puede ocurrir en todo tipo de organizaciones.
Según el tamaño de la empresa, obviamente variará el impacto, así como también según la naturaleza del incidente y el valor de la información “fugada”.
Aunque muchos de estos incidentes...