Considerar la seguridad desde el diseño mismo de los centros de datos, incluyendo servidores, almacenamiento, contenido y redes, es una de las recomendaciones que entregan los especialistas de McAfee en Data Loss by the Numbers, un estudio sobre la pérdida de datos en empresas que analizó las principales fuentes que generan fuga de información y que advierte que con el actual cambio generacional a los servicios de nube el problema se acrecentaría.
McAfee publicó recientemente un análisis sobre la problemática de la pérdida de datos de empresas causada por la violación de sistemas de seguridad informáticos. De acuerdo al estudio, Data Loss by the Numbers, la persistencia del problema del robo de datos está garantizada por el hecho de que la información es valiosa para propósitos legítimos, en este caso la actividad empresarial.
Si bien el estudio se centra en la realidad estadounidense, sus conclusiones también son aplicables a nuestra realidad. Entre los severos perjuicios económicos que significan para las empresas la pérdida o destrucción de datos destacan:
1.- Daño a la marca y pérdida de confianza de los accionistas. 2.- Costos legales, demandas colectivas y costos de relaciones públicas. 3.- Costos por multas y por notificación a los afectados. 4.- Costos por monitoreo de créditos y por bienes y servicios para retener a clientes. 5.- Suspensión de servicio, investigaciones de seguridad y pérdida de clientes e ingresos.
De acuerdo al estudio, la mayor parte de la pérdida de datos se registra precisamente donde éstos son almacenados: en los data centers. Esto se debe a la falta de controles de seguridad en servidores, almacenamiento, contenido y redes. El problema empeora con el actual cambio generacional a los servicios de nube. Debido a la complejidad de estos data centers de nueva generación y a la enorme cantidad de información que administran, la seguridad debe ser considerada desde el diseño mismo del centro. De otro modo continuará creciendo la pérdida de datos.
Ataques externos siguen liderando las amenazas
McAfee investigó 386 incidentes estadounidenses de pérdida de datos registrados durante el período de enero de 2009 a abril de 2011 que afectaron a 23 millones de registros. Los incidentes fueron divididos en tres categorías: ataques externos, violaciones de seguridad internas, tanto accidentales como de intencionalidad maliciosa, y eventos de naturaleza desconocida.
Los ataques externos correspondieron al 52% de los incidentes y afectaron al 60% de los registros comprometidos. En cuanto a los ataques internos maliciosos: el robo intencional de datos por parte de personal de la propia empresa, correspondió al 16% de los incidentes, con el 20% de los registros comprometidos. Si bien un 44% de los incidentes se debió a fuentes internas, la gran mayoría se debió a casos accidentales. Sin embargo, en el caso de los ataques maliciosos de origen interno, el número promedio de registros afectado por incidente fue mucho mayor, debido a la mayor facilidad en la preparación de estos ataques.
En cuanto a los tipos de datos perdidos, las tres clases más afectadas fueron: nombres y/o direcciones, números de seguridad social y sus equivalentes, y números de tarjetas de crédito. Por su parte, los sectores de actividad más impactados, siempre en Estados Unidos, fueron el comercio minorista, las universidades y el sector de la atención de salud.
Los autores del estudio concluyeron que el epicentro del problema de pérdida de información seguirá siendo el data center, y que la única forma de mitigar riesgos, sean internos o externos, maliciosos o simplemente accidentales, es el diseño de amplios controles de seguridad en los sectores de servidores, almacenamiento, contenido y redes.
