Este documento habla sobre la prevención de fugas de datos (DLP) y las opciones para proteger archivos confidenciales. Explica que es mejor prevenir que curar cuando se trata de fugas de datos. También discute la necesidad de clasificar los activos de información según su criticidad y requerimientos legales. Luego describe dos formas básicas de protección: control de acceso y protección del archivo mismo a través de sistemas de control de derechos como Active Directory Rights Management Service, el cual permite cifrar archivos y verificar los permisos de ac

1. DATA LOSS PREVENTION (DLP). PREVENCIÓN DE FUGA DE DATOS<br /> Últimamente nos estamos encontrando en muchos casos donde ha habido o temen una fuga de datos confidenciales en la empresa y nos preguntan cómo controlarlo, evitarlo o conseguir una compensación en caso de haberse dado el caso.<br />El mercado lo llama Data Loss Prevention o DLP y como indica el nombre, lo más efectivo es prevenir que curar. Una vez los datos se han “perdido”, es muy difícil recuperarlos o demostrar que han llegado donde creemos que han llegado (competencia, “enemigos”, etc…).<br />Ya que la tecnología no lo cubre todo y siempre nos será imposible impedir que alguien con derechos a la lectura o conocimiento de esos datos los transcriba en papel, los memorice o los fotografíe, es debida una cierta confianza en las personas que traten con esos documentos o informaciones.<br />Por otro lado, ya que no es económicamente justificable proteger todos los activos al mismo nivel, necesitamos categorizar los diferentes activos de información según el nivel de criticidad para la compañía o por requerimientos legales o de regulación (LOPD, SOX, etc…).<br />Dejando las diferentes estrategias de clasificación para otros artículos, vamos a detallar qué opciones tenemos para proteger nuestros documentos, libros Excel, presentaciones, en el fondo, ficheros que contienen información que merece ser protegida.<br />Hay dos formas básicas de protección, la que impide que alguien no autorizado acceda al documento, pero una vez dispone de acceso puede realizar las copias que crea oportunas en soportes que no controlen quién lo accede (por ejemplo, el CFO envía por (error) los datos económicos a la competencia, alguien autorizado “quita” la protección), y la otra estrategia se basa en proteger el propio documento/archivo, de forma que cada vez que se abre el archivo se comprueba si el usuario está autorizado, de forma que la única fuga posible sería la tradicional basada en documentos en papel, fotografía, transcripción o memoria.<br />Las formas de control de acceso al fichero, son las que están más maduras en el mercado, sistemas de cifrado de disco, permisos en las carpetas compartidas, que ya detallaremos en otro Post…<br />Las de protección del fichero beben de los sistemas de control de derechos multimedia (DRM) tan en boga en los Blu-Rays, DVDs, o distribución vía Internet. Cuando compras una serie de TV en iTunes (o cualquier otro) lo que estás es “adquiriendo” una licencia de reproducción del fichero de video para X equipos, cada vez que reproduzcas el fichero descargado en tu iPhone, PC, Apple Tv, iPad, etc… lo que hace el reproductor es comprobar si tiene derechos para reproducirlo, si los tiene, lo descifra y lo muestra y si no, contacta con el servidor de derechos de Apple, y solicita una licencia temporal o permanente para la reproducción del fichero en <br />ese dispositivo. En el momento que ya se han emitido más de X licencias para ese fichero vinculadas a la transacción de compra, la licencia se deniega con lo que aunque se disponga del fichero de video, al estar este cifrado, no es reproducible por ningún medio (la mayoría de ataques contra estos cifrados, consiste en conseguir una licencia por métodos válidos y luego “copia” el video a un fichero sin cifrar). <br />Aunque hay muchos fabricantes que ofrecen herramientas similares, para entornos puros Microsoft, la opción que vemos más fácil de implementar se basa en el paquete de Active Directory Rights Management Service (AD RMS), que va incluido con Windows Server 2008 y posteriores (aunque tiene coste de licencia aparte, un PVP de 37$/usuario) y Office 2007 Profesional o posteriores.<br />Una vez instalado el rol de AD RMS en los servidores que se considere oportuno (temas de disponibilidad, gestión, rendimientos, etc…), es recomendable definir una serie de plantillas de licencias/derechos (por ejemplo, modificación a Recursos humanos, sólo lectura a gente de la compañía, nada al resto del mundo y que la autorización caduca en 15 días).<br />Luego formamos a un grupo de gente, normalmente los publicadores de documentos a proteger, en cómo lo deben hacer, qué políticas se aplican en cada caso, etc… y ya que en modo lectura la operación es completamente transparente, se notifica a los lectores que los documentos a proteger lo están mediante cifrado fuerte y que si no están en algún equipo corporativo no podrán abrir esos documentos.<br />Luego, cada vez que un usuario acceda a un documento protegido (Word, Excel, Powerpoint, mensaje en Outlook, etc…) la aplicación solicitará al servidor RMS una licencia y con esa información descifrará el contenido para mostrarlo al usuario habilitando las funciones definidas en la política (leer y no imprimir, copiar, deshabilitar el copiar/pegar, etc…).<br />Gracias a herramientas como esta podemos garantizar que el correo interno siga siendo interno (si alguien se equivoca de Pepe, este no podrá leerlo) o que en el momento de perder la confianza en alguien, podamos impedir que acceda a los ficheros que pueda haber copiado en un USB, reenviado, etc…<br />Resumiendo, para tener una política efectiva contra la fuga de datos, recomendamos:<br />Que toda la compañía tenga claros cuáles son datos a proteger y con qué medidas y cuáles son públicos. (Inventario de activos, etc…)<br />Aplicar una política de acceso a los datos adecuada<br />Implantar sistemas de cifrado en los soportes que salgan fuera de la compañía y puedan albergar datos a proteger (el típico robo de portátil con datos confidenciales)<br />Implementar un sistema de control de derechos para asegurar que aunque algún fichero se escape, sea muy difícil obtener el contenido<br />