Uno de los peligros al que nos enfrentamos, en la gestión informática de un despacho de abogados, es el de las fugas de información. Empleados que extraen en una memoria los expedientes con datos sensibles para trabajar en casa o que alojan en la nube esa información, sin comunicarlo, pérdidas de memorias, de smartphones, portátiles robados, datos que se borran sin querer o que aparecen publicados en abierto a la vista de todo el que navegue por Internet, accesos no autorizados y robos de información. Estas son algunas de las posibles causas que producen fugas de información sensible que pueden acarrear sanciones, demandas y graves repercusiones en la reputación de nuestro despacho, que deriven en la desconfianza de nuestros clientes. ¿Cómo podemos prevenirlas? ¿Qué soluciones tecnológicas existen para reducir el riesgo de que se produzcan?

1. Joan Figueras Tugas
Responsable de Informática y Sistemas
Brosa Abogados y Economistas
Perito Judicial Tecnológico (ACPJT)
CISA®, Certified Information Systems Auditor (ISACA)
Privacy & Security Consultant
@JoanFiguerasT
Prevención de Fugas de Información
en Despachos de Abogados
Barcelona, 15 de octubre de 2015

2. 9ªPíldoraTecnológica:«Prevencióndefugasdeinformaciónendespachosdeabogados»
ISACA&ICAB(SecciódeDretdelesTecnologiesdelaInformacióilaComunicació)
AGENDA
• Fugas de Información en despachos de abogados
• Principios de Seguridad
• Origen y consecuencias de una fuga de datos
• Prevención de Fugas (DLP)
• Medidas de Prevención
– Medidas Organizativas
– Medidas Técnicas
• Conclusiones
Prevención de Fugas de Información
en Despachos de Abogados

3. 9ªPíldoraTecnológica:«Prevencióndefugasdeinformaciónendespachosdeabogados»
ISACA&ICAB(SecciódeDretdelesTecnologiesdelaInformacióilaComunicació)
FUGAS DE DATOS EN DESPACHOS DE ABOGADOS
http://www.bloomberg.com/news/articles/2015-03-11/most-big-firms-have-had-some-form-of-hacking-business-of-law

4. 9ªPíldoraTecnológica:«Prevencióndefugasdeinformaciónendespachosdeabogados»
ISACA&ICAB(SecciódeDretdelesTecnologiesdelaInformacióilaComunicació)
La Información: uno de los activos más
importantes de las empresas
Datos que almacena un despacho de abogados:
• Información personal de los clientes
• Propiedad intelectual, Patentes
• Detalles sobre operaciones empresariales, Planes de futuro
• Contratos, Informes, Acuerdos comerciales
• Pruebas judiciales, grabaciones, imágenes, declaraciones de
testimonios
• Etc.
FUGAS DE DATOS EN DESPACHOS DE ABOGADOS

5. 9ªPíldoraTecnológica:«Prevencióndefugasdeinformaciónendespachosdeabogados»
ISACA&ICAB(SecciódeDretdelesTecnologiesdelaInformacióilaComunicació)
PRINCIPIOS DE SEGURIDAD
DisponibilidadIntegridad
Confidencialidad
Fuga de información ≈ Vulneración del Principio de Confidencialidad

6. 9ªPíldoraTecnológica:«Prevencióndefugasdeinformaciónendespachosdeabogados»
ISACA&ICAB(SecciódeDretdelesTecnologiesdelaInformacióilaComunicació)
CONSECUENCIAS
Consecuencias negativas de una fuga
de información:
• Daños a la reputación y a la imagen del despacho
• Pérdida de confianza de los clientes
• Hacer frente a las reclamaciones del cliente o clientes afectados
• Posibles sanciones
• Desconfianza de socios, colaboradores, organizaciones

7. 9ªPíldoraTecnológica:«Prevencióndefugasdeinformaciónendespachosdeabogados»
ISACA&ICAB(SecciódeDretdelesTecnologiesdelaInformacióilaComunicació)
ORIGEN DE LAS FUGAS

8. 9ªPíldoraTecnológica:«Prevencióndefugasdeinformaciónendespachosdeabogados»
ISACA&ICAB(SecciódeDretdelesTecnologiesdelaInformacióilaComunicació)
ORIGEN DE LAS FUGAS
http://datalossdb.org
Elaboración propia según datos de DataLossDB.org (09/10/2015)

9. 9ªPíldoraTecnológica:«Prevencióndefugasdeinformaciónendespachosdeabogados»
ISACA&ICAB(SecciódeDretdelesTecnologiesdelaInformacióilaComunicació)
ORIGEN DE LAS FUGAS
Trend Micro “Dissecting Data Breaches and Debunking Myths” (Oct - 2015)
«The top way by which sensitive data was compromised was
through loss or theft. This includes the loss or theft of portable
devices (USB keys, backups drives, laptops, etc.), physical
records (files, receipts, bills, etc.) and stationery devices (office
computers, specialized equipment, etc.)»

10. 9ªPíldoraTecnológica:«Prevencióndefugasdeinformaciónendespachosdeabogados»
ISACA&ICAB(SecciódeDretdelesTecnologiesdelaInformacióilaComunicació)
PREVENCIÓN DE FUGAS DE INFORMACIÓN
DLP ≈ Data Loss Prevention
«Procedimientos para detectar y prevenir la
salida no autorizada de información fuera de los
límites (físicos y lógicos) de una organización»

11. 9ªPíldoraTecnológica:«Prevencióndefugasdeinformaciónendespachosdeabogados»
ISACA&ICAB(SecciódeDretdelesTecnologiesdelaInformacióilaComunicació)
DLP: TAREAS PREVIAS
[1] Identificación i clasificación de la Información
• Información sensible que requiere un alto nivel de protección, solo
un número reducido de personas tienen acceso.
Confidencial
• Información corporativa o de trabajo que no puede hacerse pública
pero que puede circular con fluidez dentro del ámbito de control de
la compañía.
Interna
• Información que no necesita medidas especiales de protección.
Pública

12. 9ªPíldoraTecnológica:«Prevencióndefugasdeinformaciónendespachosdeabogados»
ISACA&ICAB(SecciódeDretdelesTecnologiesdelaInformacióilaComunicació)
DLP: TAREAS PREVIAS
[1] Identificación i clasificación de la Información
[2] Identificación de usuarios y niveles de acceso
• Usuarios sometidos a las normas, políticas y
procedimientos de la compañía.
Internos
• Usuarios no sometidos a la normativa interna
(colaboradores externos, servicios subcontratados, ...)
Externos

13. 9ªPíldoraTecnológica:«Prevencióndefugasdeinformaciónendespachosdeabogados»
ISACA&ICAB(SecciódeDretdelesTecnologiesdelaInformacióilaComunicació)
[3] Inventario de equipos de tratamiento de datos
• Bajo el control de la empresa.
Propios
• No podemos imponer las medidas de protección a
implementar.
De terceros
DLP: TAREAS PREVIAS
[1] Identificación i clasificación de la Información
[2] Identificación de usuarios y niveles de acceso

14. 9ªPíldoraTecnológica:«Prevencióndefugasdeinformaciónendespachosdeabogados»
ISACA&ICAB(SecciódeDretdelesTecnologiesdelaInformacióilaComunicació)
Obtención Tratamiento Divulgación Almacenamiento
DLP: TAREAS PREVIAS
A lo largo de todo el ciclo de vida de la información:
[3] Inventario de equipos de tratamiento de datos
[1] Identificación i clasificación de la Información
[2] Identificación de usuarios y niveles de acceso

15. 9ªPíldoraTecnológica:«Prevencióndefugasdeinformaciónendespachosdeabogados»
ISACA&ICAB(SecciódeDretdelesTecnologiesdelaInformacióilaComunicació)
MEDIDAS DE PREVENCIÓN: M. ORGANIZATIVAS
 Política de Seguridad de la Información
 Uso de recursos empresariales
 Uso del correo electrónico
 Normativa BYOD
 Procedimientos de Copia de Seguridad
 Formación y concienciación de trabajadores

16. 9ªPíldoraTecnológica:«Prevencióndefugasdeinformaciónendespachosdeabogados»
ISACA&ICAB(SecciódeDretdelesTecnologiesdelaInformacióilaComunicació)
MEDIDAS DE PREVENCIÓN: M. TÉCNICAS
 Identificación de usuarios y control de accesos
 Restricción de permisos de usuarios en equipos
 Control de dispositivos extraíbles
 Instalar software original
 Actualizaciones de software
 Aplicaciones antivirus / antimalware
[a] En el puesto de trabajo

17. 9ªPíldoraTecnológica:«Prevencióndefugasdeinformaciónendespachosdeabogados»
ISACA&ICAB(SecciódeDretdelesTecnologiesdelaInformacióilaComunicació)
 Herramientas MDM (Mobile Device Management)
 Geolocalización del dispositivo
 Bloqueo o borrado remoto
 Cifrado de información sensible o confidencial
 Conexiones VPN desde redes externas
 Aplicaciones antivirus / antimalware
[b] En dispositivos móviles
MEDIDAS DE PREVENCIÓN: M. TÉCNICAS

18. 9ªPíldoraTecnológica:«Prevencióndefugasdeinformaciónendespachosdeabogados»
ISACA&ICAB(SecciódeDretdelesTecnologiesdelaInformacióilaComunicació)
 Identificación de usuarios y control de accessos
 Control de tráfico de red
 IDS / IPS
 Firewall
 Proxy
 Análisis de comportamiento
 Separación red interna de red pública
[c] En la red corporativa
MEDIDAS DE PREVENCIÓN: M. TÉCNICAS

19. 9ªPíldoraTecnológica:«Prevencióndefugasdeinformaciónendespachosdeabogados»
ISACA&ICAB(SecciódeDretdelesTecnologiesdelaInformacióilaComunicació)
RESUMEN DE PROTECCIONES
Fugas Externas Fugas Internas
Ataques
Dirigidos
Ataques no
Dirigidos
Intencionadas Accidentales
ID de usuarios   
Restricción de permisos    
Control de dispositivos  
Antivirus / Antimalware   
MDM   
Cifrado   
VPN  
Firewall / IDS / IPS    
Proxy  
Actualitzaciones softw.   

20. 9ªPíldoraTecnológica:«Prevencióndefugasdeinformaciónendespachosdeabogados»
ISACA&ICAB(SecciódeDretdelesTecnologiesdelaInformacióilaComunicació)
CONCLUSIONES
 Antes de implantar las medidas hay que realizar un análisis
de la información a proteger.
 Una fuga de información se puede producir en cualquier
nivel de la organización.
 No haber detectado una fuga no es garantía de que no se
haya producido.
 Las políticas de seguridad tienen que venir marcadas por
Dirección.
 Las políticas y normativas internas deben estar actualizadas
y se deben ir recordando.

21. 9ªPíldoraTecnológica:«Prevencióndefugasdeinformaciónendespachosdeabogados»
ISACA&ICAB(SecciódeDretdelesTecnologiesdelaInformacióilaComunicació)
PARA SABER MÁS
https://www.incibe.es/empresas/guias/Guia_fuga_informacion
http://www.trendmicro.com/cloud-content/us/pdfs/security-intelligence/white-papers/wp-follow-the-data.pdf

22. 9ªPíldoraTecnológica:«Prevencióndefugasdeinformaciónendespachosdeabogados»
ISACA&ICAB(SecciódeDretdelesTecnologiesdelaInformacióilaComunicació)
MUCHAS GRACIAS!
Joan Figueras Tugas
Responsable Informática y Sistemas
Brosa Abogados y Economistas
joan.figueras@brosa.es
Perito Judicial Tecnológico (ACPJT)
CISA®, Certified Information Systems Auditor (ISACA)
Privacy & Security Consultant
@JoanFiguerasT
Barcelona, 15 de octubre de 2015