3 vectores de ataque que exponen datos en firmas de servicios financieros

Dinero y datos: los dos recursos que buscan los ciberdelincuentes y los dos recursos que las empresas de servicios financieros deben proteger. Quienes se encargan de la seguridad en bancos, compañías hipotecarias, fintech y otras firmas de servicios financieros son muy conscientes de este hecho. 

Pero, al igual que el ataque reportado recientemente a Flagstar Bank (que expuso datos pertenecientes a 1.5 millones de clientes), los ataques a empresas de servicios financieros siguen teniendo éxito. Los servicios financieros ahora representan el 18% de todos los ciberataques. Entonces, ¿qué les está faltando a los equipos de seguridad de servicios financieros?

Vectores de ataque que quitan el sueño a los equipos de seguridad de las firmas de servicios financieros

Incluso las firmas de servicios financieros mejor defendidas pueden pasar por alto amenazas que llegan a través de estos tres vectores de ataque:

Phishing

Ya sea que se le llame spear phishing, whaling o compromiso de correo electrónico empresarial, los ataques de phishing dirigidos logran evadir incluso el perímetro de seguridad y los filtros de correo más robustos. Ninguna organización es inmune a este vector de ataque, sin importar lo vanguardista que sea. La firma fintech Revolut sufrió una filtración de datos tras un ataque de ingeniería social “altamente dirigido”, que probablemente involucró phishing. El ataque expuso datos pertenecientes a más de 50,000 clientes. 

Vulnerabilidades en la nube

La industria de servicios financieros (FSI) ha corrido hacia la nube. Los esfuerzos para asegurar esta transición han avanzado a paso lento. Incluso entender dónde empieza y termina la responsabilidad de seguridad en entornos de nube pública e híbrida puede ser muy difícil. El resultado es que más almacenes de datos quedan expuestos en la web abierta y más datos se filtran en línea por exposición accidental. Este tipo de error, que a menudo surge de una configuración incorrecta, fue, según se informa, responsable del 15% de todas las brechas de datos en 2022.

Riesgos internos

Los riesgos internos provocan algunos de los peores resultados de ciberdelincuencia para las empresas y se encuentran entre los más difíciles de detener. La exposición de datos sensibles impulsada por insiders de confianza puede ser accidental o maliciosa. Aun así, todos los peores incidentes de riesgo interno comparten algo en común: un nivel innecesariamente alto de permisos otorgados a los empleados.

Desafíos de seguridad de datos que enfrenta toda empresa de servicios financieros

Más datos, más problemas. Volúmenes mayores de datos pueden impulsar un crecimiento increíble y, al mismo tiempo, agravar los riesgos. Al proteger los datos, todas las empresas de servicios financieros se enfrentan a uno o más de estos persistentes desafíos de seguridad de datos:

Inventario de datos sensibles

La entrada de datos está creciendo mucho más rápido que la capacidad de la mayoría de las empresas de servicios financieros para inventariarlos. La catalogación suele ser la culpable. Los profesionales de seguridad dependen con frecuencia de herramientas manuales y desconectadas diseñadas para usuarios de TI o de gobernanza de datos. Pocas de estas soluciones están diseñadas para la velocidad a la que se genera, mueve o cambia la nueva información, y a la mayoría les cuesta cumplir con los requisitos de gobernanza y reducción de riesgos del sector financiero. Los profesionales de seguridad en empresas de servicios financieros a menudo están limitados en lo que pueden proteger, según la cantidad limitada de almacenes de datos que conocen.

Etiquetado de datos uniforme

Las empresas de servicios financieros batallan para mantener un sistema coherente para etiquetar la sensibilidad o confidencialidad de los datos. Dentro de una misma organización, algunos equipos podrían usar un sistema de cuatro niveles (altamente restringido, restringido, interno y público), mientras que otros equipos podrían usar en su lugar un sistema de siete niveles. Otros equipos dentro de la misma organización incluso podrían tener definiciones distintas de lo que significa “restringido”. Este escenario, demasiado común, da como resultado una comprensión y una aplicación inconsistentes de las etiquetas de sensibilidad a los datos. El resultado final es una seguridad reducida.

Muchas empresas del sector financiero (FSI) dependen del etiquetado de sensibilidad como base para determinar dónde debe almacenarse la información, quién debe acceder a ella y cómo debe ofuscarse. Sin un etiquetado uniforme, los equipos de seguridad no pueden saber con confianza cuál es la mejor manera de proteger los datos.

Implementación de controles de seguridad para los datos 

Las empresas de servicios financieros deben implementar controles de seguridad como cifrado, registro de eventos y control de acceso para mantener los datos seguros. Para hacerlo, primero necesitan saber dónde están los datos y cómo tratarlos según su sensibilidad y clasificación. Lamentablemente, la mayoría de las empresas no aplica los controles porque sus datos no están clasificados al punto de poder determinar qué necesita estar seguro. Una encuesta del Banco de Inglaterra encontró que el 60% de las empresas de servicios financieros están en riesgo de una filtración de datos debido a una mala gestión de los datos. 

5 preguntas que las empresas de servicios financieros deben responder

Lo anterior pinta un panorama sombrío para la seguridad de datos de las empresas de servicios financieros. Afortunadamente, existe una solución accesible para estos problemas. 

Para mejorar la seguridad de los datos, conviene considerar cinco preguntas clave que una firma de servicios financieros debe responder. Estas preguntas son las mismas que se hacen los ciberdelincuentes cuando intentan acceder a tus datos:

• ¿Dónde está? Todo, no solo los almacenes de datos conocidos.
• ¿Qué es? ¿Qué tan sensible es?
• ¿Cómo se usa? Para procesos empresariales, mantenimiento de registros, analítica, etc. 
• ¿Cómo protegerlo? ¿Está cifrado? ¿Quién en su organización puede acceder a él?
• ¿Cómo defenderlo? ¿Se pueden detectar y resolver rápidamente los riesgos emergentes y activos? 

¿Pueden tus soluciones y procesos actuales responder a estas preguntas para todos tus datos existentes y entrantes? Si no, es momento de cambiar de marcha. La única manera de mantenerse al tanto del riesgo de datos es confiar en una solución integral de seguridad de datos para inventariar, clasificar, contextualizar y proteger tus datos. Tus datos son fluidos. La forma en que los proteges también debería serlo.

Cómo Cyera ayuda a las empresas de servicios financieros a proteger sus datos

Las empresas de servicios financieros deben adoptar un enfoque consciente de los datos para prevenir la pérdida de información a través de vectores de ataque populares.

La plataforma de seguridad de datos de Cyera ofrece un contexto profundo sobre tus datos, aplicando controles correctos y continuos para asegurar la ciberresiliencia y el cumplimiento.

Cyera adopta un enfoque centrado en los datos para la seguridad, evaluando la exposición de tus datos en reposo y en uso y aplicando múltiples capas de defensa. Como Cyera aplica un contexto de datos profundo de manera holística en todo tu entorno de datos, somos la única solución que puede capacitar a los equipos de seguridad para saber dónde están sus datos, qué los expone a riesgos y tomar medidas inmediatas para remediar las exposiciones y asegurar el cumplimiento sin interrumpir el negocio.

Para obtener más información sobre cómo Cyera puede ayudar a las empresas de servicios financieros a proteger sus datos, programa una demostración hoy mismo.