Cómo está cambiando la gestión de la seguridad de los datos en 2023

La evolución de la seguridad de los datos

Un gran amigo mío, que además fue director de seguridad de la información (CISO) en una empresa Fortune 50, me dijo una vez: «Soy responsable de dos cosas: garantizar la prestación de servicios a nuestros clientes y proteger los datos que consumen esos servicios». Estas dos responsabilidades implican mucho.

Garantizar la prestación de servicios a los clientes no es tarea fácil cuando hay que lidiar con infraestructuras híbridas, internet, distribución global, regulaciones regionales y atacantes cada vez más sofisticados. Mi amigo lo sabía, al igual que sabía que la capacidad de identificar sus objetivos principales es fundamental para que su organización logre alinear sus prioridades con éxito.

Tradicionalmente, los equipos de seguridad han intentado sortear el problema de los datos. La lógica subyacente era que, si un equipo de seguridad mantenía su infraestructura actualizada y monitorizaba su red en busca de amenazas, podía mantener la vigilancia y la seguridad. Este enfoque no requería comprender los datos que gestionaba la empresa, sino más bien los componentes de la infraestructura: hardware, redes, aplicaciones e identidades.

En la actualidad, las filtraciones de datos son algo cotidiano. Los reguladores responden con controles cada vez más estrictos y sanciones más severas, y los usuarios deben lidiar tanto con interrupciones del servicio como con violaciones de su privacidad. Esto demuestra una vez más que ignorar los datos ya no es una opción viable.

Por qué nuestro enfoque debe cambiar

Los datos están experimentando cambios trascendentales. No hace mucho, cuando Google comenzó a finales de los 90, la transferencia de datos se realizaba manualmente, utilizando disquetes con una capacidad de 1,44 MB. Hoy en día, terabytes de datos cruzan continentes con solo deslizar un dedo. El término "Big Data" solía referirse a un gigabyte, mientras que hoy en día las empresas generan y consumen petabytes diariamente.

Las arquitecturas de microservicios y el análisis de datos han transformado las empresas, pasando de depender de centros de datos propios que albergaban almacenes de datos a gestionar datos en cientos de tipos de almacenamiento de datos distribuidos en una miríada de nubes IaaS, PaaS y SaaS. La forma en que protegemos nuestros datos debe cambiar, porque la forma en que los utilizamos ha cambiado.

La fuerza laboral distribuida moderna depende de herramientas de colaboración para realizar su trabajo. Las empresas contratan empleados a quienes se les otorga acceso a información confidencial desde cualquier lugar donde se conecten a internet, utilizando múltiples dispositivos y siempre que tengan la oportunidad de trabajar. Esto hace que sea fundamental aplicar controles de seguridad teniendo en cuenta el contexto de los datos.

Por ejemplo, aplicar los controles adecuados a una hoja de cálculo con las fechas de cumpleaños de sus empleados es diferente a aplicarlos a otra con sus salarios. Configurar los derechos de acceso, permisos, cifrado, hash y demás parámetros requiere conocer el contexto de los datos de la hoja de cálculo, en lugar de aplicar un enfoque general. Ambas hojas de cálculo contienen datos de empleados. Sin embargo, compartir el archivo con las fechas de cumpleaños no supone ningún problema, mientras que compartir la información salarial de los empleados causaría graves problemas en toda la organización.

Cómo está cambiando la gestión de la seguridad de los datos en 2023

La visibilidad constante y un profundo conocimiento de los datos son requisitos fundamentales para el programa de seguridad de cualquier empresa con visión de futuro.

Los equipos de seguridad deben poder responder a estas preguntas:

• ¿Cómo podemos implementar un enfoque basado en el riesgo y determinar dónde debemos centrar nuestros recursos?
• ¿Cómo podemos priorizar las medidas correctivas para las vulnerabilidades que, de ser explotadas, podrían tener un impacto directo en nuestro negocio?

Para responder a ambas preguntas, primero hay que establecer un inventario claro de su recurso más valioso: los datos.

En efecto, la seguridad en la era de la nube requiere saber siempre:

• dónde existen sus datos, tanto el valor como el riesgo que representan.
• quién tiene acceso a ello
• cómo está expuesto a riesgos externos e internos

El entorno empresarial y la fuerza laboral actuales no se regirán por las restricciones de seguridad tradicionales; los controles de seguridad actuales deben ser lo más transparentes posible.

Los equipos de seguridad deben operar sabiendo que los datos han salido de la bóveda y están por todas partes. ¡Y eso es excelente! Utilizar los datos para colaborar y desarrollar nuevas oportunidades de negocio genera un enorme valor para las organizaciones. Pero para posibilitar esta creación de valor sin exponer a la empresa a riesgos que la amenacen, los programas de seguridad deben evolucionar para priorizar los datos.

La automatización, la velocidad y la escalabilidad son fundamentales para gestionar el ritmo de creación y consumo de datos. Además, es imprescindible contar con una capacidad eficaz de clasificación y contextualización para implementar los controles adecuados. El aprovechamiento de los principios de la nube y de los avances en el aprendizaje automático lo ha hecho posible, e incluso sencillo. Ahora, los equipos de seguridad deben adaptarse al presente y al futuro, situando los datos en el centro de sus programas de seguridad.