En el mundo moderno de las Organizaciones Empresariales se generan al menos 1000 archivos y carpetas al día por sus empleados, de las cuales gran cantidad es información crítica, sensible o confidencial, por lo que es crucial poder identificarla para poder proteger la misma, no solo para evitar robos y fraudes sino también para poder cumplir con legislaciones en materias de Privacidad de la Información Personal, como la ley 1581 de 2012 que rige la materia en Colombia, o la ley 29733 que lo hace en Perú, o la GDPR de Europa, GLBA y PCI DSS de Estados Unidos, y así en distintos países de América Latina y el mundo.
Entonces, la seguridad de la información es el conjunto de medidas preventivas y correctivas que permiten resguardar y proteger la información buscando mantener la confidencialidad, la disponibilidad e integridad de datos y de la misma. Las mejores prácticas definidas en las ISO 27001 para la seguridad de la información buscan que toda la información sea clasificada, centralizada, protegida y monitoreada, para esto es necesario otorgar una capa de seguridad de los entornos de gestión documental con las siguientes medidas de control:
-
Identificación de los cambios y revisiones de los documentos.
-
Acceso legible a las últimas versiones de los documentos.
-
Identificación correcta de los documentos internos y externos.
-
Disponibilidad de los documentos para aquellos que los precisen en su ejercicio laboral.
-
Control de la distribución de los documentos.
-
Prevenir el uso indebido de documentos obsoletos en procesos de negocio actuales y asegurar la disponibilidad de su consulta, en cualquier caso.
Por lo anterior, para poder implementar políticas correctas de protección y gestión de la información es de suma importancia poder identificar que tipo de información contiene cada archivo, y así poder clasificar como se mencionó antes en critica, sensible o confidencial, tendiendo en cuenta las siguientes premisas:
-
Crítica: Es indispensable para la operación de la empresa.
-
Sensible: Es un activo de la empresa y muy valioso.
-
Confidencial: Debe de ser conocida por las personas autorizadas
Con esta clasificación toda organización puede comenzar a adoptar políticas correctas en materias de protección de la información, teniendo en cuenta dos palabras muy importantes que son riesgo y seguridad:
-
Riesgo: Es la materialización de vulnerabilidades identificadas, asociadas con su probabilidad de ocurrencia, amenazas expuestas, así como el impacto negativo que ocasione a las operaciones de negocio.
-
Seguridad: Es una forma de protección contra los riesgos.
Las estrategias adoptadas por una organización deben tener como punto primordial el establecimiento de políticas, controles de seguridad, tecnologías y procedimientos para detectar amenazas que puedan explotar vulnerabilidades y que pongan en riesgo dicho activo, es decir, que ayuden a proteger y salvaguardar tanto información como los sistemas que la almacenan y administran.
No importa de que tamaño sea su organización ni de cuantos empleados generen información a diario, todos tenemos que cuidar uno de los activos más importante que se tiene dentro de una estructura organizacional la cual es la información, esto aplica para cualquier sector de la economía de un País como Salud, Gobierno, Educación, Banca y Finanzas, Militar y Policial, entre otros.
Como ejemplo tenemos el caso ocurrido en una prestigiosa clínica de Estados Unidos, donde un grupo de hackers lograron ingresar a la red interna y realizaron un ataque encriptando todas las historias clínicas de los pacientes, luego de esto los atacantes cobraron una suma de dinero considerable para poder liberar la información sensible que fue secuestrada, este tipo de ataques se conoce como cryptolocker. Ahora imagínese que a una empresa constructora le pase esto con los planos de sus obras en ejecución, o a una universidad le suceda con todos los archivos académicos de los alumnos y pare de contar ejemplos.
Es por lo anterior que la información es tan valiosa que el precio por recuperarla en muchos casos puede ser muchísimo mas alto que protegerla. Ahora, existen herramientas que pueden ayudarlo a evitar sucesos como los descritos, estas herramientas deben estar enfocadas en:
-
Asegurar el acceso a la red de manera física y lógica, para esto se implementan Firewalls, Proxys, DNS y otros dispositivos que restringen la conexión hacia la internet de la red corporativa, permitiendo acceder de manera segura y bloqueando accesos no permitidos desde el exterior de la red.
Asegurar la protección de la información interna contenida en servidores o computadores del personal, esto utilizando tecnologías tipo softwares que nos ayudan a clasificar y proteger los datos, algunos de los mas utilizados son los DLP (Data Loss Prevention) y los CASB (Cloud Access Secutity Locker), ambas son soluciones que evitan que la información sea copiada, movida o borrada sin consentimiento de los administradores de la red.
Para finalizar, podemos asegurar que la seguridad no es ningún hito, es más bien un proceso continuo que hay que gestionar conociendo siempre las vulnerabilidades y las amenazas que existen, teniendo siempre en cuenta las causas de riesgo y la probabilidad de que ocurran, así como el impacto que puede tener. Una vez conocidos todos estos puntos, y nunca antes, deberán tomarse las medidas de seguridad oportunas e irlas adaptando con el pasar del tiempo.
