Wikileaks: cuando la gotera se convirtió en inundación

Miguel Delle Donne

El Cronista.com

El escándalo mundial producido por las revelaciones de los cables secretos de la diplomacia norteamericana por parte de Wikileaks ha instalado el tema de las vulnerabilidades en algunos sistemas informáticos destinados a guardar información reservada. La pérdida de datos o Data Leak (DL) o goteo de datos se ha transformado en uno de los riesgos informáticos más relevantes y genera gran inquietud entre los directivos de compañías y funcionarios gubernamentales. El caso Wikileaks es un ejemplo típico de Data Leak: alguien tenía un acceso autorizado a una aplicación, utilizó transacciones habituales, copió información que estaba autorizado a leer y, luego, la liberó para que fuera publicada en Internet.

DL es un riesgo que ha tomado mayor importancia desde la aparición de los dispositivos de computación móvil. Según estadísticas publicadas por KPMG en el informe Data Loss Barometer, de noviembre 2010, el hacking es la causa más importante de pérdida de datos, medida en términos de registros robados o personas afectadas, y el robo o pérdida de equipos es la segunda causa de incidentes más importante, en términos de cantidad de personas afectadas. El malicious insider (alguien interno a la compañía autorizado a acceder pero que se comporta deshonestamente) es una amenaza creciente y, medido en términos de cantidad de personas afectadas, ha alcanzado similares valores que los incidentes provocados por problemas en sitios web o redes. En la medición por sector, se observa que Healthcare encabeza el ranking por cantidad de incidentes, debido al crecimiento que tuvo durante el último año, desplazando al sector Gobierno. También se observa un crecimiento en los casos en Financial Services.

El Data Leak es un problema complejo para administrar porque intervienen factores distintos: la persona que lo realiza está autorizada a acceder al sistema; la copia o bajada de datos es un procedimiento habitual; las aplicaciones poseen transacciones para consultar grandes cantidades de datos. Es decir, DL es un riesgo formado por un conjunto de acciones habituales y autorizadas, y esto lo hace difícil de mitigar. Así, surgen preguntas: ¿se puede atenuar? Si le ocurrió al gobierno de los Estados Unidos, ¿qué puede hacer una empresa? Por ser una cuestión compleja, es necesario abordarla desde distintos ángulos.

Acceso a los datos

En general, durante años, se consideró como positivo que los sistemas aplicativos tengan opciones de consulta que permitan a los usuarios acceder a grandes cantidades de datos, permitiendo su copia a dispositivos locales para su tratamiento con software de oficina. También se entendió que las transacciones de consulta no eran riesgosas porque no se podían alterar los datos almacenados y por ende no era necesario gastar demasiados recursos en controlarlas.

Sin embargo, el acceso de sólo consulta permite, además de ver, copiar datos. Esta simple acción hace que los copiados no se encuentren más bajo el control del sistema de seguridad de la aplicación que los contiene. El riesgo se amplifica porque quien copia los datos también podría enviarlos por mail. En consecuencia, en las facilidades de consulta (aunque parezca extraño) radica una de las bases del problema. Para atacar este tema, es bueno evaluar las opciones de consulta disponibles, restringiendo el acceso a las que generan gran cantidad de información o incluso permiten leer (copiar) un archivo completo, reemplazándolas por opciones de consulta dirigidas que permitan obtener menor cantidad de datos.

Administración de accesos

El proceso de administración de los accesos otorgados tiene que ser estricto y seguir una política del menor acceso posible a los datos de acuerdo con las funciones que desempeña la persona. También deben considerarse aspectos de control de las actividades de los usuarios. Si bien hay software en el mercado que permite ayudar en esta tarea, existen controles más simples que pueden mitigar el problema, como revisar periódicamente los accesos otorgados, tanto de actualización como de consulta.

Computación móvil

Algunos piensan que, restringiendo el uso de la computación móvil se mitiga el riesgo, pero, al no ser posible delimitar esta tecnología, la alternativa es la capacitación acerca de los riesgos que implica copiar datos a otro dispositivo. Asimismo, el uso de la computación móvil ocasiona problemas por pérdidas o robos de equipos y dispositivos. Hay disponibles varios softwares de encriptación de datos que pueden ser utilizados tanto en discos rígidos o en dispositivos de almacenamiento externo que inhiben la posibilidad de uso de los datos que se quieren preservar.

Clasificación de la información

Resulta cada vez más imperioso contar con una detallada clasificación de los datos que se administran, es decir, tener en claro qué datos son confidenciales, cuáles son de dominio interno y aquellos que son públicos. Algunas de las preguntas que deberían hacerse durante la clasificación de datos son: ¿qué pasaría si el contenido de esta base de datos apareciera en Internet como le sucedió al Gobierno de Estados de los Estados Unidos?; ¿qué problemas traería la publicación o pérdida de esta información? En el ejemplo del Leakgate, en apariencia, la base de datos en cuestión estaba clasificada como no de alto riesgo y por ello tenían acceso gran cantidad de usuarios.

Data Leak es un tema importante para las empresas, porque es un riesgo que no puede mitigarse con una sola medida. Pero, trabajando adecuadamente en el acceso a los datos, la administración de usuarios, el uso de la computación móvil y en la clasificación de la información, puede ser disminuido significativamente.

El autor es director de Auditoría de KPMG en la Argentina.

Tendencias