Cómo gestionar una fuga de información. Una guía de aproximación para el empresario

Transcripción

1 Cómo gestioar ua fuga de iformació Ua guía de aproximació para el empresario

2 ... Ídice INCIBE_PTE_AproxEmpresario_003_FugaIformacio-2016-v1 1 Itroducció Cómo podemos mitigar la fuga de iformació? Qué debemos hacer si se produce ua fuga de iformació e uestra empresa? 4 2 Fuga de iformació Orige y motivos Cuáles so las causas? Cómo preveirlas? 6 3 Las cosecuecias Estimació del impacto 9 4 Gestió de la fuga de iformació Fase iicial Fase de lazamieto Fase de auditoría Fase de evaluació Fase mitigació Fase seguimieto 17 5 Preveció 18 6 Referecias 19 Ídice de figuras y tablas Ilustració 1 Cosecuecias de la fuga de iformació 9 Tabla 1 Resume de accioes 12 Tabla 2 Medidas prevetivas 18 2 Cómo gestioar ua fuga de iformació: Ua guía de aproximació para el empresario

3 1 Itroducció La globalizació, el aumeto de capacidad y velocidad de las trasaccioes y la movilidad, provocados por la rápida evolució de la tecología ha dejado obsoleta la forma de eteder los egocios. Detro de la empresa existe biees itagibles como la cartera de clietes, las tarifas, el coocimieto comercial, la propiedad itelectual o la reputació. Elemetos que forma parte de la iformació de uestra empresa y que costituye uo de los activos más importates de la orgaizació. E este etoro, la seguridad cobra u setido especial. Todas las propiedades del mercado digital (velocidad, capacidad, movilidad,...) so aprovechadas y explotadas por aquellos que «o juega limpio». La iformació se ha covertido e uo de los activos más importates que posee ua orgaizació. Esta iformació es utilizada como arma de desprestigio, herramieta de presió o elemeto de valor que se comercializa y vede a escala global e todo tipo de ámbitos y sectores. Todo ello está covirtiedo a la fuga de iformació e ua de las mayores ameazas e istrumeto de fuerza y presió. Por este motivo, la ciberseguridad es u elemeto clave para el desarrollo ecoómico. La protecció frete a las ciberameazas (itroducció de código dañio e sistemas, ataques a págias web para robar iformació, fraude y robo de idetidad o-lie, destrucció de iformació,...) y el fometo de la ciberseguridad costituye factores eseciales para el desarrollo de la ecoomía de Iteret. De esta forma evitaremos e la medida de lo posible las filtracioes de iformació y la pérdida de image de uestra compañía. Pero hay que teer claro que la ciberseguridad total o existe y e última istacia, la iformació es maipulada por persoas. «El usuario es el eslabó más importate de la cadea» e lo que a ciberseguridad se refiere. La fuga de iformació tiee u compoete social y humao muy importate. Detrás de ua buea parte de los icidetes de fuga de iformació se escode motivacioes persoales, ecoómicas, daño a la image de la orgaizació o simples errores, etre otras. La ciberseguridad total o existe y e última istacia, la iformació es maipulada por persoas. «El usuario es el eslabó más importate de la cadea». 3 Cómo gestioar ua fuga de iformació: Ua guía de aproximació para el empresario

4 1 Itroducció 1.1 Cómo podemos mitigar la fuga de iformació? Por u lado debemos desarrollar y actualizar políticas de acceso a la iformació. Toda orgaizació debe seguir el pricipio del míimo privilegio. Este pricipio se traduce e que u usuario sólo debe teer acceso a aquella iformació estrictamete ecesaria para desempeñar sus fucioes diarias, siempre que os refiramos a iformació cofidecial. U usuario sólo debe teer acceso a aquella iformació estrictamete ecesaria para desempeñar sus fucioes diarias, siempre que os refiramos a iformació cofidecial. Por otro lado la idustria de ciberseguridad [1] ofrece multitud de productos y servicios para mitigar esta ameaza. Merece la pea destacar aquellos productos destiados a la gestió del ciclo de vida de la iformació (ILM, del iglés Iformatio Lifecycle Maagemet), productos para el cotrol de dispositivos exteros o los que está destiados específicamete a evitar la fuga de iformació (DLP, del iglés Data Loss Prevetio). Además, dado que el factor humao es uo de los compoetes de la fuga de la iformació, es muy importate llevar a cabo campañas de cocieciació e materia de ciberseguridad detro de la orgaizació. 1.2 Qué debemos hacer si se produce ua fuga de iformació e uestra empresa? Por desgracia la preveció o es suficiete, puesto que las cosecuecias de la fuga de iformació puede ser muy egativas y teer u elevado ivel de dispersió, llegado a afectar a otras orgaizacioes y usuarios. La urgecia por preservar la image de la empresa hace que e ocasioes o se tome las decisioes adecuadas cuado o se dispoe de u procedimieto básico que sirva de guía y que permita miimizar adecuadamete el impacto y evitar u empeoramieto de la situació. A lo largo de esta guía se desarrollará los diferetes aspectos relacioados co la gestió del icidete, es decir, cuado ya se ha producido y hay que gestioar las posibles cosecuecias, co el objetivo de miimizar el impacto del icidete de fuga de iformació sobre la orgaizació y sobre otros actores exteros. 4 Cómo gestioar ua fuga de iformació: Ua guía de aproximació para el empresario

5 2 Fuga de iformació L a protecció de la iformació se articula e toro a la protecció de tres pricipios básicos: cofidecialidad, itegridad y dispoibilidad. La cofidecialidad implica que la iformació es accesible úicamete por el persoal autorizado. La itegridad de la iformació hace referecia a que la iformació sea correcta y esté libre de modificacioes y errores. La iformació ha podido ser alterada itecioadamete o ser icorrecta y osotros podemos basar uestras decisioes sobre ella. La dispoibilidad de la iformació hace referecia a que la iformació esté accesible, a las persoas o sistemas autorizados, cuado sea ecesario. Llamamos fuga de iformació a la pérdida de la cofidecialidad, de forma que iformació privilegiada sea accedida por persoal o autorizado. Llamamos fuga de iformació a la pérdida de la cofidecialidad, de forma que iformació privilegiada sea accedida por persoal o autorizado. El impacto y las cosecuecias posteriores a u icidete de fuga de iformació, so muy egativos. Por u lado, la filtració de iformació puede dañar la image pública de la empresa y por tato impactar egativamete e el egocio, geerado descofiaza e iseguridad e clietes. Asimismo, la publicació de iformació puede geerar cosecuecias a terceros: grupos exteros de usuarios y otras orgaizacioes cuyos datos se haya hecho públicos. Además, existe u cojuto de ormativas y leyes que poe especial éfasis e el uso y tratamieto de datos de carácter persoal. Detro del tratamieto de datos de carácter persoal se ha de cosiderar las fugas de iformació, ya que e muchas ocasioes, estos icidetes termia co la difusió o publicació de datos de carácter persoal. Dichas ormativas prevé sacioes de tipo ecoómico para este tipo de delitos. Por otra parte la ocultació del icidete de fuga de iformació tambié puede ser motivo de sació. La Agecia Española de Protecció de Datos (AEPD) es ua autoridad estatal ecargada de velar por el cumplimieto de la ormativa sobre protecció de datos. Sus fucioes so garatizar y tutelar el derecho fudametal a la protecció de datos de carácter persoal de los ciudadaos. Etre sus tareas se ecuetra detectar fugas de iformació. Si ua empresa oculta u icidete de fuga de fuga de iformació y la AEPD lo detecta, la sació podría ser importate. Este es uo de los aspectos más críticos de la gestió de la fuga de iformació y será tambié ua de las resposabilidades de la orgaizació, de cara a decidir si se hace público, a quié se debe de iformar y e qué orde, así como otros aspectos relativos a la comuicació del suceso a los medios. 5 Cómo gestioar ua fuga de iformació: Ua guía de aproximació para el empresario

6 2 Fuga de iformació 2.1 Orige y motivos El orige de las ameazas que provoca la fuga de iformació puede ser tato extero como itero. Por orige itero se etiede las fugas de iformació ocasioadas por empleados propios de la empresa. Por orige itero se etiede las fugas de iformació ocasioadas por empleados propios de la empresa, ya sea de forma iadvertida (por descoocimieto o por error) o a propósito. E el segudo caso los motivos «itecioados» que puede estar detrás de este tipo de icidetes so muy variados y podría ser: por estar descoteto co la empresa, la vegaza, la veta de secretos idustriales o iformació privilegiada para la obteció de beeficio ecoómico, el daño a la image de la empresa o la creació de ua ueva co parte de los activos de iformació. Los pricipales orígees exteros de la fuga de iformació abarca desde orgaizacioes crimiales hasta activistas. Sus pricipales motivacioes puede ser desde la obteció de u beeficio ecoómico co la veta de la iformació sustraída, la obteció de iformació específica (plaos, proyectos), hasta dañar la image de la empresa o llevar a cabo accioes reividicativas. 2.2 Cuáles so las causas? Cómo preveirlas? Las causas pricipales de los casos de fuga de iformació (y por tato el carácter de las medidas prevetivas que se deberá adoptar) puede ser clasificadas e dos grupos estrechamete relacioados: aquellas que perteece al ámbito orgaizativo y aquellas que hace referecia al ámbito técico. Además, la mayoría de las causas, tato orgaizativas o técicas, geeralmete, implica la ausecia de algú tipo de medida de seguridad, procedimieto, herramieta, etc. Esta ausecia de medidas supoe la falta de cotrol sobre la iformació y esta falta de cotrol aumeta de forma sigificativa la probabilidad de que se produzca u icidete de fuga de iformació. Detro de las causas orgaizativas: Uo de los primeros errores que se comete e relació co la protecció de la iformació es la falta de ua clasificació de la misma. Esta clasificació se puede realizar e base a su ivel de cofidecialidad, e fució de diversos parámetros: el valor que tiee para la orgaizació, el impacto que puede geerar su filtració, su ivel de sesibilidad o si se trata de iformació persoal o o. Si se descooce el valor de la iformació que trata la orgaizació, o será posible diseñar y seleccioar las medidas de protecció adecuadas. Por otro lado, el ámbito de difusió, permite establecer el perímetro detro del cual podrá ser difudida la iformació y juto co el ivel de cofidecialidad, hará posible determiar quié debe coocer la iformació y qué tipo de accioes puede realizar sobre esta. Esto se cooce como pricipio del míimo coocimieto [2]. 6 Cómo gestioar ua fuga de iformació: Ua guía de aproximació para el empresario

7 2 Fuga de iformació Los errores o la falta de coocimieto y formació so otra de las causas más comues de la fuga de iformació. Por u lado, el empleado debe utilizar los recursos que la orgaizació poe a su disposició de forma resposable, como e el caso de los servicios e la ube, los dispositivos móviles, el correo electróico, la avegació Web, etc. Por otro lado, debe dispoer de ciertos coocimietos y formació e relació co su actividad diaria y e materia de ciberseguridad [3], siedo resposabilidad de la orgaizació proporcioar la formació ecesaria de maera que el empleado pueda desempeñar su fució de forma segura. Si se descooce el valor de la iformació que trata la orgaizació, o será posible diseñar y seleccioar las medidas de protecció adecuadas. Otra causa orgaizativa es la ausecia de procedimietos y el establecimieto de pautas y obligacioes para los trabajadores e el ámbito de ciberseguridad. El establecimieto de políticas que idique al usuario claramete cuáles so los límites detro de los cuales deberá desempeñar su actividad y por otro lado, los procedimietos para aquellas actividades de especial importacia o riesgo, dismiuirá el riesgo para que se produzca ua fuga de iformació. Por último otra causa es que o exista acuerdos de cofidecialidad de la iformació co los empleados. Es importate solicitar por escrito la coformidad co diversas ormas iteras, como la política de cofidecialidad o de seguridad, etre otras, de maera que el futuro empleado, deja por escrito la aceptació de las codicioes correspodietes. Además, se cueta co legislació que permite establecer límites legales a las actividades de sus trabajadores y que puede ser utilizadas como mecaismos de disuasió para evitar u uso malitecioado de la iformació. Por otro lado, detro de las causas técicas os ecotramos co: El código malicioso o malware, es ua de las pricipales ameazas, siedo el robo de iformació uo de sus objetivos más comues. El malware esta muchas veces diseñado utilizado técicas que permite mateer oculto su código e u sistema, mietras recoge y evía iformació. El acceso o autorizado a sistemas e ifraestructuras es otra de las causas detrás del robo de iformació. Ya sea como parte de ua campaña de desprestigio, co el acceso o autorizado a ua págia web de ua orgaizació, o co motivo de sustraer iformació sobre secretos idustriales. Gra parte de estos accesos o autorizados se podría evitar si los sistemas y aplicacioes estuviera coveietemete actualizados. La actualizació se cosidera parte fudametal de ua buea aplicació, puesto que aporta mayor seguridad y deota u trabajo de mejora cotiua que reduda e beeficio de la aplicació y, por extesió, del usuario. 7 Cómo gestioar ua fuga de iformació: Ua guía de aproximació para el empresario

8 2 Fuga de iformació La geeralizació del uso de servicios e la ube para el almaceamieto de todo tipo de iformació puede collevar a la percepció de que e la ube uestra iformació está segura, cuado lo cierto es que o es así. El ivel de seguridad que tiee es el del eslabó más débil, que, muy a meudo so los propios usuarios y sus cotraseñas. Los icidetes de fuga iformació causados por el uso iadecuado de servicios e la ube so parecidos a los causados por uso de redes sociales y la forma de tratarlos es muy similar. El uso de las tecologías móviles para el trabajo diario, almaceado e ellos iformació muy crítica ha ocasioado la geeralizació de medidas como el cifrado de los dispositivos o el uso de VPN (redes privadas virtuales) e las comuicacioes. Si embargo, si la iformació almaceada e los dispositivos es realmete critica, igua medida puede llegar a ser suficiete. U dispositivo sustraído, e las maos equivocadas, cotedrá mucha iformació que puede ser publicada. Además este tipo de icidetes so de difícil mitigació. Las medidas de seguridad debe haberse tomado co aterioridad al icidete, porque ua vez este ocurre hay poco marge de maiobra. La geeralizació del uso de servicios e la ube para el almaceamieto de todo tipo de iformació puede collevar a la percepció de que e la ube uestra iformació está segura, cuado lo cierto es que o es así. 8 Cómo gestioar ua fuga de iformació: Ua guía de aproximació para el empresario

9 3 Las cosecuecias Las cosecuecias de u icidete de fuga de iformació preocupa eormemete a las empresas y las orgaizacioes. U icidete de estas características que se hace público puede causar u importate daño de image y mermar la cofiaza de los clietes de la etidad, lo que puede llegar a afectar a su egocio. Compreder las posibles cosecuecias es u aspecto esecial y ecesario para la adecuada gestió de icidetes de este tipo. Así será posible diseñar ua estrategia, de forma que e caso de que fialmete se produzca, se tome las decisioes y medidas adecuadas para miimizar el impacto del icidete. Determiar las cosecuecias y el impacto de u icidete de fuga de iformació es ua tarea muy compleja que depede de muchos factores. E el siguiete apartado vamos a aalizar alguos de esos factores, que servirá de base de cara a establecer las cosecuecias y el posible ivel de impacto. 3.1 Estimació del impacto Para estimar el cojuto de las cosecuecias que se deriva de u icidete de fuga de iformació, e primer lugar podemos agruparlos e las siguietes categorías: U icidete de estas características que se hace público puede causar u importate daño de image. Daño de image. Geera u impacto egativo de la etidad y lleva implícita pérdida de cofiaza. Cosecuecias legales. Podría collevar sacioes ecoómicas o admiistrativas. Cosecuecias ecoómicas. Estrechamete relacioadas co las ateriores se ecuetra detro de aquellas que supoe u impacto egativo a ivel ecoómico, co ua dismiució de la iversió, egocio, etc. Otras cosecuecias. So aquellas que afecta o supoe u impacto egativo e ámbitos muy diversos, como por ejemplo, el ámbito político, diplomático, istitucioal, o guberametal, etre otros. Todas estas categorías está relacioadas etre sí y suele darse cojutamete. La diferecia estará e fució del esceario, dode cada uo de ellos tedrá u peso. Impacto global u Daño por image u Cosecuecias legales u Cosecuecias ecoómicas u Otras cosecuecias Ilustració 1 Cosecuecias de la fuga de iformació 9 Cómo gestioar ua fuga de iformació: Ua guía de aproximació para el empresario

10 3 Las cosecuecias Uo de los factores que defie el esceario es el tipo de orgaizació. El peso de las cosecuecias será diferete si el icidete afecta a la admiistració o si se trata de ua etidad privada: Admiistració. El posible daño e image es u factor que cobra importacia desde u puto de vista político. Si embargo, las cosecuecias ecoómicas, así como las sacioes debidas a icumplimieto de la legislació, so limitadas. Etidades del sector privado. Las cosecuecias que tiee mayor peso so aquellas de carácter ecoómico. Además, a diferecia de las admiistracioes, el sector privado sí está expuesto a sacioes ecoómicas. Por otra parte, u icidete puede supoer la pérdida de cofiaza de los iversores o de sus clietes, lo que tambié puede teer cosecuecias muy sigificativas sobre su egocio y su actividad. Otro de los factores adicioales que defie el esceario es si la iformació que ha sido accedida es cosiderada como iformació cofidecial o o. Las cosecuecias puede ser muy distitas. Por tato, además de la clasificació aterior teemos tambié: Iformació cofidecial o restrigida. Aquella iformació que cosideremos crítica para los procesos de uestra etidad. Por ejemplo, datos de clietes, cotabilidad, datos de los propios trabajadores. Iformació o cofidecial. El hecho de su divulgació impactaría e la image de la empresa, pero el peso del impacto ecoómico será meor. La divulgació o difusió de cualquier dato que idetifique o que pueda ser asociado a ua persoa, puede collevar sacioes para la orgaizació que ha sufrido el icidete. 10 Cómo gestioar ua fuga de iformació: Ua guía de aproximació para el empresario

11 3 Las cosecuecias Otro de los factores que defie el esceario es el tipo de datos, difereciado etre: Datos de carácter persoal. cualquier dato que idetifique o que pueda ser asociado a ua persoa idetificada. Su divulgació o difusió, puede collevar sacioes para la orgaizació que ha sufrido el icidete. Otros datos. Será aquellos que o so datos de carácter persoal, geeralmete relacioados co terceros, iformació técica u operativa. E base a estos tres factores podemos teer ua aproximació que ayude a determiar las posibles cosecuecias de u icidete. Para obteer ua escala de valor de las cosecuecias, es ecesario cotar co ua valoració objetiva tato de los factores cometados como de otros factores, siguiedo u procedimieto de aálisis de riesgos. Tedremos e cueta el activo a proteger de la fuga de iformació, la ameaza, la probabilidad de que ocurra y el impacto para poder obteer el dato real de riesgo. No es objeto de este documeto desarrollar u método de cálculo del impacto, sio mostrar alguos de los factores que puede ifluir de forma decisiva e el valor fial que pueda teer ese impacto sobre la orgaizació. Estos factores servirá para diseñar u pla de gestió del icidete de fuga de iformació. Para obteer ua escala de valor de las cosecuecias, es ecesario cotar co ua valoració objetiva tato de los factores cometados como de otros factores, siguiedo u procedimieto de aálisis de riesgos. 11 Cómo gestioar ua fuga de iformació: Ua guía de aproximació para el empresario

12 4 Gestió de la fuga de iformació Al ser muchos los aspectos y situacioes detro de este tipo de icidetes, ua mala gestió podría teer el efecto cotrario al deseado, es decir, se puede magificar el efecto egativo del icidete. El pla para la gestió de los icidetes de fuga de iformació que se propoe recoge los pricipales putos y aspectos a teer e cueta. La gravedad del icidete y el cotexto e el que se produzca hace que los diferetes pasos se adapte al esceario específico. 1 Fase iicial detecció del icidete alerta del icidete a ivel itero iicio del protocolo de gestió 2 Fase de lazamieto reuió del gabiete de crisis iforme iicial de situació coordiació y primeras accioes 3 Fase de auditoría auditoría itera y extera elaboració de iforme prelimiar 4 Fase de evaluació reuió del gabiete de crisis presetació del iforme de auditoría determiació de pricipales accioes tareas y plaificació 5 Fase de mitigació ejecució de todas las accioes del pla 6 Fase de seguimieto valoració de los resultados del pla gestió de otras cosecuecias auditoría completa aplicació de medidas y mejoras Tabla 1 Resume de accioes 12 Cómo gestioar ua fuga de iformació: Ua guía de aproximació para el empresario

13 4 Gestió de la fuga de iformació 4.1 Fase iicial Uo de los mayores retos a los que se efreta las orgaizacioes es coseguir la detecció tempraa del icidete Los mometos imediatamete posteriores a la detecció de u icidete de fuga de iformació so especialmete críticos. Ua adecuada gestió e las primeras fases puede supoer ua reducció del impacto. Excepto e el caso de pérdida de dispositivos móviles, el pricipal problema es que e la mayoría de las ocasioes o es detectado hasta que su filtració se hace pública bie a través de los medios de comuicació o Iteret, bie a través de algú tipo de otificació por parte del ciberdelicuete resposable del hecho. Por este motivo, uo de los mayores retos a los que se efreta las orgaizacioes es coseguir la detecció tempraa del icidete, si es posible, a través de medios iteros, además realizar ua costate moitorizació de cualquier publicació sobre uestra etidad, para tomar el cotrol de la situació lo ates posible. Ua vez que hemos teido coocimieto del icidete, e primer lugar debemos de iformar iteramete de la situació, juto co el lazamieto del protocolo de actuació. Detro de la iformació que debemos trasmitir iteramete es importate icidir e la prudecia y redirigir a u iterlocutor previamete desigado cualquier duda o preguta tato de los propios empleados como si la misma procede de terceros el exterior. Además, se deberá de iformar de la puesta e marcha del proceso de gestió de la icidecia. 4.2 Fase de lazamieto Mateer la calma y actuar co orgaizació es fudametal para evitar decisioes icorrectas o que puede provocar cosecuecias egativas adicioales El primer paso es iiciar el protocolo itero de gestió del icidete, covocado a los resposables que forma parte del equipo de gestió que debe tomar las decisioes: el gabiete de crisis. Mateer la calma y actuar co orgaizació es fudametal para evitar decisioes icorrectas o que puede provocar cosecuecias egativas adicioales, ya sea a ivel itero o extero. No todas las orgaizacioes cueta co u gabiete de crisis o tiee los recursos ecesarios. Cada orgaizació deberá ajustarse a sus recursos. E cualquier caso, será ecesario cotar como míimo co u resposable co capacidad de decisió, ya sea persoal propio de la orgaizació o extero, que se ecargará de la gestió y coordiació de la situació. Cuato más cerca esté el resposable del gabiete del máximo resposable de la empresa, la gestió será más efectiva. E cualquier caso, todas las decisioes y las actuacioes relativas al icidete deberá ser tomadas y coordiadas por el gabiete de crisis. Es fudametal evitar actuacioes por libre o que o haya sido defiidas y acordadas por el gabiete. 13 Cómo gestioar ua fuga de iformació: Ua guía de aproximació para el empresario

14 4 Gestió de la fuga de iformació 4.3 Fase de auditoría Ua vez se ha iiciado los pasos ateriores, daría comiezo la fase de obteció de iformació sobre el icidete. Para ello, será ecesario iiciar ua auditoría itera, co el objetivo de determiar co exactitud y e el meor tiempo posible lo siguiete: Determiar la catidad (tamaño e disco, úmero de registros, etc.) de iformació ha podido ser sustraída. Establecer el tipo de datos que cotiee la iformació que ha podido ser sustraída. Debe cosiderarse especialmete si se ha filtrado datos de carácter persoal y de qué ivel segú el reglameto de la LOPD [4]. Determiar si la iformació es relativa a la propia orgaizació o es extera, es decir, si por el cotrario se trata de iformació que hace referecia a orgaizacioes o persoas exteras a la orgaizació. Establecer y acotar la causa pricipal de la filtració, si tiee u orige técico, o humao. Si el orige es técico, determiar los sistemas que está afectados o e los cuales se ha producido la brecha. Si es humao, iiciar el proceso para idetificar como se ha producido la fuga y resposables de esa iformació. Además de la itera, tambié es ecesario realizar ua auditoría extera. El objetivo de ésta será coocer el tamaño, gravedad y ivel de difusió de la filtració e el exterior de la orgaizació Además de la auditoría itera, tambié es ecesario realizar ua auditoría extera. El objetivo de ésta será coocer el tamaño, gravedad y ivel de difusió de la filtració e el exterior de la orgaizació. Hay que distiguir etre iformació que ha sido sustraída e iformació que se ha hecho pública, ya que o so ecesariamete lo mismo. Al meos es ecesario: Determiar el alcace de la publicació de la iformació sustraída (dóde se ha publicado, cuatos poteciales accesos habrá teido, etc.). Este puto es crítico para cerrar la brecha de seguridad y mitigar la difusió de la iformació sustraída. Establecer qué iformació se ha hecho pública y determiar la catidad (tamaño e disco, úmero de registros, etc.) de la iformació filtrada e el exterior de la orgaizació. Recoger las oticias y otros coteidos que haya aparecido e los medios de comuicació, así como e otros medios e Iteret sobre el icidete. Coocer las reaccioes que se está produciedo e relació co el icidete. E esta fase, el tiempo de reacció es crítico. De forma orietativa es recomedable coocer la mayor parte de los putos ateriores e u plazo o superior a 12 horas, desde el mometo e que se ha coocido el icidete. 14 Cómo gestioar ua fuga de iformació: Ua guía de aproximació para el empresario

15 4 Gestió de la fuga de iformació E cualquier caso, u periodo superior a las 48 horas podría cosiderarse excesivo, auque depederá de la gravedad del icidete y de otros factores. E este setido, reducir los tiempos es fudametal, pero si perder de vista que debe primar la obteció de iformació fiable y o meras hipótesis o suposicioes. 4.4 Fase de evaluació Se debe cosiderar que al tratarse de ua evaluació iicial las tareas se diseña e fució de la iformació dispoible, que puede ser icompleta Co la iformació obteida se iicia el proceso de valoració del icidete, posibles cosecuecias e impacto. Se establece las tareas pricipales co ua plaificació detallada para cada ua de ellas. Se debe cosiderar que al tratarse de ua evaluació iicial las tareas se diseña e fució de la iformació dispoible, que puede ser icompleta. Por otro lado, tambié hay que teer e cueta la vetaa de tiempo de respuesta dispoible, puesto que se debe actuar co agilidad. Detro de las pricipales tareas que será ecesario llevar a cabo, se ecuetra las siguietes: Tareas para cortar la filtració y evitar uevas fugas de iformació. Tareas de revisió de la difusió de la iformació y mitigació de la misma, e especial si ésta cotiee datos de carácter persoal o se trata de iformació cofidecial. Tareas de actuació co los afectados por la fuga de iformació, ya sea iteros o exteros. Tareas para la mitigació de las cosecuecias legales: posibles icumplimietos de ormativa e materia de protecció de datos de carácter persoal o de otra ormativa. Tambié aquellas tareas ecamiadas a la preparació de toda la iformació ecesaria ate posibles deucias por los afectados, otras orgaizacioes, etc. Tareas para la determiació de las cosecuecias ecoómicas, que pueda afectar a la orgaizació y su posible mitigació. Tareas a acometer e los activos de la orgaizació afectados, y su alcace, e relació co los activos de iformació, ifraestructuras, persoas, etc. Plaificació del cotacto y coordiació co fuerzas y cuerpos de seguridad, deucia y otras actuacioes, e caso de ser ecesario. Plaificació de comuicació e iformació del icidete, tato a ivel itero como extero, a medios de comuicació, y afectados, e caso de ser ecesario. 15 Cómo gestioar ua fuga de iformació: Ua guía de aproximació para el empresario

16 4 Gestió de la fuga de iformació Este cojuto básico de accioes compodrá el pla de emergecia diseñado para el icidete de fuga de iformació. Su ejecució deberá de estar completamete coordiada y supervisada e todo mometo por el gabiete de crisis. E fució del esceario y los recursos de la orgaizació, las accioes idicadas ateriormete podrá realizarse de forma simultáea o secuecial. E cualquier caso, establecer la prioridad de las tareas será resposabilidad del gabiete de crisis. 4.5 Fase de mitigació El primer paso es reducir la brecha de seguridad y evitar que se produzca uevas fugas de iformació. Por este motivo, e alguos casos es posible que sea ecesario descoectar u determiado servicio o sistema de Iteret. Ate esta situació debe primar el objeto del pla que o es otro que mitigar la fuga de iformació e el meor tiempo posible. Más adelate se aplicará medidas más adecuadas o meos drásticas que la descoexió, pero siempre garatizado la seguridad. El siguiete paso es debemos miimizar la difusió de la iformació sustraída, e especial si se ecuetra publicada e Iteret. Por este motivo, se cotactará co los sitios que ha publicado iformació y se solicitará su retirada, e especial si se trata de iformació sesible o protegida por la LOPD. Juto co el paso aterior, si se cosidera ecesario, se llevará a cabo la comuicació pertiete a los medios. Los medios de comuicació puede aportar u mecaismo muy eficaz para hacer llegar traquilidad a los afectados. Como se idicó ateriormete debe de existir u úico puto de cotacto exterior desde la orgaizació para evitar descoordiació. El primer paso es reducir la brecha de seguridad y evitar que se produzca uevas fugas de iformació. Por este motivo, e alguos casos es posible que sea ecesario descoectar u determiado servicio o sistema de Iteret. 16 Cómo gestioar ua fuga de iformació: Ua guía de aproximació para el empresario

17 4 Gestió de la fuga de iformació 4.5 E caso de existir persoas afectadas por la fuga de iformació, por ejemplo, si se ha filtrado datos de terceros, como clietes o usuarios de u servicio, es fudametal que estos sea iformados. Se iformará o solo del icidete, sio tambié de los datos que ha sido sustraídos a fi de que pueda tomar las accioes oportuas para su seguridad, como puede ser el cambio de cotraseñas, revocació de úmeros de tarjetas, ser especialmete cautelosos co correos de descoocidos, etc. Además, se debe proporcioar algú caal para que los afectados pueda mateerse iformados sobre la evolució del icidete y las distitas recomedacioes que pueda realizar la orgaizació a los afectados, co el objetivo de miimizar las cosecuecias. Posteriormete se podrá e coocimieto del icidete a las fuerzas y cuerpos de seguridad del estado, a través de la presetació de ua deucia y otras accioes que pueda derivarse de la coordiació o la solicitud de iformació por parte de las fuerzas y cuerpos de seguridad. Hay que teer e cueta, además, la ecesidad de iformar a otros orgaismos que pueda teer competecias derivadas de la iformació filtrada, como es el caso de la Agecia Española de Protecció de Datos, e el caso de datos de carácter persoal. 4.6 Fase de seguimieto Ua vez completadas las pricipales accioes del pla, se procederá a evaluar el resultado y la efectividad de las accioes realizadas, e relació co las cosecuecias y su impacto. Además, e caso de ser ecesario, se deberá de hacer frete a otras cosecuecias que haya podido geerarse durate la fase de mitigació del icidete, como pueda ser cosecuecias legales, ecoómicas, etc. Durate esta fase tambié se iiciará el proceso de estabilizació de la situació geerada por el icidete. Se comezará co u proceso de valoració global del mismo, que supodrá ua auditoría más completa a partir de la cual se diseñara e implatara las medidas defiitivas para evitar uevas fugas y restablecer el ormal fucioamieto de los servicios e ifraestructuras que pudiera haberse visto afectadas. Durate esta fase tambié se iiciará el proceso de estabilizació de la situació geerada por el icidete. 17 Cómo gestioar ua fuga de iformació: Ua guía de aproximació para el empresario

18 5 Preveció L as pricipales medidas de preveció debe orietarse hacia el compoete humao y orgaizativo que se ecuetra detro de las causas de este tipo de icidetes. La preveció de la fuga de iformació pasa por la aplicació de medidas de seguridad desde tres putos de vista: técico, orgaizativo y legal. Medidas orgaizativas Poer e marcha bueas prácticas para la gestió de fuga de la iformació. Defiir ua política de seguridad y procedimietos para todo el ciclo de vida de los datos. Establecer u sistema de clasificació de la iformació, para ligarlo a roles y iveles de acceso. Llevar a cabo accioes de formació e iformació itera e ciberseguridad. Implatar u sistema de gestió de seguridad de la iformació. Medidas técicas Cotrol de acceso e idetidad. Solucioes ati-malware y ati-fraude, seguridad perimetral y protecció de las telecomuicacioes. Cotrol de coteidos, cotrol de tráfico y copias de seguridad. Cotrol de acceso a los recursos, actualizacioes de seguridad y parches. Medidas legales Tabla 2 Medidas prevetivas Solicitud de aceptació de la política de seguridad y de la de coformidad por parte de los empleados. Medidas relativas a la adecuació y cumplimieto de la legislació aplicable (LOPD, LSSI, etc). Otras medidas de carácter disuasorio e base a la legislació. Cada orgaizació es diferete y será ecesario buscar u equilibrio etre complejidad, coste y riesgo, e relació co la implatació de las medidas de seguridad. Pero el asesoramieto profesioal, o solo durate la gestió de u icidete de fuga de iformació, sio tambié, e la fase de diseño de las medidas de preveció es de vital importacia. Para evitar fugas de iformació causadas por el uso iadecuado de servicios e la ube, debemos seguir las mismas medidas que para otros tipos de icidetes: sobre todo u bue cotrol del acceso a dichos servicios y cocieciació de los empleados. Para los icidetes causados por dispositivos móviles, la preveció se basa e implatar políticas de uso y medidas técicas: solucioes ati-malware, cifrado, uso de sistemas VPN, etc. 18 Cómo gestioar ua fuga de iformació: Ua guía de aproximació para el empresario

19 6 Referecias 1 INCIBE Empresas - Herramietas Catálogo de ciberseguridad [cosulta: 30/06/2015] 2 Blog Empresas de INCIBE Acceso a la iformació? Sólo el míimo. [cosulta: 12/05/2015] 3 INCIBE Empresas Kit de cocieciació [cosulta: 30/06/2015] 4 BOE Art. 80 y 81 (Niveles de seguridad y aplicació de los iveles de seguridad) del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglameto de desarrollo de la Ley Orgáica 15/1999, de 13 de diciembre, de protecció de datos de carácter persoal. [cosulta: 12/05/2015] 5 INCIBE - Dossier Protecció de la iformació [cosulta: 12/05/2015] 6 ENISA - Recommedatios for a methodology of the assessmet of severity of persoal data breaches. at_dowload/fullreport [cosulta: 12/05/2015] 7 ENISA - Recommedatios for the techical implemetatio of the Art.4 of the eprivacy Directive. art4_tech [cosulta: 12/05/2015] 19 Cómo gestioar ua fuga de iformació: Ua guía de aproximació para el empresario

20