En ocasiones, a diario se trabajan con datos confidenciales y sensibles en los que hay que establecer unas medidas de seguridad para el tratamiento correcto de la información. En este tratamiento normalmente se incluye la realización de copias de seguridad en caso de fallos pero también se debe tratar que hacer con el dato una vez no precisamos de su uso.
Inteco (Instituto Nacional de Tecnologías de la Comunicación) ha publicado una guía con licencia Creative Commons (By-NC) que explica como realizar el tratamiento de esta información que contiene las pautas a realizar para gestionar y borrar los datos confidenciales.
Hay que tener en cuenta que la parte más valiosa de una empresa TIC es la información generada en base a la observación y al trabajo diario, incluso muy por encima del valor invertido en hardware como en ordenadores, impresoras y otros componentes. Tratar esta información con la importancia necesaria es muy interesante.
Por una parte, hay que diferenciar los conceptos datos e información. Mientras que el dato es una representación lógica de un ente de manera aislada, la información es un conjunto de datos, procesos y técnicas que dan un significado al dato. Para el aseguramiento de esta información se dispone de la norma internacional ISO27001.
Sistema de Gestión de la Seguridad de la Información
En este aseguramiento se incluyen, entre otros, tres elementos claves que juntos constituyen un Sistema de Gestión de la Seguridad de la Información (SGSI): * Confidencialidad: Consiste en tener información de manera exclusiva que no se desea que tenga una difusión a terceros. * Integridad: Es el aseguramiento de que nuestro sistema guarda o contiene con exactitud o completitud la información. * Disponibilidad: Asegura que esta información será accesible y utilizable por los usuarios que desean utilizarla.
Gestión del Ciclo de Vida de la Información
Para conseguir este sistema de seguridad es necesario establecer unas pautas o tareas llamadas Gestión del Ciclo de Vida de la Información. Estas pautas corresponden a los diferentes ciclos de vida por los cuales la información pasa: * 1. Clasificación de datos: No toda la información que llega a la empresa hay que tratarla de la misma manera. Cuando llega información al sistema o a la empresa es necesario clasificarla. Para ello se establecerá que datos dispone, volumen, ubicación, jerarquía, que datos pueden ser eliminados o como recuperarlos. En el caso de la LOPD para datos de carácter personal se disponen tres niveles: básico, medio o alto. * 2. Almacenamiento físico: Corresponde con el almacenamiento inicial de la información. Para almacenar una serie de información es preciso establecer unos requisitos previos que establezcan las ventajas y desventajas (volumen, disponibilidad, etc), de las diferentes opciones de almacenamiento que disponemos. * 3. Migración: A lo largo de la vida de la información, puede que sea preciso modificar el entorno por cambiar el sistema o añadir más almacenes de datos para equilibrar la sobrecarga de este. * 4. Disposición: Existen dos elementos que serán necesarios para asegurar la disponibilidad de la información. Por una parte, en el aseguramiento de la integridad se aplican privilegios a los usuarios obligando a estos a restringir su acceso mediante contraseñas y permisos o restricciones en el sistema y en la actuación de los datos. Por otra parte, también debemos establecer unas copias de seguridad para el riesgo de fallos en el sistema o pérdida de la información. * 5. Utilización de la información almacenada. Una vez almacenada la información esta puede ser utilizada para la toma de decisiones en las empresas. En el caso de no ser necesaria esta información esta puede ser destruida.
Almacenamiento de información
Existen diferentes formas para el almacenamiento de datos: * Almacenamiento local: Es la información que generan los propios usuarios en su ordenador. Es importante establecer unas políticas de seguridad acerca de que tipo de información se puede almacenar en estos ordenadores así como cuanto tiempo puede establecer esta información en estos. * Servidores en red: Es el almacén para el trabajo común cuyo objetivo es la de compartir información entre diferentes usuarios de la empresa. Al ser un modo compartido, es importante establecer un control de acceso y acciones a esta información almacenada. * Dispositivos externos: También se pueden disponer de modos de almacenamiento externo como USB, DVD o Cintas magnéticas. Por el tamaño de estos dispositivos, este puede ser un punto peligroso con riesgo de fugas de información. Para ello se deben establecer ciertas políticas como la prohibición de su uso, que tipo de información se puede almacenar o medidas de borrado cuando la información no sea necesaria. * Copias de seguridad: Consiste en la realización de copias de respaldo de la información generada por la empresa. En esta copia de seguridad se deben establecer que datos requieren ser preservados, la frecuencia con que se realiza la copia, donde se almacena, control del soporte de las copias, planificar la restauración de las copias para asegurarse que con la información almacenada es posible reestablecer el sistema, definir la vigencia de las copias y controlar la obsolescencia de los dispositivos de almacenamiento.
Borrado de la información
Al final del ciclo de vida de la información, esta se debe destruir cuando ya no es preciso su uso. Para ciertos casos, en el que el nivel de confidencialidad es bajo puede bastar con formatear el dispositivo, borrar los ficheros (incluida papelera de reciclaje) o tirar el CD.
En otros casos existen técnicas que más sofisticadas para la eliminación de esta información: * Desmagnetización: para el caso de soportes de almacenamiento magnético es posible la exposición del dispositivo a un potente campo magnético que elimina los datos almacenados. Esta forma tiene muchos inconvenientes por no decir que sólo se puede utilizar en soportes magnéticos (no ópticos). * Destrucción física: consiste en desintegrar, pulverizar o incinerar el dispositivo. Este modo es bastante costoso. * Sobreescritura: consiste en escribir otra información irrelevante eliminando la información que existía anteriormente. Este es un modo fácil y barato. Sin embargo solo se puede aplicar en dispositivos que permitan la sobreescritura no pudiendo utilizarse la mayoría de CDs y DVDs.
Hay que tener especial cuidado que el borrado general y el formateo del disco duro no elimina los datos si no que eliminan la entrada del fichero o en la lista de archivos pudiendo obtenerse los datos con ciertas técnicas sofisticadas. Del mismo modo, deben existir políticas de borrado seguro de la información dentro de la empresa.
Opinión
El tratamiento de datos es realmente muy importante para la empresa. No solo se corre el riesgo de perder la información de la empresa, también se corre el riesgo de fugas de información críticas para tu negocio por extrabajadores. Todo puede estar expuesto, código fuente, presupuestos, emails, documentos corporativos y un largo etcétera que en manos de la competencia puede crucial para tu negocio.
En esta temática, el caso Wikileaks, es quizá el caso más sorprendente y bochornoso (para el responsable del sistema) que ha habido hasta la fecha. Existen otros casos menos llamativos como la aparición de datos de personas en redes P2P o fugas del código fuente de algún producto de empresas importantes. Sin embargo, en mi opinión vamos a ver más ya que cada vez está todo más informatizado y se dependen más de los responsables de los sistemas.
Fuente original | Inteco
