Brecha de seguridad

Una brecha de seguridad es un evento, o una serie de eventos, que permite a actores no autorizados comprometer la integridad, la confidencialidad o la disponibilidad de datos, sistemas o redes.

Las brechas varían enormemente en alcance y severidad, desde el acceso no autorizado a un solo registro hasta ataques que acaban en la pérdida de grandes volúmenes de datos confidenciales o en la interrupción de operaciones de las que depende el negocio.

Identificar una y responder a ella con eficacia es lo que limita el daño, y las dos son capacidades que tienen que existir antes de la brecha, en lugar de montarse durante ella.

Qué la caracteriza

Un punto de entrada. Toda brecha empieza en algún sitio: una vulnerabilidad explotada, una configuración incorrecta o una credencial obtenida mediante phishing. El punto de entrada suele ser la parte menos interesante de la historia.

Exfiltración. En muchos casos salen datos sensibles: información personal, registros financieros, propiedad intelectual o cualquier otra cosa almacenada en los sistemas a los que se llegó.

Tiempo sin ser detectada. Una brecha con éxito suele significar que el atacante pasó inadvertido durante un periodo largo, que es lo que le permitió explorar, recopilar y planificar. Esta es la propiedad que decide el tamaño de todo lo demás.

Daño colateral. Según hasta dónde se haya llegado, las consecuencias van más allá de lo técnico: pérdida de confianza de los clientes, daño reputacional, y obligaciones legales y regulatorias que empiezan a correr desde el momento en que se conoce la brecha.

Las formas que adopta

Brecha de datos. Acceso no autorizado a información confidencial. Puede venir de un ataque directo, de un dispositivo perdido o de información expuesta por accidente a causa de una configuración incorrecta, que representa una parte de los casos reales mayor de lo que la gente espera.

Ransomware. Se cifran datos críticos y se exige un pago. Las operaciones modernas además exfiltran primero, así que pagar o restaurar no resuelve la divulgación.

Acceso no autorizado. Alguien llega a sistemas o redes internas, ya sea explotando una vulnerabilidad o usando credenciales robadas. Lo segundo es con diferencia lo más común, y lo más difícil de ver.

Un ejemplo

Una empresa de servicios financieros sufre una brecha.

El atacante llega a la red interna usando las credenciales de un empleado que picó en un mensaje de phishing. Una vez dentro, explora, identifica bases de datos con información financiera confidencial y la exfiltra sin ser detectado.

La empresa descubre la brecha cuando observa patrones inusuales en sus registros de red.

Al investigar, identifica la actividad, cierra la vía de entrada, revoca las credenciales comprometidas y notifica a los clientes afectados.

El detalle que merece leerse dos veces es que no ocurrió nada exótico. Una contraseña, un inicio de sesión corriente y tiempo.

Por qué la cifra interesante es el tiempo de permanencia

Una brecha se suele discutir por su punto de entrada, y ese es el énfasis equivocado por dos razones.

La primera es que los puntos de entrada son baratos y abundantes. Dar por hecho que alguno acabará funcionando no es pesimismo: es la premisa de un ejercicio de assumed breach, y la razón de que ese tipo de prueba exista.

La segunda es que el daño es función del tiempo. Un intruso detectado en una hora ha hecho lo que permite una hora. Ese mismo intruso detectado a los tres meses ha mapeado el parque de sistemas, se ha llevado lo que quería y, en un caso de ransomware, ha encontrado y borrado antes las copias de seguridad.

Por eso las preguntas que importan en una brecha no van realmente del perímetro. Durante cuánto tiempo pasaría inadvertido aquí alguien con credenciales válidas. Cuáles de nuestros registros lo mostrarían, y si alguien los lee. Y cuando llegue la respuesta, quién está autorizado a desconectar un sistema en producción a las tres de la mañana, porque una respuesta a incidentes que tiene que esperar a que decida alguien es una respuesta medida en horas que nadie tiene.

En la Unión Europea hay un plazo unido a esa respuesta: una brecha de datos personales tiene que notificarse a la autoridad de control en las 72 horas siguientes a tener conocimiento de ella, lo que convierte la capacidad de establecer qué pasó en una capacidad legal y no solo técnica. Para eso está el análisis forense digital.

Dónde leer más

Verizon Data Breach Investigations Report: el análisis anual de incidentes reales, y la referencia más usada sobre cómo empiezan de verdad las brechas.

CISA, protecting sensitive and personal information from ransomware-caused data breaches: guía práctica sobre prevención y sobre qué hacer después.