Fuga de datos (fuga de información)

Una fuga de datos, también llamada brecha de datos o fuga de información, es un incidente en el que información confidencial, sensible o protegida queda expuesta, se divulga o se vuelve accesible para personas que no estaban autorizadas a verla.

Conviene fijarse en lo pocas veces que esto empieza con una intrusión. Las fugas salen de un almacenamiento mal configurado, de un correo enviado al destinatario equivocado, de un portátil olvidado en algún sitio, de un repositorio que se hizo público, y de gente de dentro de la organización tan a menudo como de fuera.

Las consecuencias no crecen con lo sofisticada que fuera la causa. Un bucket abierto y una intrusión dirigida pueden producir la misma divulgación.

Qué tipos hay

Se clasifican por lo que quedó expuesto y no por cómo, que es la clasificación que decide qué tiene que pasar después.

Datos personales. Nombres, identificadores, direcciones, cualquier cosa que apunte a una persona. Mira la ficha de datos personales, cuyo alcance es más amplio de lo que se supone.

Datos financieros. Datos de tarjeta, números de cuenta, transacciones.

Secretos comerciales y propiedad intelectual. Diseños, código fuente, precios, contratos, planes.

Datos de salud. Que casi en todas partes tienen su propio régimen, y sus propias consecuencias para las personas afectadas.

Qué cuesta

Los costes directos son la parte visible: investigar, contener, notificar y arreglar aquello que la permitió.

Detrás va la exposición regulatoria, que depende de lo que hubiera en los datos y no de cómo se tome la organización el incidente.

Luego está la parte que dura más, que es que los clientes ya lo saben. La confianza tarda en reconstruirse y no la devuelve el arreglo técnico.

Y para las personas de quienes eran los datos, las consecuencias las cargan ellas: suplantación de identidad, fraude e información sobre ellas que ya no se puede retirar.

Un ejemplo

Un empleado de una empresa de servicios financieros copia un fichero con registros de clientes en un USB personal para terminar un trabajo, y lo pierde en un lugar público.

El fichero contiene identificadores, datos bancarios y otros datos personales de miles de clientes.

La empresa se entera cuando alguien avisa de que ha encontrado el dispositivo y ha podido abrir el fichero.

Lo que viene después es la misma secuencia en todos los casos de este tipo: averiguar exactamente qué había dentro, notificar a quien haya que notificar dentro del plazo, y responder a la pregunta de por qué ese fichero se pudo copiar sin cifrar en un soporte extraíble. La última pregunta es la única cuya respuesta evita el siguiente incidente.

El incidente, el control que lo previene y el sitio donde acaba

Esta ficha describe el incidente. Las dos entradas del glosario que aparecen siempre a su lado no son sinónimos suyos.

La prevención de pérdida de datos (DLP) es el control: clasifica la información sensible y vigila los puntos por los que podría salir. Es lo que pones para que la fuga no ocurra. Y su problema hoy es de cobertura, porque los canales se han movido: una configuración pensada para el correo y el USB no ve la sincronización con un almacenamiento personal, ni el secreto subido a un repositorio público, ni el párrafo pegado en un asistente de inteligencia artificial.

Un sitio de filtraciones de ransomware es una forma concreta en que los datos se hacen públicos: el lugar donde un grupo de extorsión publica los ficheros de las víctimas que no han pagado. Es un canal, no la fuga.

El matiz que decide obligaciones es este: que la información salga y que se publique no son el mismo momento. Cuando aparece una muestra publicada hay prueba de que los datos salieron, y esa prueba es pública, lo que convierte la decisión de notificar en una conversación muy distinta de la que se tiene cuando la exfiltración solo se sospecha.

Y no toda fuga viene de fuera. Quien se lleva la información suele estar autorizado a verla, que es de lo que trata la amenaza interna.