2017 El año de la violación de la integridad de los datos

Jason Hart, CTO Data Protection, Gemalto, predice hoy que las violaciones a la integridad de los datos enviarán ondas de choque en todo el mundo en 2017, y se espera que al menos una divulgación de violación ‘todopoderosa’ de este tipo el próximo año.
La integridad de los datos es una promesa o garantía de que solo los usuarios autorizados pueden acceder a la información o modificarla. Los ataques a la integridad de los datos comprometen esa promesa, con el objetivo de obtener acceso no autorizado para modificar los datos por una serie de motivos ocultos, como financieros o de reputación.
Jason Hart, director de tecnología de protección de datos de Gemalto, dijo: “Los ataques a la integridad de los datos, por supuesto, no son nada nuevo, sin embargo, permanecen fuera del radar de las empresas que tienen una dependencia cada vez mayor de los datos y toman decisiones comerciales importantes basadas en su análisis. Este tipo de ataques es lo que me gusta llamar la máxima armamentización de datos.
“La primera generación de ciberataques se centró en detener el acceso a los datos, que rápidamente pasó a robarlos. Hoy, comenzamos a ver cada vez más pruebas de que los datos robados se están alterando antes de la transición, lo que afecta a todos los elementos de las operaciones. Con la creciente aceptación del Internet de las cosas, los piratas informáticos tienen más superficies de ataque y personas que pueden manipular. Tome un dispositivo de fitness portátil como Fitbit, por ejemplo, y observe la cantidad de personas diferentes que lo tocan: el usuario, el fabricante, el proveedor de nube que aloja la infraestructura de TI, los terceros que acceden a él a través de una API, etc. Puede comenzar a ver cómo esto puede crear una polinización cruzada de riesgos que la industria de la seguridad no ha visto antes. Y esto es sólo una «cosa» personal, por lo que cuando se tienen en cuenta todas las cosas que están conectadas a las infraestructuras críticas y nacionales, se puede empezar a ver cómo esto puede salirse de control rápidamente.
“Da miedo, pero los ataques a la integridad de los datos tienen el poder de derribar a toda una empresa y más allá; mercados de valores enteros podrían verse envenenados y colapsados ​​por datos defectuosos; la red eléctrica y otros sistemas de IoT, desde los semáforos hasta el suministro de agua, podrían verse gravemente interrumpidos si se modificaran los datos con los que se ejecutan. Y quizás el mayor peligro es que muchos de estos podrían pasar desapercibidos durante años antes de que se revele el verdadero daño «.
Infracciones de la integridad de los datos:

• 2008 – Los piratas informáticos se infiltran en los sistemas del gobierno brasileño e inflan las cuotas de tala para interrumpir la industria maderera.
• 2010 – Los piratas informáticos utilizan el gusano Stuxnet para realizar cambios menores en el programa de energía nuclear de Irán en un intento de destruirlo.
• 2013 – Un grupo sirio pirateó la cuenta de Twitter de Associated Press y tuiteó que el presidente Obama había resultado herido en explosiones en la Casa Blanca; el único tuit provocó una caída de 147 puntos en el Dow Jones.
• 2015: Anonymous comienza a publicar informes financieros que exponen a empresas de EE. UU. Y China que intentan engañar al mercado de valores. En un caso, dañando la reputación de la marca REXLot Holdings, un desarrollador de juegos, que había inflado sus ingresos.
• 2015 – JP Morgan Chase fue violado con intentos posteriores de manipulación del mercado
• 2016 – Tanto la Agencia Mundial Antidopaje como el Comité Nacional Demócrata son violados con piratas informáticos que manipulan sus datos para avergonzar a las organizaciones.

Los mejores consejos de Jason para empresas:

1. Comprenda sus datos

Para que una empresa se proteja, primero debe realizar un barrido de datos para comprender qué datos ha recopilado o producido y dónde se encuentran las partes más sensibles de esos datos. Es fundamental que las empresas comprendan qué están tratando de proteger antes de que puedan siquiera pensar en cómo protegerlo.

2. Autenticación de dos factores

El siguiente paso de una organización debería ser centrarse en la adopción de una autenticación sólida de dos factores, que proporciona esa capa adicional de seguridad en caso de que las ID de usuario o las contraseñas se vean comprometidas.

3. Cifrado

Si bien la autenticación de dos factores está ahí para ayudar a evitar que se tome información en primer lugar, el cifrado proporciona la capa para evitar que los datos confidenciales de los clientes se utilicen si se accede a ellos. Las empresas deben utilizar el cifrado para proteger estos datos dondequiera que se encuentren, eso es un hecho. Ya sea en entornos locales, virtuales, de nube pública o híbridos. Más importante aún, la mentalidad tradicional de seguridad de datos tiene que evolucionar, y las empresas deben abordarla con la presunción de que se violarán los perímetros y, como tal, prepararán el cifrado correcto necesario para proteger el aspecto más vital, los datos.

4. Gestión de claves

Una vez que se haya implementado una estrategia de cifrado adecuada, la atención debe cambiar a una administración sólida de las claves de cifrado. El cifrado es tan bueno como la estrategia de administración de claves empleada, y las empresas deben asegurarse de que se mantengan a salvo mediante pasos como almacenarlos en módulos de hardware para evitar que sean pirateados. Después de todo, ¡no sirve de nada tener las mejores cerraduras en tu casa y luego dejar las llaves de la casa debajo de la alfombra para que cualquier ladrón oportunista que pase las recoja!

5. Educación

Para generar confianza, las empresas deben educar a su fuerza laboral y a sus consumidores sobre los pasos que han tomado para proteger sus datos. Y no acaba ahí. Las empresas deben emplear un enfoque doble, educar a sus empleados y consumidores sobre los pasos que también deben tomar para permanecer seguros y proteger sus datos personales, lo que les lleva a comprender cómo proteger los datos de la empresa.