Empleados responsables del 35% de los incidentes de seguridad de datos de ICO desde 2015
Un nuevo análisis ha encontrado que durante los últimos tres años, el 35% de todas las violaciones importantes de datos fueron causadas por empleados negligentes o malintencionados, lo que costó a las organizaciones con sede en el Reino Unido involucradas casi £ 500,000 en multas del Oficina del Comisionado de Información (ICO).
Este estudio, realizado por la empresa global de software de seguridad Avecto, analizó todas las infracciones entre agosto de 2015 y enero de 2018, donde el ICO emitió multas por « no tomar las medidas técnicas y organizativas adecuadas contra el procesamiento no autorizado de datos personales ».
Los ejemplos de violaciones de datos causadas directamente por personas con información privilegiada en las organizaciones involucradas incluyen a los miembros del personal negligentes que envían correos electrónicos con datos personales a las personas equivocadas, así como la pérdida o el robo de computadoras portátiles de los empleados cuando se las saca de la oficina. Otra violación de datos que destacó los procesos fallidos y resultó en una multa de £ 180,000 ocurrió cuando un servidor que estaba destinado a estar encerrado en un armario seguro y que contenía una cantidad significativa de información confidencial, fue robado.
En otro caso, un infiltrado malintencionado pudo acceder a una sala de servidores de datos y robar información de un dispositivo, incluidos 59.592 nombres de clientes, direcciones, cuentas bancarias y números de códigos de clasificación.
Andrew Avanessian, director de operaciones de Avecto, dijo: “No se puede confiar en los estrictos procesos de la empresa y la capacitación del personal cuando se trata de salvaguardar los dispositivos de la empresa y proteger los datos confidenciales. Aunque ambos son elementos importantes de una estrategia de seguridad, las personas cometerán errores y pueden ser engañadas fácilmente para que inicien actividades maliciosas, lo que significa que los empleados siempre serán el eslabón más débil.
“Las organizaciones deben comenzar por tener la tecnología adecuada para proporcionar una base de seguridad sólida que proteja sus datos y a sus empleados. Por ejemplo, limitar los privilegios administrativos es una forma sencilla para que las organizaciones reduzcan masivamente la amenaza para que todos los usuarios tengan solo el acceso que necesitan para realizar sus funciones laborales. Limitar la ejecución de aplicaciones desconocidas y, por lo tanto, no autorizadas garantiza que los empleados no estén sujetos a ataques. También es de vital importancia garantizar que los empleados tengan la libertad de continuar con su trabajo sin limitar la productividad.
«El análisis destaca una clara necesidad de un enfoque de seguridad de defensa en profundidad y un enfoque en tener los procesos tecnológicos y operativos en su lugar para prevenir violaciones de datos».