Introducción
La información es uno de los activos más valiosos. En la edición anterior explicamos qué es nuestro Sistema de Gestión de Seguridad de la Información y por qué lo estamos construyendo bajo la norma ISO/IEC 27001:2022. Esta edición aborda el fundamento sobre el que se apoya ese sistema: los tres objetivos que definen qué significa proteger la información, dónde se rompen en la operación diaria y qué práctica concreta los sostiene.
Boletín del mes: confidencialidad, integridad y disponibilidad
Toda la seguridad de la información se sostiene sobre tres objetivos. La ISO/IEC 27001:2022 los establece como el criterio con el que se identifican los riesgos y se seleccionan los controles. Entenderlos permite reconocer el riesgo antes de que se materialice.
Confidencialidad
La información llega únicamente a quien está autorizado a conocerla. Un archivo de clientes en un repositorio corporativo tiene control de accesos y trazabilidad. El mismo archivo enviado por un canal no corporativo pierde ambos: la organización deja de saber quién lo tiene, cuántas copias existen y por cuánto tiempo permanecerán activas. La confidencialidad no se pierde por mala intención, se pierde por el canal.
Integridad
La información se mantiene exacta y completa. Es el objetivo más subestimado, porque una filtración se detecta y una alteración no. Un monto modificado sin registro de autor ni fecha compromete algo más que ese dato: invalida la confianza en el documento completo y en las decisiones tomadas a partir de él.
Disponibilidad
La información está accesible cuando quien la necesita la requiere. El riesgo aquí rara vez proviene de un atacante. Proviene del reporte que existía en un solo equipo, del archivo alojado en una cuenta personal sin continuidad y del respaldo que nunca se verificó. La información que no se recupera a tiempo equivale a información que no se tiene.
Dónde se rompen estos objetivos
No en ataques sofisticados. En decisiones ordinarias:
- Una pantalla sin bloquear expone información sensible a cualquier persona con acceso físico al espacio. La práctica esperada es bloquear el equipo al retirarse del puesto.
- Un enlace o archivo abierto sin verificar al remitente entrega el punto de entrada. La práctica esperada es confirmar el origen antes de hacer clic.
- Un dispositivo externo no autorizado introduce código que nadie revisó. La práctica esperada es utilizar únicamente dispositivos aprobados.
- Un documento confidencial enviado por un canal no seguro genera una filtración fuera del alcance de la organización. La práctica esperada es utilizar solo los canales oficiales de la empresa.
- Un archivo almacenado fuera de los repositorios corporativos queda sin respaldo ni control de accesos. La práctica esperada es guardar la información en los repositorios corporativos.
- Una conversación de trabajo en un espacio público transmite información sin necesidad de medio digital. La práctica esperada es la discreción: la información confidencial no se comenta.
Ninguna de estas situaciones exige conocimiento técnico para evitarse. Exige criterio en el momento de decidir.
Tendencia del mes: fugas de información por canales no autorizados
La fuga de información más frecuente no proviene de una intrusión. Proviene de un envío. Un documento remitido por mensajería instantánea para resolver con rapidez, un archivo reenviado a una cuenta de correo personal para trabajarlo fuera de la oficina, información almacenada en un dispositivo propio, una aplicación de control remoto no aprobada utilizada para dar soporte. Cada una de estas acciones traslada un activo de la compañía a un entorno que la compañía no administra.
El impacto no depende de la intención. Una vez que la información sale de los canales oficiales, la organización pierde la capacidad de determinar dónde está, quién la tiene y qué ocurre con ella. A partir de ese punto los riesgos son concretos: exfiltración de datos, ransomware, daño reputacional, sanciones regulatorias, pérdida de contratos, acciones legales y, en los escenarios más graves, interrupción de la operación.
El punto más vulnerable no es la infraestructura. Es la combinación de un usuario con permisos amplios y un canal sin control. La actividad de los atacantes es permanente y global, y el intervalo entre la exposición y el aprovechamiento se mide en segundos. Un solo archivo enviado por el canal incorrecto compromete el esfuerzo sostenido de toda la organización.
¿Sabías que…?
60%
de las brechas de seguridad son causadas por error humano.
Verizon DBIR
90%
de los ciberataques comienzan con un correo de phishing.
Proofpoint
$4.45M USD
es el costo promedio de una filtración de datos para las empresas.
IBM Cost of a Data Breach Report
43%
de los ataques están dirigidos a pequeñas y medianas empresas.
Microsoft Digital Defense Report
La lectura conjunta de estas cifras es directa: la mayor parte del riesgo se concentra en el comportamiento cotidiano, no en la sofisticación técnica del atacante.
Tip del mes: el canal define el riesgo
Antes de enviar un archivo o un dato de la compañía, la verificación relevante no es el contenido sino el medio. Si el canal no forma parte de las herramientas corporativas autorizadas, no es el canal. Cuando la vía oficial resulta lenta o insuficiente para una necesidad operativa, corresponde escalarlo al área responsable, no resolverlo con un atajo.
Dos prácticas sostienen lo anterior: almacenar los documentos de trabajo exclusivamente en los repositorios corporativos, donde existen respaldo y control de accesos, y bloquear el equipo cada vez que se abandona el puesto.
La ciberseguridad no es responsabilidad exclusiva del área de TI. Cada acción cuenta para mantener la información Segura.
