Documento

ISACA

Prevencin de fuga de datos

Resumen
La Prevencin de fuga de datos (DLP) consiste en un conjunto de tecnologas dirigidas a detener la prdida de informacin sensitiva
que ocurre en empresas de todo el mundo. Al concentrarse en la ubicacin, clasificacin y monitoreo de informacin en reposo, en
uso y en movimiento, esta solucin puede ser una herramienta sumamente til para ayudar a las empresas a manejar la informacin
que poseen y a detener las numerosas fugas de informacin que ocurren da a da. La DLP no es una solucin tipo plug and play, es
decir que se conecta y se puede usar de inmediato. La aplicacin exitosa de esta tecnologa supone un alto grado de preparacin y el
debido mantenimiento continuo. Empresas que buscan integrar y poner en funcionamiento la DLP deberan prepararse para un esfuerzo
significativo que, si se realiza correctamente, puede reducir de manera considerable el riesgo para la organizacin. Quienes ponen
en prctica esta solucin deben asumir un enfoque estratgico que aborde los riesgos, impactos y pasos de mitigacin, junto con las
medidas de garanta y gobierno adecuadas.

Prevencin de fuga de datos

ISACA
Con 95.000 miembros en 160 pases, ISACA (www.isaca.org) es uno de los principales proveedores del mundo en el rea
de conocimiento, certificaciones, comunidad, apoyo y educacin en aseguramiento y seguridad de sistemas de informacin
(SI), gobierno empresarial y gerencia de TI, as como riesgos y cumplimiento relacionados con TI. Fundada en 1969, ISACA,
como ente independiente sin fines de lucro, organiza conferencias internacionales, publica el ISACA Journal y desarrolla
normas internacionales para el control y la auditora de sistemas de informacin, que ayudan a sus miembros a garantizar
la confianza y el valor de los sistemas de informacin. Asimismo, promueve y certifica destrezas y conocimientos en el
rea de TI a travs de las siguientes designaciones mundialmente reconocidas: Certified Information Systems AuditorTM
(Auditor Certificado en Sistemas de Informacin) (CISA), Certified Information Security Manager (Gerente Certificado
de Seguridad de la Informacin) (CISM), Certified in the Governance of Enterprise IT (Certificado en Gobierno de
Tecnologas de la Informacin Empresariales) (CGEIT) y Certified in Risk and Information Systems ControlTM (Certificado
en Riesgo y Control de Sistemas de Informacin) (CRISCTM). ISACA actualiza continuamente COBIT, lo que permite a los
profesionales y lderes empresariales en TI cumplir con sus responsabilidades de gestin y gobierno de TI, particularmente en
las reas de aseguramiento, seguridad, riesgo y control, para agregar valor al negocio.
Descargo de responsabilidad
ISACA ha diseado y creado Prevencin de fuga de datos (el Producto), ante todo como un recurso educativo para
profesionales en el rea de seguridad, gobierno y aseguramiento. ISACA no asume ninguna responsabilidad en el
sentido de que el uso del Producto garantizar un resultado exitoso. No se debe entender que el Producto incluye toda la
informacin, procedimientos o pruebas adecuadas o que excluye cualquier otra informacin, procedimientos y pruebas
que estn razonablemente dirigidos a obtener los mismos resultados. Al determinar la propiedad de cualquier informacin,
procedimiento o prueba especfica, los profesionales en seguridad, gobierno y aseguramiento deberan aplicar su propio
criterio a las circunstancias de control especficas que presenten los sistemas o el ambiente de tecnologa de informacin en
particular.
Reserva de derechos
2010 ISACA. Derechos reservados. Ninguna parte de la presente publicacin se podr utilizar, copiar, reproducir,
modificar, distribuir, exhibir, almacenar en un sistema de recuperacin de datos o transmitida de cualquier manera por
cualquier medio (electrnico, mecnico, fotocopia, grabacin o cualquier otro), sin el consentimiento escrito previo de
ISACA. La reproduccin y el uso de la totalidad o de partes de esta publicacin estn permitidos exclusivamente con fines
acadmicos, internos y no comerciales y para tareas de consultora/asesora, y deben incluir el crdito completo de la fuente
del material. No se autoriza ningn otro derecho o permiso con respecto a este producto.
ISACA
3701 Algonquin Road, Suite 1010
Rolling Meadows, IL 60008 EE.UU.
Telfono: +1.847.253.1545
Fax: +1.847.253.1443
Correo electrnico: info@isaca.org
Pgina Internet: www.isaca.org

Prevencin de fuga de datos

CRISC es marca registrada/de servicio de ISACA. La marca ha sido solicitada o registrada en pases de todo el mundo.
2

2010 ISACA. D

e r e c h o s

r e s e r v ad o s

Prevencin de fuga de datos

ISACA desea agradecer a:
Equipo de desarrollo del proyecto
Anthony P. Noble, CISA, CCP, Viacom Inc., USA, Presidente
Reza Kopaee, CISA, CISSP, CSLP, Deloitte & Touche LLP, Canad
Adel Melek, CISM, CISSP, CPA, Deloitte & Touche LLP, Canad
Nirvik Nandy, Ernst & Young, USA
Equipo de expertos de revisin
Gil Chilton, Capital One Financial, USA
Terry Griffith, CISM, CCE, CISSP, Capital One Financial, USA
Patrick Hanrion, CISM, CISSP-ISSAP, Microsoft, USA
Keith Lukes, TheBTO, USA
George Llano, CISM, CISSP, GCFA, GPEN, Viacom Inc., USA
Junta Directiva de ISACA
Emil DAngelo, CISA, CISM, Bank of Tokyo-Mitsubishi UFJ Ltd., USA, Presidente Internacional
Christos K. Dimitriadis, Ph.D., CISA, CISM, INTRALOT S.A., Grecia, Vicepresidente
Ria Lucas, CISA, CGEIT, Telstra Corp. Ltd., Australia, Vicepresidente
Hitoshi Ota, CISA, CISM, CGEIT, CIA, Mizuho Corporate Bank Ltd., Japn, Vicepresidente
Jose Angel Pena Ibarra, CGEIT, Alintec S.A., Mxico, Vicepresidente
Robert E. Stroud, CGEIT, CA Technologies, USA, Vicepresidente
Kenneth L. Vander Wal, CISA, CPA, Ernst & Young LLP (jubilado), USA, Vicepresidente
Rolf M. von Roessing, CISA, CISM, CGEIT, Forfa AG, Alemania, Vicepresidente
Lynn C. Lawton, CISA, FBCS CITP, FCA, FIIA, KPMG Ltd., Federacin Rusa, antiguo Presidente Internacional
Everett C. Johnson Jr., CPA, Deloitte & Touche LLP (jubilado), USA, antiguo Presidente Internacional
Gregory T. Grocholski, CISA, The Dow Chemical Co., USA, Director
Tony Hayes, CGEIT, AFCHSE, CHE, FACS, FCPA, FIIA, Gobierno de Queensland, Australia, Director
Howard Nicholson, CISA, CGEIT, CRISC, Ciudad de Salisbury, Australia, Director
Jeff Spivey, CPP, PSP, Gerencia de Seguridad de Riesgos, USA, ITGI Fideicomisario
Comit de Prcticas y Orientacin
Kenneth L. Vander Wal, CISA, CPA, Ernst & Young LLP (jubilado), USA, Presidente
Kamal N. Dave, CISA, CISM, CGEIT, Hewlett-Packard, USA
Urs Fischer, CISA, CRISC, CIA, CPA (suizo), Suiza
Ramses Gallego, CISM, CGEIT, CISSP, Entel IT Consulting, Espaa
Phillip J. Lageschulte, CGEIT, CPA, KPMG LLP, USA
Ravi Muthukrishnan, CISA, CISM, FCA, ISCA, Capco IT Service India Pvt. Ltd., India
Anthony P. Noble, CISA, CCP, Viacom Inc., USA
Salomon Rico, CISA, CISM, CGEIT, Deloitte, Mxico
Frank Van Der Zwaag, CISA, Westpac New Zealand, Nueva Zelanda

2010 ISACA. D

e r e c h o s

r e s e r v ad o s

Prevencin de fuga de datos

Afiliados y patrocinantes de ISACA y del IT Governance Institute (ITGI)
Instituto Americano de Contadores Pblicos Certificados
ASIS International
Centro de Seguridad en Internet
Commonwealth Association for Corporate Governance Inc.
FIDA Inform
Foro de Seguridad de la Informacin
Asociacin de Seguridad de Sistemas de Informacin
Institut de la Gouvernance des Systmes dInformation
Institute of Management Accountants Inc.
Captulos de ISACA
ITGI Japn
Universidad de Norwich
Escuela de Economa y Gerencia de Solvay, Bruselas
Escuela de Gerencia de la Universidad de Antwerp
Analytix Holdings Pty. Ltd.
BWise B.V.
Hewlett-Packard
IBM
Project Rx Inc.
SOAProjects Inc.
Symantec Corp.
TruArx Inc.

2010 ISACA. D

e r e c h o s

r e s e r v ad o s

Prevencin de fuga de datos

Introduccin
Durante la ltima dcada, las empresas se han hecho cada vez ms dependientes de la informacin digital para alcanzar
sus objetivos de negocio. En cualquier da normal de trabajo, volmenes significativos de informacin impulsan los
procesos comerciales que involucran la participacin de partes tanto dentro como fuera de los lmites de las redes de
las empresas. Estos datos pueden viajar por numerosas vas y de muchas maneras; mensajes de correo electrnico,
documentos de procesamiento de texto, hojas de clculo, archivos de bases de datos y mensajera instantnea son
apenas unos pocos ejemplos. Gran parte de esta informacin es inocua, pero en muchos casos, una buena parte se
clasifica como sensitiva o registrada, lo que indica que la misma tiene que ser protegida de acceso o exposicin no
autorizados. Esta necesidad puede ser resultado de factores externos, por ejemplo privacidad, as como de otros tipos de
reglamentaciones o internos, tales como objetivos empresariales para proteger informacin financiera, estratgica u otros
tipos de informacin competitiva.
La mayora de las empresas utiliza salvaguardas para controlar la informacin sensitiva. Sin embargo, a menudo estos
controles no son permanentes y se administran en diferentes puntos de la empresa con diferentes niveles de diligencia
y eficacia. El resultado es que a pesar de sus esfuerzos, en empresas a todo lo largo y ancho del mundo se producen
fugas de grandes volmenes de informacin sensitiva. Estas fugas generan un riesgo considerable para las empresas, sus
clientes y socios comerciales, y tienen el potencial de ejercer un impacto negativo sobre la reputacin del negocio, su
cumplimiento, ventajas competitivas, finanzas, confianza de los clientes y socios comerciales.

En un estudio publicado por la compaa

de investigacin en TI, TheInfoPro, la DLP
se clasific como de mxima prioridad
para los presupuestos de seguridad de
las empresas.

La preocupacin por esta necesidad de tener un mejor control y proteger

informacin sensitiva ha dado lugar a un nuevo conjunto de soluciones
dirigidas a mejorar la capacidad de una empresa para proteger sus activos
de informacin. Estas soluciones son variadas en cuanto a sus capacidades
y metodologas, pero, en conjunto, se han ubicado dentro de una categora
conocida como prevencin de fuga de datos (DLP). Si bien todava es una
tecnologa joven, la DLP se est adoptando cada vez ms y un nmero
creciente de productos est siendo lanzado al mercado. En un estudio publicado
a principios de este ao por la empresa de investigacin en TI TheInfoPro, la
DLP se calific como una primera prioridad para los presupuestos de seguridad
de las empresas.1

El presente documento ofrece una visin general de la DLP y explora los beneficios, riesgos y razones para que una
empresa la utilice. Asimismo, analiza factores importantes que se deben considerar al seleccionar y desplegar una
solucin de DLP. Finalmente, examina consideraciones sobre aseguramiento y gobierno relacionadas con la puesta en
funcionamiento de una solucin de DLP.
Cabe mencionar que si bien las soluciones de DLP tienen la capacidad de interceptar algunos intentos maliciosos o
delictivos de robo de informacin, la tecnologa todava no est suficientemente desarrollada para impedir mtodos
ms sofisticados de robo de datos. Afortunadamente, el consenso general es que estos casos constituyen una parte muy
pequea del riesgo general de la fuga de datos. En un informe publicado en marzo de 2009 por el Instituto Ponemon, se
estima que 88 por ciento de los incidentes relacionados con fuga de datos fueron debidos a negligencia por parte de los
usuarios y 12 por ciento se debi a intentos maliciosos.2 No obstante, este bajo porcentaje puede ser algo engaoso, pues
normalmente un porcentaje mucho mayor de robos maliciosos de datos que de prdidas accidentales conducir a acciones
adversas.

1
2

SC Magazine; Security Spending, DLP Projects to Increase, www.scmagazineus.com/security-spending-dlp-projects-to-increase/article/164337/

 rend Micro; Data-stealing Malware on the RiseSolutions to Keep Businesses and Consumers Safe, Focus Report Series, June 2009, USA, http://us.trendmicro.com/
T
imperia/md/content/us/pdf/threats/securitylibrary/data_stealing_malware_focus_report_-_june_2009.pdf
2010 ISACA. D

e r e c h o s

r e s e r v ad o s

Prevencin de fuga de datos

Definicin de la Prevencin de fuga de datos
La mayora de las soluciones de DLP incluye un conjunto de tecnologas que facilitan tres objetivos clave:
Ubicar y catalogar informacin sensitiva almacenada en la empresa
Monitorear y controlar el movimiento de informacin sensitiva a travs de las redes de la empresa
Monitorear y controlar el movimiento de informacin sensitiva en sistemas de usuarios finales
Estos objetivos estn asociados con tres estados de informacin bsicos: datos en reposo, datos en movimiento y
datos en uso. Cada uno de estos estados de datos es atendido por un conjunto especfico de tecnologas que ofrecen las
soluciones de DLP:
Datos en reposoUna funcin bsica de las soluciones de DLP es la capacidad de identificar y registrar dnde se
almacenan tipos especficos de informacin a lo largo y ancho de la empresa. Esto significa que la solucin de DLP
debe tener la capacidad de buscar e identificar tipos de archivo especficos, tales como hojas de clculo y documentos
de procesamiento de texto, ya sea que estn en servidores de archivos, redes de rea de almacenamiento (SAN) o
incluso puestos de trabajo de usuarios finales. Una vez encontrados, la solucin de DLP debe poder abrir estos archivos
y leer su contenido para determinar si estn presentes datos especficos, tales como nmeros de tarjetas de crdito o
de la seguridad social. Para realizar estas tareas, la mayora de los sistemas de DLP utilizan rastreadores, que son
aplicaciones que se despliegan en forma remota para que entren en cada sistema final y rastreen a travs de los
almacenes de datos, buscando y registrando conjuntos de informacin especficos con base en una serie de normas que
han sido introducidas en la consola de administracin de la DLP. La recopilacin de esta informacin es un paso muy
valioso que permitir a la empresa determinar dnde se encuentra la informacin clave, si su ubicacin est permitida
dentro de las polticas existentes y qu trayectos podran recorrer estos datos que violaran polticas de informacin.
Datos en movimiento (red)Para monitorear el movimiento de datos en las redes de una empresa, las soluciones
de DLP utilizan dispositivos de red especficos o tecnologa incrustada3 para capturar en forma selectiva y analizar
el trfico en la red. Cuando se envan archivos a travs de una red, por lo general se fragmentan en paquetes. Para
inspeccionar la informacin que se enva por la red, la solucin de DLP debe tener la capacidad de: monitorear de
manera pasiva el trfico en la red, reconocer las secuencias de datos correctas que se van a capturar, ensamblar los
paquetes recolectados, reconstruir los archivos transportados en el sistema de datos y luego realizar el mismo anlisis
que se efecta a los datos en reposo para determinar si alguna parte del contenido del archivo est restringida por
su conjunto de reglas. El ncleo de esta capacidad es un proceso conocido como inspeccin profunda de paquetes
(DPI), que permite al componente de datos en movimiento de la DLP ejecutar estas tareas. La DPI va ms all
de la informacin bsica de encabezamiento de un paquete (la cual es similar a la informacin de destinatario y
remitente que se encuentra en un sobre postal) para leer el contenido dentro de la carga del paquete (como la carta
dentro del sobre postal). Si bien esta tecnologa ha evolucionado a lo largo de los aos, todava es imperfecta; no
obstante, ha aumentado su poder de procesamiento y nuevas formas de identificacin de paquetes han contribuido
considerablemente a su desarrollo. Esta capacidad de DPI permite al sistema de DLP inspeccionar datos en trnsito y
determinar contenido, fuente y destino. Si se detecta que datos sensitivos estn fluyendo hacia un destino no autorizado,
la solucin de DLP tiene la capacidad de alertar y opcionalmente bloquear los flujos de datos en tiempo real o casi
real, nuevamente con base en el conjunto de reglas definidas dentro de su componente de administracin central.
Basndose en el conjunto de reglas, la solucin tambin puede poner en cuarentena o encriptar los datos en cuestin.
Una consideracin importante para la DLP de una red es que se deben desencriptar los datos antes de que la solucin
de DLP los pueda inspeccionar. La solucin de DLP debe tener la capacidad de hacer esto por s misma (al contar con
esta funcin y las claves de encriptacin necesarias) o debe haber un dispositivo que desencripte el trfico antes de la
inspeccin por el mdulo de DLP, y lo encripte nuevamente luego de que hayan sido inspeccionados los datos y se les
haya permitido pasar.

 lgunas capacidades de DLP estn embebidas en los sistemas de red, por ejemplo cortafuegos y servidores de correo electrnico, en lugar de funcionar como equipos
A
dedicados.

2010 ISACA. D

e r e c h o s

r e s e r v ad o s

Prevencin de fuga de datos

Datos en uso (puesto de trabajo)Los datos en uso tal vez sean el aspecto ms desafiante de la DLP. Estos datos
se refieren principalmente al monitoreo del movimiento de datos que se deriva de acciones que ejecutan los usuarios
finales en sus estaciones de trabajo, tales como copiar datos a una unidad USB, enviar informacin a una impresora
o incluso cortar y pegar entre aplicaciones. Las soluciones de DLP por lo general ejecutan estas funciones usando un
programa de software conocido como agente, el cual en el caso ideal est controlado por las mismas capacidades de
administracin central de la solucin de DLP general. La ejecucin de conjuntos de reglas en un sistema de usuario
final tiene limitaciones inherentes a ella, siendo la ms importante que el sistema de usuario final debe tener la
capacidad de procesar el conjunto de reglas aplicadas. Dependiendo del nmero y la complejidad de las reglas que se
estn ejecutando, podra ser necesario ejecutar solo una parte de ellas, lo que puede dejar brechas significativas en la
solucin en general.
Para ser considerada una solucin de DLP completa, debe contar con la capacidad de atender los tres estados de
informacin y estar integrada por una funcin de administracin centralizada. La gama de servicios disponibles en la
consola de administracin vara de un producto a otro, pero muchos, si acaso no la mayora de ellos, comparten las
siguientes funciones:
Creacin y administracin de polticasLas polticas (conjuntos de reglas) dictan las acciones que toman los
diferentes componentes de la DLP. La mayora de las soluciones de DLP vienen con polticas (reglas) previamente
configuradas que hacen referencia a reglamentaciones comunes, por ejemplo a las dos siguientes leyes estadounidenses:
la Ley de Portabilidad y Responsabilidad de Seguros Mdicos (HIPAA) y la Ley Gramm-Leach-Bliley (GLBA). Es
igualmente importante poder personalizar estas polticas o desarrollar polticas que estn totalmente adaptadas a las
necesidades especficas.
Integracin de servicios de directorioLa integracin con servicios de directorio permite a la consola de DLP
mapear una direccin de red a un usuario final especfico.
Administracin del flujo de trabajoLa mayora de las soluciones de DLP completas ofrecen la capacidad de
configurar el manejo de incidentes, lo que permite al sistema de administracin central enrutar incidentes especficos a
las partes adecuadas con base en el tipo de violacin, gravedad, usuario y otros criterios similares.
Respaldo y restitucinLas funciones de respaldo y restitucin permiten la preservacin de polticas y otros valores
de configuracin.
Elaboracin de informesUna funcin de elaboracin de informes puede ser interna o utilizar herramientas externas
para el mismo propsito.

Enfoque del programa de DLP

La puesta en funcionamiento de una
solucin de DLP es una tarea compleja
que requiere considerables actividades
preparatorias.

La aplicacin de una solucin de DLP es una tarea compleja que requiere

considerables actividades preparatorias, tales como desarrollo de polticas,
anlisis de procesos comerciales e inventarios detallados y anlisis de los
tipos de informacin que utiliza la empresa. Estas actividades requieren la
participacin de una amplia base de actores tanto de las unidades de negocio
como de TI que la solucin apoya. Las secciones siguientes describen las
consideraciones clave para cada etapa del proceso de ejecucin.

2010 ISACA. D

e r e c h o s

r e s e r v ad o s

Prevencin de fuga de datos

Clasificacin, ubicacin y trayectos de los datos de la organizacin

A menudo las empresas no estn conscientes de todos los tipos y ubicaciones de la informacin que poseen. Es
importante, antes de adquirir una solucin de DLP, identificar y clasificar los tipos de datos sensitivos y su flujo de
un sistema a otro y a los usuarios. Este proceso debera producir una taxonoma de datos o un sistema de clasificacin
que aprovecharn diversos mdulos de DLP mientras buscan y toman acciones con respecto a la informacin que
corresponde a las diversas clasificaciones dentro de la taxonoma. El anlisis de procesos de negocio crticos debera
producir la informacin requerida. Las clasificaciones pueden incluir categoras tales como datos privados de clientes
o empleados, datos financieros y propiedad intelectual. Una vez que los datos han sido identificados y clasificados
debidamente, el anlisis ulterior de los procesos debera facilitar la ubicacin de almacenes de datos primarios y trayectos
de datos clave. Con frecuencia, se dispersan mltiples copias y variaciones de los mismos datos a travs de toda la
empresa en servidores, estaciones de trabajo, cintas y otros medios. Usualmente se hacen copias para facilitar probar la
aplicacin sin limpiar antes los datos de contenido sensitivo. Tener una buena idea de las clasificaciones de datos y la
ubicacin de los almacenes de datos primarios es til tanto para la seleccin como para la ubicacin de la solucin de
DLP. Luego de que ha sido instalada la solucin de DLP, podr ayudar a encontrar otras ubicaciones y trayectos de datos.
Tambin es importante entender el ciclo de vida de los datos de la empresa. Entender el ciclo de vida desde el punto
de origen, pasando por el procesamiento, mantenimiento, almacenamiento hasta la eliminacin de los datos, ayudar a
descubrir repositorios de datos adicionales y vas de transmisin.
Se debe recopilar informacin adicional a travs de un inventario de todos los puntos de salida de datos, ya que no todos
los procesos de negocios estn documentados y no todo movimiento de datos es resultado de un proceso establecido.
Elanlisis de los conjuntos de reglas para el enrutador y el cortafuegos puede contribuir con estos esfuerzos.

Establecimiento y socializacin de procesos y polticas de alto nivel

Una vez que se ha ubicado y clasificado la informacin, se debern crear
polticas o modificarlas para definir clasificaciones especficas y el manejo
apropiado de cada categora. Las polticas de clasificacin de datos debern
mantenerse lo ms sencillas posible.

Una vez que se ha ubicado y clasificado

la informacin, se debern crear polticas
o modificarlas para definir clasificaciones
especficas y el manejo apropiado de
cada categora.

Luego de que se hayan establecido las polticas, se deber desarrollar un plan

de flujo de trabajo de alto nivel. Este plan deber incluir las categoras de datos
establecidas como objetivos, las acciones que se van a tomar (y por parte de
quin) para atender las violaciones, los procesos de escalacin y cualquier
proceso necesario para las solicitudes excepcionales. Adems se debern establecer procesos para casos fuera del
horario de trabajo y das feriados, cuando tal vez no estn disponibles las personas clave. Es importante que los procesos
fuera del horario de trabajo cuenten con procedimientos claros y bien documentados, que en ellos participen personas
que puedan tomar decisiones apropiadas y bien fundamentadas y que los actores pertinentes documenten y revisen
debidamente cualquier decisin que se tome para manejar casos excepcionales fuera del horario de trabajo. Deber existir
un proceso formal para el manejo de excepciones, el cual deber documentar toda la informacin relevante relativa a la
excepcin en particular. Asimismo es importante asegurar que existan procesos adecuados para el manejo de incidentes y
que los mismos sean funcionales para cada una de las categoras de reglas antes de iniciar las actividades reales.

2010 ISACA. D

e r e c h o s

r e s e r v ad o s

Prevencin de fuga de datos

Puesta en prctica

Las empresas debern considerar seriamente poner en prctica la DLP inicialmente en un modo solo de monitoreo.
De esta manera, se podr poner a punto el sistema y predecir los impactos para los procesos de negocios y la cultura
de la organizacin. Permitir que las alertas activadas por el sistema generen conciencia y den lugar a cambios de
comportamiento por lo general suele ser un mejor enfoque que bloquear flujos de trfico y correr el riesgo de desbaratar
los procesos de negocio. Aunque los cuadros directivos tal vez tengan preocupaciones importantes por el volumen de
datos sensitivos que se escapan por la puerta luego de activar el sistema, iniciar el bloqueo real demasiado pronto
puede provocar problemas aun mayores pues interrumpe u obstaculiza seriamente los procesos de negocios crticos.
Loque se espera es que estos procesos se identifiquen durante la etapa de preparacin, pero con frecuencia se pasan
cosas por alto que rpidamente salen a la luz cuando se activa la solucin de DLP.

Resolucin de violaciones

Las soluciones de DLP, por lo general, proporcionan una buena cantidad de informacin til con respecto a la ubicacin
y las vas de transmisin de la informacin sensitiva. Sin embargo, a veces esto puede convertirse en una caja de
Pandora. Una empresa puede desconcertarse rpidamente ante el volumen y la extensin de sus datos sensitivos y la
prdida de los mismos y tal vez pueda estar inclinada a apresurarse y tratar de atender todos los problemas al mismo
tiempo, lo que seguro es una frmula para el desastre. Es importante que una empresa est preparada para emplear un
enfoque basado en riesgo a fin de priorizar y tratar los hallazgos en la forma ms expeditiva posible. Todos los actores
clave deben participar en este proceso, ya que el mismo a menudo implica dejar que un problema contine por un tiempo
mientras se atiende uno ms serio. El anlisis y las decisiones subsiguientes en relacin con el proceso debern estar bien
documentados y mantenerse en anticipacin a futuras auditoras o investigaciones reglamentarias.

Programa DLP en curso

Se debe monitorear de cerca la solucin de DLP y entregar informes peridicos de riesgo, cumplimiento y privacidad
a los actores pertinentes (por ejemplo, gestin de riesgo, gestin de cumplimiento, equipo de privacidad y recursos
humanos [RR.HH.]).
Se deben seguir revisando y optimizando las reglas de DLP, pues las soluciones de DLP no informarn a los
administradores si una regla es demasiado amplia y podra tener un impacto importante de desempeo en la
infraestructura de DLP. Las empresas debern asegurarse de que todos los actores sean diligentes en cuanto a informar
cualquier nuevo formato o tipo de dato que tal vez no est representado en el conjunto de reglas de DLP existente.
Se debe disponer de un ambiente de prueba y evaluacin que se utilizar para probar el impacto de los parches y
actualizaciones de la solucin de DLP. Finalmente, es importante dar continuidad a los programas de creacin de
conciencia y adiestramiento, los cuales podran ser reforzados con las capacidades de alerta y generacin de informes de
la solucin de DLP.

2010 ISACA. D

e r e c h o s

r e s e r v ad o s

Prevencin de fuga de datos

Beneficios de DLP para el negocio
Igual que con cualquier conjunto de controles de seguridad, la puesta en
prctica de la DLP debera apoyar los objetivos de negocios y ofrecer un
Igual que con cualquier conjunto de
beneficio tangible al negocio. La lista siguiente destaca algunos de los
controles de seguridad, la puesta en
beneficios ms directos de una solucin de DLP que ha sido puesta en
funcionamiento correctamente:
prctica de la DLP debera apoyar los
Protege los datos crticos del negocio y la propiedad intelectualEl
objetivos de negocios y ofrecer un beneficio principal beneficio de DLP es la proteccin de la informacin que es crtica
tangible al negocio.
para el negocio. Las empresas mantienen muchos tipos de informacin
que deben proteger por razones legales, de reputacin y de competencia.
Por ejemplo, informacin sobre clientes, registros personales, informacin
de salud, registros financieros confidenciales, documentos de diseo de
productos, planes comerciales e investigacin bajo patente son apenas unos
cuantos casos.
Mejora el cumplimientoLa DLP puede ayudar a que las empresas cumplan los requerimientos legales relacionados
con la proteccin y el monitoreo de datos que contienen informacin privada financiera y sobre los clientes. Las
soluciones de DLP por lo general vienen con reglas previamente configuradas que abordan tipos de datos que han sido
impactados por normativas legales importantes, tales como la industria de tarjetas de pago (PCI), GLBA y HIPAA. El
uso de estos conjuntos de reglas puede simplificar los esfuerzos para proteger los datos afectados por estas normativas.
Reduce el riesgo de violacin de los datosAl reducir el riesgo de fugas de datos, disminuye el riesgo financiero para
la empresa. En su informe para 2009, el Instituto Ponemon estim que el costo promedio de la fuga de datos en Estados
Unidos es de $20 por registro.4 Incluso con violaciones relativamente pequeas de los registros que podran ascender a
miles, cada incidente representa potencialmente un impacto financiero importante.
Mejora el adiestramiento y la concienciaAunque la mayora de las empresas cuenta con polticas escritas,
las mismas tal vez hayan sido olvidadas al pasar el tiempo. Las soluciones de DLP alertan, y a veces bloquean, el
movimiento de datos que est violando la poltica y ofrece educacin en lnea para garantizar que los usuarios siempre
estn conscientes de las polticas asociadas con datos sensitivos.
Mejorar los procesos de negociosUno de los principales intangibles de la DLP es el desarrollo de nuevas polticas,
controles y pruebas que permiten identificar procesos de negocio interrumpidos. A menudo, el paso de simplemente
evaluar y catalogar los procesos de negocio en preparacin a la puesta en funcionamiento de la DLP puede ofrecer una
excelente perspectiva a la empresa.
Optimiza el espacio en disco y el ancho de banda de la redUn importante beneficio de las soluciones de DLP
es la identificacin de archivos estancados y videos que se estn cargando, los cuales consumen una gran cantidad
de recursos de TI, tales como almacenamiento en servidores de archivos y ancho de banda de la red. Depurar los
archivos inactivos y evitar que se carguen videos no relacionados con el negocio puede reducir las necesidades de
almacenamiento, respaldo y ancho de banda.
Detecta software malicioso o ilegalOtro intangible clave de la DLP es su capacidad de identificar software
malicioso que trata de transmitir informacin sensitiva a travs del correo electrnico o una conexin de Internet.
La DLP en la red puede ayudar a reducir el dao causado por software malicioso pues detecta la transmisin ilegal
de informacin sensitiva fuera de la empresa, lo que tal vez no siempre sea as, pues las transmisiones pueden estar
encriptadas. Pero incluso en ese caso, un sistema que cuente con un conjunto de reglas que alerten o bloqueen el flujo
de datos que no puede desencriptar ser una excelente ayuda para las defensas contra software malicioso.

Ponemon Institute; Ponemon Study Shows the Cost of a Data Breach Continues to Increase, USA, 2009, www.ponemon.org/news-2/23

10

2010 ISACA. D

e r e c h o s

r e s e r v ad o s

Prevencin de fuga de datos

Consideraciones de seguridad y riesgo
Igual que con cualquier solucin de TI
compleja, la puesta en funcionamiento
de un programa de DLP, de no manejarse
debidamente, puede representar una serie
de riesgos para la empresa.

Igual que con cualquier solucin de TI compleja, la puesta en funcionamiento

de un programa de DLP, de no manejarse debidamente, puede representar
una serie de riesgos para la empresa. Muchos de estos riesgos pueden tener
un impacto directo en las operaciones del negocio, por lo tanto, es importante
tomar las medidas de mitigacin adecuadas y que los actores en el negocio
participen en todo momento en este proceso. La Figura 1 presenta una
lista de los riesgos operacionales clave que se relacionan con la puesta en
funcionamiento de la DLP.

Figura 1Riesgos operacionales relacionados con la puesta en funcionamiento de la DLP

Impacto

Estrategia de mitigacin

Mdulos de DLP mal ajustados en la red

Riesgo

Interrupcin de procesos de negocio

Prdida de tiempo y de ingresos
Dao a las relaciones con clientes o socios
comerciales
Prdida de apoyo de los actores del negocio

Se debe poner a punto y probar correctamente

el sistema de DLP antes de activar el bloqueo
real de contenido. Activar el sistema en modo
solo de monitoreo permitir ponerlo a punto
y ofrecer la oportunidad de alertar a los
usuarios acerca de procesos y actividades
que estn incumpliendo las reglas, de
modo que se puedan emprender los ajustes
correspondientes. La participacin de los
actores adecuados del rea de TI y negocios
en las etapas de planificacin y monitoreo
permitir garantizar que se anticipen y
mitiguen las interrupciones a los procesos. Por
ltimo, se deben establecer algunos medios
de accesibilidad en caso de que se est
bloqueando contenido crtico fuera de las horas
de trabajo, cuando el equipo que administra la
solucin de DLP no est disponible.

Un mdulo de DLP de red mal dimensionado

Prdida o eliminacin de paquetes de red

que permiten que algunos datos pasen sin
ser inspeccionados

Garantizar que el tamao del mdulo de

DLP sea el adecuado para el volumen de
trfico en la red es una consideracin de
diseo crtica. Sin embargo, es igualmente
importante monitorear los mdulos de red
de la DLP para asegurar que el trfico en la
red no se incremente en el tiempo hasta un
punto tal que haga que el mdulo pierda su
efectividad.

2010 ISACA. D

e r e c h o s

r e s e r v ad o s

11

Prevencin de fuga de datos

Figura 1Riesgos operacionales relacionados con la puesta en funcionamiento de la DLP (cont.)
Riesgo

Impacto

Estrategia de mitigacin

Exceso de informes y falsos positivos

Prdida de tiempo del personal

Omisin de amenazas ciertas
Tendencia a ignorar registros en el tiempo

Igual que un sistema de deteccin de

intrusiones (IDS) mal configurado, las
soluciones de DLP pueden registrar
cantidades considerables de falsos positivos,
que sobrecargan al personal y pueden hacer
que se pasen por alto ataques reales. Evite
el uso excesivo de patrones de plantillas o
soluciones tipo caja negra que no permiten
un alto grado de personalizacin. El rasgo
ms importante de una solucin de DLP
es la capacidad de personalizar las reglas
o plantillas de acuerdo con los patrones
de datos especficos de la organizacin.
Igualmente es importante que el sistema se
desarrolle en fases, concentrndose primero
en las reas de ms alto riesgo. Tratar de
monitorear demasiados patrones de datos
o permitir demasiados puntos de deteccin
desde un principio puede sobrecargar
rpidamente los recursos.

Conflictos con software o rendimiento del

sistema

Tiempo de inactividad del sistema

Degradacin del rendimiento
Interrupcin de la DLP o de otros controles
o procesos

Los sistemas de DLP, en particular los

rastreadores y agentes de puntos de destino,
pueden entrar en conflicto con otro software
en el sistema y el rendimiento. Antes del
despliegue, se debe dejar un margen para
una extensa planificacin y pruebas. Lo ideal
es disponer de un ambiente de pruebas
y evaluacin permanente. Verifique con
el proveedor si hay conflictos conocidos.
Asegrese de que los rastreadores estn
correctamente configurados y puestos a
punto y que su operacin est programada
de tal manera que no permita ventanas pico
de procesamiento del sistema. Cuando sea
posible evitarlo, no se deben programar
exploraciones sobre puestos de trabajo para
horas de trabajo pico o cuando los sistemas
estn conectados en forma remota. Adems,
cercirese de que todos los parches y
actualizaciones hayan sido probados dentro
del ambiente de prueba antes del despliegue
para produccin.

12

2010 ISACA. D

e r e c h o s

r e s e r v ad o s

Prevencin de fuga de datos

Figura 1Riesgos operacionales relacionados con la puesta en funcionamiento de la DLP (cont.)
Riesgo

Impacto

Estrategia de mitigacin

Cambios en procesos o infraestructura de

TI que hacen que los controles de la DLP
pierdan su eficacia

Reduccin de la eficacia de la DLP debido a El administrador o un representante del

que se evaden los controles de la misma
sistema de DLP deber participar en el cambio
de los procesos de control a fin de garantizar
que los cambios realizados no evadan o
degraden de cualquier otra manera las
capacidades de la DLP. Adems, la empresa
deber estar bien preparada para los cambios
relacionados con la DLP para reducir el riesgo
de que se pase por alto en forma intencional el
sistema de DLP en aras de la eficiencia.

Mdulos de red de DLP mal colocados

Flujos de datos perdidos o no

inspeccionados

Es importante asegurarse de la colocacin

adecuada de los mdulos de red de la DLP.
Asegrese de que estn disponibles mapas
de red precisos y de que los mdulos se
coloquen en los puntos de salida ms
externos para los flujos de datos que la
empresa desea
monitorear.

Falla no detectada de los mdulos de DLP

Datos no inspeccionados debido a falla

parcial o total del mdulo

Los mdulos de DLP pueden fallar, pero no

siempre informan su estado a la consola.
Es importante realizar pruebas peridicas
para garantizar que los mdulos y los filtros
asociados a ellos estn funcionando de
acuerdo con lo esperado.

Servicios de directorio incompletos o mal

configurados

Incapacidad para rastrear violaciones a los

usuarios finales apropiados

El servicio de directorio constituye la conexin

clave entre una direccin de red y un usuario
real, y la mayora de las empresas desea
contar con este proceso en oposicin a la
deteccin manual de esta informacin, la
que puede consumir demasiado tiempo y
no siempre es posible. Las empresas que
tienen servicios de directorio incompletos
o que carecen de ellos debern considerar
cubrir esta brecha antes de poner en
funcionamiento una solucin de DLP.

Limitaciones de la DLP
Aunque las soluciones de DLP pueden ser
muy tiles para que una empresa tenga
una mayor perspectiva y control de los
datos sensitivos, los actores tienen que
estar conscientes de sus limitaciones y de
las deficiencias en las soluciones de DLP.

Aunque las soluciones de DLP pueden ser muy tiles para que una empresa
tenga una mayor perspectiva y control de los datos sensitivos, los actores
tienen que estar conscientes de sus limitaciones y de las deficiencias en
las soluciones de DLP. Entender estas limitaciones es el primer paso en el
desarrollo de estrategias y polticas que permitirn compensar las limitaciones
de la tecnologa. Algunas de las limitaciones ms importantes comunes entre
las soluciones de DLP son las siguientes:

2010 ISACA. D

e r e c h o s

r e s e r v ad o s

13

Prevencin de fuga de datos

EncriptacinLas soluciones de DLP solo pueden inspeccionar la informacin que primero pueden desencriptar. Para
ello, los agentes de DLP, los dispositivos de red y los rastreadores deben tener acceso y poder utilizar las claves de
desencriptacin adecuadas. Si los usuarios tienen la capacidad de usar paquetes de encriptacin personales en caso de
que las claves no sean administradas por la empresa y suministradas a la solucin de DLP, no se pueden analizar los
archivos. Para mitigar este riesgo, las polticas deben prohibir la instalacin y el uso de soluciones de encriptacin que
no se administren en forma centralizada; asimismo, se debe educar a los usuarios en el sentido de que cualquier cosa
que no pueda ser desencriptada para inspeccin (lo que significa que la solucin de DLP tiene la clave de encriptacin)
finalmente ser bloqueada.
GrficosLas soluciones de DLP no pueden interpretar archivos grficos de modo inteligente. Debido a la incapacidad
de bloquear o inspeccionar manualmente toda informacin de este tipo, se producir una brecha importante en la
capacidad que tiene una empresa de controlar su informacin. La informacin sensitiva que se digitaliza en un archivo
grfico o la propiedad intelectual que existe en un formato grfico, por ejemplo documentos de diseo, entraran
en esta categora. Las empresas que tienen una cantidad importante de propiedad intelectual en formato grfico
debern desarrollar polticas slidas que rijan el uso y la divulgacin de esta informacin. Aunque las soluciones de
DLP no pueden leer en forma inteligente el contenido de un archivo grfico, s pueden identificar tipos de archivos
especficos, su fuente y su destino. Esta capacidad, combinada con un anlisis de trfico bien definido, puede identificar
movimientos no caractersticos de este tipo de informacin y proporcionar cierto grado de control.
Otros proveedores de servicioCuando una empresa enva su informacin sensitiva a un tercero de confianza,
inherentemente est confiando en que el proveedor de servicio aplica el mismo nivel de control de fugas de
informacin, ya que las soluciones de DLP de la empresa pocas veces se extienden hasta la red de los proveedores
de servicio. Un programa slido de gestin de terceros, que incorpora lenguaje contractual efectivo y un programa de
auditora de apoyo, puede contribuir a mitigar este riesgo.
Servicios mvilesCon la llegada de los equipos de computacin mviles, tales como telfonos inteligentes, es
indudable que hay canales de comunicacin que no se pueden monitorear o controlar fcilmente. El servicio de
mensajes de texto cortos (SMS) es el protocolo de comunicacin que permite enviar mensajes de texto y es un ejemplo
clave. Otra consideracin es la capacidad de muchos de estos equipos de utilizar Wi-Fi o incluso de convertirse en un
punto caliente (hotspot) de Wi-Fi. Ambos casos permiten comunicacin fuera de banda que no puede ser monitoreada
por parte de la mayora de las empresas. Por ltimo, la capacidad de muchos de estos equipos de capturar y almacenar
fotografas digitales e informacin de audio representa otra posible brecha. Si bien se estn alcanzando ciertos avances
en esta rea, las grandes limitaciones del poder de procesamiento y administracin centralizada siguen constituyendo
un reto. De nuevo, la mejor manera de enfrentar esta situacin es desarrollando polticas slidas y fomentando la
educacin de los usuarios para instarlos a que usen debidamente estos equipos.
Apoyo multilingePocas soluciones de DLP ofrecen apoyo multilinge, pero prcticamente todas las consolas de
administracin trabajan con el idioma ingls. Tambin es cierto que por cada idioma y juego de caracteres adicionales
que el sistema debe soportar, se incrementan tanto los requerimientos de procesamiento como los tiempos de anlisis.
En tanto los proveedores no reconozcan una demanda suficiente para atender esta deficiencia, no quedan muchos
recursos ms que buscar otros mtodos para controlar las fugas de informacin en idiomas diferentes al ingls. Las
empresas multinacionales deben considerar cuidadosamente esta deficiencia potencial cuando evalen y desplieguen
una solucin de DLP.
Estos puntos no tienen la intencin de desalentar la adopcin de la tecnologa de DLP. El nico recurso para la mayora
de las empresas es la adopcin de polticas de conducta y controles de seguridad fsicos que complementen la serie de
controles tecnolgicos que estn disponibles hoy en da, tales como:
Supeditacin a una nica solucinEn este momento no existe portabilidad de los conjuntos de reglas entre las
diferentes plataformas de DLP, lo que quiere decir que cambiar de un proveedor a otro o integrarse con una solucin
adquirida por una organizacin puede requerir un trabajo considerable para reproducir un conjunto complejo de reglas
en un producto diferente.

14

2010 ISACA. D

e r e c h o s

r e s e r v ad o s

Prevencin de fuga de datos

Apoyo limitado al sistema operativo clienteMuchas soluciones de DLP no ofrecen agentes de DLP en los puntos de
destino para sistemas operativos como Linux y Mac, pues su uso como clientes en la empresa es mucho menos comn.
Sin embargo, esto da lugar a una deficiencia potencialmente importante para las empresas que tienen varios de estos
clientes. Este riesgo solo se puede abordar por medio de polticas orientadas hacia el comportamiento o requiere el uso
de soluciones personalizadas que no suelen estar integradas en la plataforma de DLP de las empresas.
Apoyo entre aplicacionesLas funciones de la DLP tambin pueden estar limitadas por el tipo de aplicacin. Un
agente de DLP que no pueda monitorear las manipulaciones de datos de una aplicacin no podr hacerlo para otra en
el mismo sistema. Las empresas deben asegurarse de que todas las aplicaciones que pueden manipular datos sensitivos
estn identificadas y deben verificar que la solucin de DLP sea compatible con ellas. En aquellos casos en los que
existan aplicaciones con las cuales no haya compatibilidad, tal vez sean necesarias otras acciones a travs de las
polticas o, de ser factible, la eliminacin de la aplicacin especfica.

Consideraciones en cuanto a cambios y gobierno

Antes de seleccionar y poner en
funcionamiento la tecnologa de DLP, es
importante garantizar que se desarrollen
polticas adecuadas para regir su uso.

 a introduccin de una solucin de DLP para una empresa puede tener un

L
impacto sobre muchos sistemas de TI y procesos de negocio. Estos impactos
pueden implicar cambios considerables a procesos de negocio que tienen
mucho tiempo, un incremento de los gastos generales en sistemas clave
y modificaciones de las configuraciones del sistema y la red. Antes de
seleccionar y poner en funcionamiento una tecnologa de DLP, es importante
asegurarse de que se hayan desarrollado las polticas adecuadas para regir su
uso. Es igualmente importante que en el desarrollo de una poltica de DLP
participen los actores clave que entiendan qu informacin se debe restringir
y por qu. En una presentacin reciente en una reunin sobre gestin de
riesgo y seguridad organizada por Gartner, el analista de esta empresa, Eric
Ouellett, observ lo siguiente:

Las organizaciones subestiman la necesidad de la participacin de unidades de negocio que no pertenezcan

al rea de TI. En muchos casos, realmente no es apropiado que la gente de TI tenga que analizar lo que los
sistemas de DLP puedan estar reportando en cuanto a problemas de cumplimiento con la proteccin de datos,
pero en la prctica, el monitoreo de DLP algunas veces no funciona bien en las manos de la gente del negocio
que sera la ms adecuada.5
La clave es que las personas correctas en la empresa deben participar en el desarrollo inicial de polticas as como cuando
el programa de DLP se est aplicando, pues ellas sern determinantes a la hora de tomar las decisiones apropiadas en
caso de violaciones. El propietario de datos de negocio que tenga una idea del contexto estar mucho ms equipado
para tomar estas decisiones que un analista de seguridad de TI. Asimismo es importante que estos actores entiendan por
completo las ramificaciones de los cambios esperados y que exista una preparacin adecuada para evitar un impacto
negativo para estos procesos de negocio.
Adems, cabe destacar que es importante reconocer que los cambios significativos al proceso de negocio o
procedimientos que tiene mucho tiempo instaurados puede tener impactos mucho ms extensos sobre la cultura de
la empresa. Pese a los mejores esfuerzos para comunicarse y educarse antes de la puesta en funcionamiento, algunas
personas tal vez no entiendan o acepten los cambios y busquen vas para evadir los nuevos controles, introduciendo as

 etwork World; Too many data-loss prevention tools become shelfware, says analyst, 22 June 2010, www.networkworld.com/news/2010/062210-data-loss-preventionN
tools.html
6
ISACA; An Introduction to the Business Model for Information Security, USA, 2009, www.isaca.org/Knowledge-Center/BMIS/Documents/IntrotoBMIS.pdf
5

2010 ISACA. D

e r e c h o s

r e s e r v ad o s

15

Prevencin de fuga de datos

un mayor riesgo para la empresa. Entender la naturaleza sistmica de la gestin de seguridad de la informacin, tal como
la que se describe en la publicacin de investigacin de ISACA An Introduction to the Business Model for Information
Security,6 puede ayudar a desarrollar estrategias para enfrentar este riesgo.
Las empresas deben asegurar que se aplique un enfoque basado en riesgo cuando se ponga en funcionamiento una
solucin de DLP. Incluso cuando se despliegue en modo solo de monitoreo, es fcil abrumarse con el volumen de
informacin presentada por el sistema. Cuando esto ocurra, existe una clara posibilidad de que la solucin sea desechada
hasta el punto de que sea ineficaz o de que a la larga se ignore, como sucedi con muchos primeros sistemas de
deteccin de intrusiones (IDS). Un enfoque que estn empleando algunas empresas consiste en poner en funcionamiento
la DLP solo para sistemas o protocolos especficos que han determinado como de alto riesgo. Un nico canal que con
frecuencia se cubre es el del correo electrnico, pues a menudo presenta el mximo riesgo de prdida de datos para una
empresa.

Consideraciones sobre aseguramiento para la DLP

Los profesionales en aseguramiento tienen la tarea de garantizar que la
Los profesionales en aseguramiento tienen solucin de DLP se despliegue, administre y gobierne correctamente, lo que
implica entender claramente los riesgos, as como monitorear constantemente
la tarea de garantizar que la solucin de cuatro reas clave:
DLP se despliegue, administre y gobierne Estrategia y gobierno empresarialRevisar la estrategia de proteccin de
datos para examinar si est acorde con los objetivos de negocio y sus riesgos.
correctamente.
Prestar atencin a los riesgos indirectos en caso de que la informacin
confidencial pueda ser objeto de abuso por parte de competidores. Evaluar
si hay puntos de verificacin para mantener la estrategia de datos en lnea
con los cambiantes objetivos de negocio. Verificar si existe un marco de
gobierno claro que permita orquestar acciones entre las personas, procesos y
tecnologa. Verificar si estn siendo consideradas todas las leyes, legislacin
y leyes de privacidad aplicables.
La genteVerificar si los actores adecuados estn comprometidos durante y despus de poner en funcionamiento la
DLP. Los actores clave son, entre otros:
Legal, privacidad, seguridad corporativa, seguridad de la informacin
Ingeniera y operaciones de TI
RR.HH. y representantes de los empleados
Representantes de las lneas de negocio clave
Gerencia ejecutiva
Revisar el programa de conciencia y adiestramiento para garantizar que los empleados estn conscientes de sus
funciones y responsabilidades. Garantizar que el personal necesario para manejar la informacin confidencial est
bien adiestrado de acuerdo con la poltica de seguridad de la empresa y que solo personal con una necesidad de
negocio tenga acceso a la informacin confidencial. Asimismo, garantizar que los actores adecuados participen en la
identificacin de datos sensitivos y el flujo de trabajo que evale y aborde las violaciones de la poltica de DLP.
Procesos de negocioRevisar los procesos de negocio con acceso a informacin confidencial y determinar si ese
acceso es necesario para ejecutar cada proceso. Identificar la necesidad de acceso a informacin confidencial desde
procesos de negocio es uno de los mtodos ms seguros para proteger esos datos. Adems, debern existir procesos
adecuados para el monitoreo, deteccin, calificacin, manejo y cierre de los incidentes de fuga de datos.

16

2010 ISACA. D

e r e c h o s

r e s e r v ad o s

Prevencin de fuga de datos

TecnologaRevisar la tecnologa especfica que haya sido desplegada y determinar si est instalada segn su diseo.
Por ejemplo, determinar si cubre todos los puntos de salida y equipos crticos para la empresa. Esto podra incluir
puntos de salida de socios comerciales y equipos con acceso a informacin sensitiva. Adems, asegurar que cubra
todos los elementos necesarios de la tecnologa que se est usando en la empresa. Finalmente, revisiones peridicas de
registros y procesos para el manejo de eventos garantizan que la solucin est siendo utilizada de manera correcta y
optimizada.

Conclusin
La informacin de una empresa puede ser uno de sus activos ms valiosos.
Las soluciones de DLP a menudo tienen una capacidad con mltiples
facetas para aumentar de modo significativo la capacidad de la empresa
para la gestin de riesgos para sus activos de informacin clave. Sin
embargo, las soluciones pueden ser complejas y propensas a afectar otros
procesos y la cultura de la organizacin si se aplican de manera indebida y
apresurada. Unaplanificacin y preparacin cuidadosas, la comunicacin
y el adiestramiento en la creacin de conciencia son primordiales para el
despliegue de un programa exitoso de DLP.

Las soluciones de DLP ofrecen una

capacidad de mltiples facetas para
incrementar de modo significativo la
capacidad de la organizacin para la
gestin de riesgos para sus activos de
informacin clave.

Si desea encontrar otros recursos relacionados con la DLP, visite www.isaca.org/DLP.

2010 ISACA. D

e r e c h o s

r e s e r v ad o s

17