Cómo prevenir la fuga de información sensible
Introducción
Uno de los temas con mayor importancia de esta era tecnológica e informática, es la fuga o filtración de información relevante. Los datos pueden ser de distinta índole, desde nombres de clientes, empresas o temas relacionados a ellos. Por lo anterior, estos pueden encontrarse en peligro de ser robados por personas de pocos escrúpulos, para ser vendidos en bancos de datos dentro del mercado negro, y/o utilizados de manera perjudicial.
La afrenta tecnológica
Una directiva de Data Loss Prevention (Prevención de Pérdida de Datos) nos permite identificar, supervisar y proteger de manera automatizada toda la información almacenada en nuestro correo y sitios de SharePoint; así como Microsoft Teams dentro de nuestro Tenant (Suscripción) de Office 365.
Estas directivas pueden ser de utilidad para cumplir con ciertos lineamientos de nuestra organización, en las que el manejo de información se vuelve cada vez más crítico e inmediato. Esto, debido al 17,1% de los archivos en OneDrive y SharePoint Online contienen datos confidenciales correspondientes a transacciones financieras, sector salud o identificación personal.
Dentro del Tenant de Office 365 y en el portal de Seguridad y Cumplimiento, las directivas de Prevención de Pérdida de Datos incluyen muchos tipos de información confidencial integrados. Estos tipos integrados pueden ayudar a identificar y proteger números de tarjeta de crédito, cuentas bancarias, números de pasaporte, etc.
Para poder utilizar esta característica se requiere una suscripción a Office 365 E3 o Microsoft 365 E3 como mínimo.
Problemática
Derivado de estudios recientes se descubrió que las organizaciones exponían públicamente, aunque de manera no intencional, archivos confidenciales que contenían contraseñas y datos de salud en Internet. Esta situación supone un grave problema, ya que, si una persona con intenciones maliciosas se apodera de tal información publicada, puede hacer uso de esta como mejor le convenga.
Solución
La alternativa más viable es la generación de una directiva de Prevención de Pérdida de Datos, que dependerá el tipo de información a proteger. A continuación, daremos un repaso al proceso.
Pasos
1. Iniciar sesión en el portal de seguridad y cumplimiento (https://protection.microsoft.com) ingresando las credenciales de los usuarios administradores con los permisos correspondientes.
2. En la sección de Prevención de Pérdida de Datos-Directivas, se genera una nueva política dando clic en el botón + Crear una directiva.
3. Lo primero que debemos saber al generar directivas, es que únicamente aplicarán a los usuarios que tengan el licenciamiento correspondiente (Microsoft & Office 365 E3/E5), por lo que, si la directiva es asignada a usuarios que no tengan el licenciamiento, no surtirá ningún efecto. Al momento de iniciar la configuración de una nueva directiva, se revelan 4 categorías (Financiera, Medica & Salud, Privacidad y Personalizada), en este caso se agrega una nueva directiva personalizada.
4. El siguiente paso es asignarle un nombre a la directiva, esto para identificar qué tipo de información estará protegiendo de acuerdo con los estándares de la organización. Para este ejemplo se utiliza un nombre para prevenir que los usuarios compartan documentos con números de tarjetas de crédito (DLP – 18-03 TC) así como una breve descripción de la función que realizará la directiva.
5. Lo siguiente es definir el o los ámbitos en los que funcionará la directiva, aquí se cuentan con solamente 2 opciones, Correo, OneDrive, SharePoint y Teams o personalizado. En el ejemplo se seleccionó la opción que permite elegir ubicaciones específicas, detallado en el siguiente paso.
6. Como se especificó en el paso anterior, en este paso se eligen las ubicaciones que se desean proteger, en el ejemplo se muestra que únicamente se protegerá el correo electrónico y OneDrive, para la parte de correo electrónico, si no se requiere que aplique la directiva a toda la organización, se puede filtrar por grupos de distribución, en el caso de OneDrive, por medio de la URL de inicio de OneDrive del usuario, importante mencionar que también se pueden excluir tanto los grupos de distribución, así como las cuentas de OneDrive de cada directiva.
7. Seleccionadas las ubicaciones que se desean proteger, toca el turno de seleccionar el tipo de contenido a proteger, y haciendo caso al nombre que se ingresa para la directiva, se realizará la búsqueda de números de tarjetas de crédito, en este paso el asistente nos da la opción de hacerlo de manera “Express” o personalizada, para este caso, se selecciona la personalizada.
8. Al seleccionar la opción personalizada, se debe generar una nueva regla con las condiciones que se requieren para proteger el tipo de contenido indicado al inicio.
9. Se genera la regla con los siguientes parámetros:
I) Contenido que incluye: Número de tarjeta de crédito – Aquí se realiza la selección del contenido que se va a proteger, así como el número de instancias y la precisión para que el sistema de Office 365 detecte el tipo de contenido en un documento, sitio, etc.
II) Acciones: En este apartado la acción principal cuando la directiva detecte el contenido en un documento o correo es bloquear el uso compartido para los usuarios y restringir el acceso al contenido a los usuarios externos, esto asegurará que los usuarios de la organización sean los únicos en acceder a la información de la organización.
10. Una vez finalizada la regla, se puede continuar con el asistente, asegurarse que este activada para que pueda funcionar.
11. Como última configuración, el asistente da la opción de activar la directiva, activarla como prueba o crearla desactivada, es muy importante en caso de realizar la implementación de la directiva a nivel productivo que se realicen pruebas con usuarios no críticos para verificar el correcto funcionamiento de la directiva. Para este ejemplo se activa la directiva inmediatamente.
12. Para validar la funcionalidad de la directiva, un usuario intenta enviar un correo con un archivo adjunto cuyo contenido contiene información sensible de la organización, el resultado, no se le permite enviar el correo debido a que contiene información sensible de la organización.
Conclusión
Una directiva de prevención de pérdida de datos es una manera fácil para proteger la información que genera una organización, con la certeza de que no podrá ser compartida por los medios de colaboración de la suite de Office 365, y lo cual permitirá cumplir con los estándares de seguridad de la organización.
