Los pasos clave para una gestión eficaz de las filtraciones de datos
Publicado el: 20 Abr 2021
Última modificación: 6 Ago 2026
Contar con un plan de gestión de fugas de datos garantiza que se disponga del personal y los procedimientos adecuados para hacer frente de manera eficaz a una amenaza.
Imagínese el pánico que se desata cuando se detecta una filtración masiva de datos, tal vez una que lleve meses produciéndose. En 2017, Equifax alertó al mundo del robo de varios millones de registros de datos que se encontraban bajo su custodia.
El robo se produjo a raíz de una vulnerabilidad en Apache Struts, un marco de desarrollo muy utilizado. Equifax tenía conocimiento de dicha vulnerabilidad, pero el empleado encargado de aplicar el parche no lo hizo. A continuación se produjo una serie de acontecimientos desafortunados, entre los que se incluía el hecho de que los escáneres de parches no detectaran otras vulnerabilidades, agravados por varios errores humanos por parte de los operadores.
Desde entonces, Equifax ha invertido alrededor de 1.400 millones de dólares (1.000 millones de libras esterlinas) en mejorar su seguridad. Además, la Oficina del Comisionado de Información del Reino Unido (ICO) impuso a la empresa una multa de medio millón de libras esterlinas, y el exdirector de sistemas de información de Equifax fue condenado a cuatro meses de prisión por aprovechar la filtración para obtener beneficios personales. La filtración de datos de Equifax fue una auténtica pesadilla para la empresa.
Al «ponernos en el lugar de otra persona», podemos comprender cómo gestiona eficazmente cada departamento de una organización las filtraciones de datos. Al reflexionar sobre cómo cada departamento puede contribuir a mitigar la cadena de acontecimientos que conduce a una filtración de datos, es posible gestionar la exposición de datos de forma más eficaz.
El «cómo» y el «por qué» de la gestión de las filtraciones de datos
Las filtraciones de datos afectan a todos los miembros de una organización. Del mismo modo, todos pueden contribuir a prevenir o minimizar el impacto de una filtración de datos. A continuación se ofrece una visión general de las diferentes responsabilidades de cinco áreas clave de una organización y del tipo de responsabilidades que cada una de ellas tiene a la hora de gestionar una filtración de datos.
El Equipo de Incidentes de Seguridad
La gestión y prevención de las filtraciones de datos constituyen el pilar fundamental del equipo de incidentes de seguridad. Este equipo ha visto cómo su intervención es cada vez más necesaria a medida que aumentan tanto el número como la gravedad de las filtraciones de datos. Su función es fundamental para la gestión de una filtración de datos, y el equipo se apoya en un proceso sólido que le ayuda en esta tarea. El equipo de seguridad debe poder recurrir a un plan de respuesta ante incidentes y a un plan de recuperación ante desastres que le ayuden a contener la filtración. Estos planes sirven de guía para las medidas que deben adoptarse una vez que se produce una filtración.
Entre las medidas habituales para la contención y la gestión de las infracciones se incluyen:
Confirme la filtración
Aunque pueda parecer un paso obvio, confirme que se ha producido la filtración y si esta afecta a datos confidenciales o sensibles. La información recopilada durante el análisis de la filtración será necesaria en caso de que esta sea lo suficientemente grave como para notificarla a una autoridad de control. La información que debe recopilarse y documentarse incluye:
- Cómo se detectó la filtración
- Dónde ocurrió
- ¿A quiénes afecta esto (incluya a los proveedores del ecosistema)?
- ¿Quién informó de la filtración?
- Las fechas en las que se produjeron las infracciones
- ¿Qué nivel de riesgo supone la violación de seguridad para la organización, los clientes, etc.?
- ¿Se ha controlado ya por completo la fuga?
¿Cómo se produjo la filtración?
El análisis de la filtración no solo es necesario por motivos de cumplimiento normativo, sino que también puede ayudar a mitigar futuras exposiciones de datos. La dinámica de las filtraciones es variada. Los datos pueden quedar expuestos a través de diversos mecanismos, tanto accidentales como maliciosos. Identifique estos mecanismos: ¿se trató de una exposición accidental por parte de un empleado o de un ataque malicioso? Comprender los vectores y las tácticas utilizados puede ayudar a reducir la exposición y a mitigar el ataque.
El tipo de datos afectados
Ser capaz de identificar el nivel de riesgo de los datos afectados es fundamental tanto para la notificación de la violación como para el cumplimiento normativo, así como para comprender el impacto global en la empresa. Documente el tipo y el nivel de riesgo de los datos afectados por la violación. Una organización ya debería haber desarrollado un sistema de clasificación basado en una norma como la ISO 27001. Esta norma establece cuatro categorías de datos:
- Confidencial (solo el equipo directivo tiene acceso)
- Acceso restringido (la mayoría de los empleados tienen acceso)
- Interno (todos los empleados tienen acceso)
- Información pública (a la que todo el mundo tiene acceso)
Contención y recuperación
Una vez detectada una brecha de seguridad, es fundamental contenerla lo antes posible. Las medidas adoptadas durante el análisis de la brecha permitirán elaborar una estrategia de contención. Las brechas en las que estén implicados empleados pueden requerir una revisión de la formación en materia de concienciación sobre seguridad. Las brechas en las que intervengan piratas informáticos externos malintencionados requerirán un análisis más detallado de los sistemas y la adopción de medidas de mitigación. Deben establecerse planes de recuperación para minimizar el impacto de la brecha.
Asuntos jurídicos y cumplimiento normativo
Todos los documentos probatorios recopilados sobre la violación de datos son utilizados por los departamentos jurídico y de cumplimiento normativo para gestionar las consecuencias de la misma. Los equipos jurídico y de cumplimiento normativo decidirán si la violación de datos entra dentro del ámbito de aplicación de la obligación de notificación; por ejemplo, en virtud del artículo 67 de la Ley de Protección de Datos del Reino Unido de 2018 (DPA 2018), debe presentarse una notificación de la violación de datos ante la ICO en un plazo de 72 horas desde que la empresa tenga conocimiento de la misma. Todas las pruebas documentadas sobre la violación —el lugar, el motivo y la forma en que se ha mitigado—, recopiladas por el equipo de seguridad, se utilizarán en esta comunicación. También puede existir la obligación de informar de la violación a cualquier persona afectada. Esto puede requerir la publicación de una carta de comunicación pública completa en la página web de la empresa.
Normas de notificación
Un aspecto clave para la gestión jurídica de una violación de datos es tomar una decisión fundamentada sobre si se debe notificar la violación a la autoridad de control y, en su caso, cuándo hacerlo. Cuestiones como, por ejemplo, si existe la obligación reglamentaria de notificar la filtración, solo pueden ser evaluadas por personal cualificado y con los conocimientos necesarios. Esta decisión puede requerir que la filtración se haga pública: esto tiene evidentes repercusiones a largo plazo en la reputación y probablemente implicará la intervención del departamento de marketing para minimizar el impacto en la marca. A continuación se presentan algunos ejemplos de avisos públicos sobre filtraciones:
Las normas relativas a la notificación de violaciones de datos varían en función de la normativa aplicable. Por ejemplo, según el Reglamento General de Protección de Datos (RGPD) de la UE, la notificación de una violación debe realizarse en un plazo de 72 horas desde que se detecte que se ha producido dicha violación. Sin embargo, en virtud del Reglamento sobre Privacidad y Comunicaciones Electrónicas (PECR, normativa aplicable a los proveedores de servicios de Internet y telecomunicaciones), las violaciones de datos personales deben notificarse a la ICO a más tardar 24 horas después de su detección.
El personal
Al integrar al personal en el proceso de gestión de las infracciones, este se convierte en un recurso de primera línea en la lucha contra los ciberataques. El personal y los sistemas de seguridad abarcan un amplio abanico de posibles vulnerabilidades, desde la exposición accidental de datos hasta el phishing, pasando por la colusión con piratas informáticos externos.
Según el Informe de investigación sobre fugas de datos de 2020 (DBIR) de Verizon, alrededor del 17 % de las fugas de datos se deben simplemente a errores. Por ejemplo, el hecho de que los empleados compartan contraseñas o las reutilicen en varias aplicaciones constituye una práctica de seguridad inadecuada.
El phishing sigue siendo el arma preferida de los ciberdelincuentes; a los autores de estos ataques les encanta suplantar a marcas como Microsoft para engañar a los usuarios y que estos faciliten sus credenciales corporativas. La formación en concienciación sobre seguridad enseña a los empleados las numerosas formas positivas en las que pueden contribuir a mantener un buen nivel de seguridad en la empresa.
En lo que respecta a la gestión de las violaciones de seguridad, la sensibilización del personal debe abarcar la comprensión de sus responsabilidades en el marco de diversas normativas, como garantizar que los datos de los clientes se respeten y se utilicen dentro de los límites de la legislación, por ejemplo, la Ley de Protección de Datos de 2018 (DPA 2018) y el RGPD. Al comprender dónde podría producirse una violación de datos, así como las responsabilidades que se derivan de las distintas normativas pertinentes, una organización puede involucrar al personal en el proceso de gestión de violaciones de datos.
No obstante, es importante formar al personal al nivel adecuado. Algunos miembros del personal, como los empleados técnicos, pueden necesitar formación especializada en seguridad y/o obtener una certificación.
Los nuevos empleados deben incorporarse a los programas de formación en concienciación sobre seguridad de la organización desde el primer día. Es necesario realizar revisiones periódicas de la formación en concienciación sobre seguridad del personal en ámbitos tales como:
- Phishing
- Higiene de seguridad
- Concienciación sobre la responsabilidad en materia de seguridad de los datos
…debería ser una actividad continua para que siga siendo eficaz.
La formación en materia de concienciación sobre seguridad debería integrarse en la política de seguridad de la empresa como parte del proceso de gestión de las filtraciones de datos.
Proveedores externos
Los ecosistemas de proveedores pueden ser complejos y pueden incluir a cuartas y quintas partes. Un informe reciente de Accenture,«State of Cyber Resilience 2020», reveló que el 40 % de las brechas de seguridad se inician con ataques indirectos a nivel de la cadena de suministro. La gestión de riesgos de los proveedores forma parte de una gestión eficaz de una filtración de datos. Las filtraciones de datos relacionadas con los proveedores deben analizarse desde dos perspectivas. Además de realizar un análisis de vulnerabilidades de los eslabones de la cadena de suministro para mitigar los ciberataques, cuando se produce una filtración, es necesario analizar el ecosistema de proveedores para determinar si la filtración afecta al proveedor.
La Junta Directiva
Un informe del Gobierno del Reino Unido titulado«Encuesta sobre infracciones de ciberseguridad 2021»reveló que el 77 % de las empresas considera que la ciberseguridad es una prioridad fundamental para sus consejeros o altos directivos. Como consecuencia de la gran repercusión mediática de las filtraciones de datos, cada vez son más los consejos de administración que cuentan con expertos en el ámbito de la seguridad. Cuando se produce una violación de datos, un consejo de administración bien informado puede apoyar al resto de la organización a la hora de gestionar la situación, garantizando que se cumplan los requisitos normativos y asegurándose de que se disponga de presupuesto para gestionar la violación y mitigar el riesgo de nuevos ataques.
¿Saben los empleados qué deben hacer en caso de que se produzca una filtración de datos?
La implantación de medidas de gestión de fugas de datos constituye una tarea que afecta a toda la empresa. Uno de los aspectos clave para lograr una gestión eficaz de las fugas de datos radica en la forma en que se forma a su personal. La adecuación al contexto es fundamental para garantizar que la gestión de incidentes funcione en su organización. Cada organización debe desarrollar su propio enfoque, adecuado y específico, para notificar y gestionar una fuga de datos.
El análisis en profundidad para optimizar la concienciación comienza a nivel de las personas y los procesos. Cada aspecto, desde el detalle más pequeño hasta la visión global, debe ser lo suficientemente exhaustivo como para garantizar que su política de respuesta ante incidentes sea sólida y comprensible para todo el personal. Esto debe incluir:
Medios de comunicación: desde los números de teléfono utilizados hasta la dirección de correo electrónico o cualquier otro sistema empleado para notificar una violación de la seguridad
Funciones y responsabilidades: Resumen de los responsables de incidentes pertinentes y sus responsabilidades
Medidas: ¿Quién hace qué, cuándo y cómo desempeña su función a la hora de colaborar en la gestión de una filtración de datos?
Medidas correctivas: cómo subsanar la brecha y lecciones aprendidas, incluida cualquier actualización de la formación en materia de concienciación sobre seguridad
En las grandes empresas multinacionales, estas vías de comunicación deben extenderse a toda la organización, uniendo a los distintos departamentos y oficinas de la empresa.
Es necesario que todos se comprometan con este plan, desde los empleados hasta los directivos y los miembros del consejo de administración.