Reportes como el de IBM acerca del Costo de violaciones de datos ponen en evidencia que la falta de preparación y los planes fallidos de recuperación de información incrementan el impacto económico para las organizaciones.
En la edición 19 del reporte de Verizon a propósito de Violaciones de Datos (DBIR, por sus siglas en inglés), Daniel Lawson, vicepresidente senior de Soluciones Globales de la firma, señaló que a pesar de que la velocidad de las ciberamenazas está en aumento, “los principios fundamentales de seguridad y una sólida gestión de riesgos siguen siendo la defensa más eficaz”.
Una estrategia de recuperación de datos se hace con planes y métodos dirigidos a restaurar la información perdida, dañada, eliminada accidentalmente o que ha quedado inaccesible en dispositivos de almacenamiento (servidores, computadoras, equipos móviles o la nube) para mantener la continuidad del negocio.
Ante la inquietud de cuáles deberían ser las preocupaciones de un CIO acerca de su estrategia de recuperación, IT Masters Mag entrevistó a Ana Laura Chalico, profesional de Seguridad de la información y Gobierno, para conocer esas preguntas que pueden guiar al tomador de decisiones hacia un plan seguro.
Índice de temas
Estrategia 3-2-1
Un plan de recuperación forma parte de una estrategia más grande. Antes, el enfoque principal estaba en las interrupciones físicas o adjudicables a causas de fuerza mayor. Pero hace tiempo que hay que considerar también los ciberataques.
Al ponerse en el lugar de un CIO, Chalico se preguntaría si el respaldo de la organización sigue en la estrategia 3-2-1 (si hay tres respaldos en dos medios diferentes y uno de ellos está fuera de las instalaciones actuales).
Para completar este punto, revisaría si los respaldos están aislados y son inmutables, es decir, que no cambien con el tiempo y están protegidos contra cualquier tipo de infección secundaria.
“Esa sería la primera pregunta, especialmente porque cuando se manifiesta un ciberataques, normalmente el intruso ya estuvo dentro de la instalación y es probable que esos respaldos estén afectados”, subrayó la entrevistada.
¿Están limpios los respaldos?
Por ende, la pregunta número dos sería ¿se ha validado que los respaldos estén limpios? “Es muy importante la limpieza de datos. Cuando tienes un respaldo y aplicas el plan de recuperación, tienes que checar que el objetivo de punto de recuperación (RPO, por sus siglas en inglés) no tenga código malicioso. Normalmente tenemos prisa por respaldar o por recuperar la información y volver a estar en línea. Pero siempre debemos revisar que esa información esté limpia”.
¿Qué hay de los pilares de la seguridad?
La pregunta número tres que Chalico se haría si enfrentara un escenario en el que hubiera que recuperar la información: ¿Se cumplen los tres pilares de la seguridad: Confidencialidad, integridad y disponibilidad?
“Debemos saber si esos respaldos están disponibles y son confiables para poderlos bajar, así como si se han realizado de manera recurrente las pruebas de recuperación. No basta con confiar en que el software funcione porque se han hecho respaldos, periódicamente es necesario bajar los respaldos y probarlos”, recomendó la especialista.
Visión panóptica
La pregunta número cuatro sería: ¿Nuestras pruebas de recuperación están evaluando escenarios reales de lo que puede suceder como consecuencia de un ciberataque, por ejemplo, o solamente estamos pensando cómo recuperamos la información ante una falla de infraestructura?
En opinión de Chalico, este punto es vital, porque se requiere tener una visión amplia de las problemáticas que habría que enfrentar para buscar posibles soluciones ‘en frío’.
Líneas de autoridad y coordinación
La quinta pregunta tiene que ver con la organización de la empresa: ¿Se tienen bien establecidas las líneas de autoridad, se cuenta con el respaldo de la dirección y se dispone de un clean room para probar esa recuperación de los respaldos sin ninguna interferencia de estar conectados a otro lado?
La ejecutiva considera que restablecer la información o hacer una recuperación ante casos de desastre, ya no es una disciplina únicamente del CIO, debe de ser parte de la capacidad de resiliencia en conjunto con el CISO y con el equipo dedicado a la seguridad de la información, porque la misión es recuperar la información para que esté íntegra, confidencial y disponible en el menor tiempo posible.
Estrategias de recuperación más allá del cumplimiento regulatorio
Chalico afirmó que las organizaciones deben tener la capacidad de proteger la información, tanto por cumplimiento regulatorio –que en industrias como la financiera y la de salud es muy fuerte–, como por la confidencialidad de datos –como debería ser en el Gobierno, ante los requisitos de la Ley Federal de Protección de datos–.
Cabe recordar que en el ámbito de las organizaciones privadas, la Ley Federal de Protección de Datos Personales en Posesión de los Particulares no incluye una obligación general de residencia de datos.
Chalico enfatizó que “las grandes empresas están preocupadas por ese tema, no nada más por estar fuera de cumplimiento, con sanciones fuertes, sino porque afecta su prestigio y credibilidad. Inclusive hay empresas que han desaparecido por no poder recuperar su información de manera certera”.
Finalmente, la especialista dijo que antes, el hecho de conservar físicamente la información era un paradigma diferente. Los métodos de respaldo han cambiado, se pasó por cintas, discos y ahora se usa la nube, que en muchos casos da certeza, aunque al final es un servidor de un tercero que está en otra parte y que el usuario final no controla.
