¿Cómo aumentar la seguridad de los datos de mis clientes?
Las brechas en la seguridad de los datos llevan a daños económicos y de reputación en una empresa.
Por eso, exigen el establecimiento de reglas claras. Así se reducen los riesgos a los que las
organizaciones están expuestas
Además, el costo de una violación sigue en alza. En 2023, el promedio global llegó a US$ 4,45 millones, según una investigación realizada por IBM. Desde entonces, la curva no se invirtió. Por lo tanto, la seguridad de los datos de los clientes dejó de ser un tema exclusivo de TI. Hoy entra en la agenda del directorio.
En la práctica, ampliar la privacidad de los clientes va mucho más allá de reducir costos de violación. Lo mismo vale para eventuales multas. La Ley General de Protección de Datos (LGPD) brasileña rige desde 2020 y determina las reglas de tratamiento. Además, la ANPD ya fiscaliza y aplica sanciones. En caso de incumplimiento, las multas pueden llegar a R$ 50 millones por infracción.
Por eso, las preocupaciones del área también abarcan la reputación. Ellas influyen en cómo los clientes ven a la corporación. Además, afectan la conquista de nuevos negocios. Para compañías de capital abierto, eso puede incluso influir en el valor de las acciones.
¿Pero cuál es la consecuencia para los clientes?
Impacto de la privacidad de datos para los clientes
Del mismo modo, garantizar la privacidad se volvió una cuestión de supervivencia. Eso vale en un mundo cada vez más competitivo. En ese escenario, las compañías se volvieron blancos prioritarios de ataques cibernéticos. Los daños aparecen en el presente, con perjuicios, multas y correcciones urgentes. Además, vuelven en el futuro, sobre todo en la reputación.
Como resultado, para los clientes la seguridad de los datos es fundamental. Eso vale desde la perspectiva de protección y de privacidad. Al fin y al cabo, esa información alimenta fraudes, extorsiones e ingeniería social. Actualmente, además, los datos filtrados nutren campañas de phishing mucho más convincentes. Por lo tanto, el daño no termina el día del incidente.
Mientras tanto, entre los tipos de ataques cibernéticos más comunes, se encuentran:
En resumen, malwares – Softwares maliciosos capaces de robar datos, cifrar archivos o causar otros daños.
Ransomware como servicio – Los grupos alquilan el malware a afiliados. Además, practican doble extorsión: cifran y también copian los datos, con amenaza de publicación.
Al fin y al cabo, vulnerabilidades y cadena de suministro – Debilidades en sistemas propios o de proveedores. En ese caso, un solo eslabón comprometido alcanza a toda la base de clientes.
Además, robo de identidad – Contraseñas perdidas, MFA débil y cookies de sesión robadas. Con un token válido, el criminal entra a la nube sin ninguna contraseña.
Consejos para garantizar la seguridad de los datos
1) Sepa qué datos está recolectando
En la práctica, solo se protege lo que la compañía conoce. Por eso, mapea qué datos existen y dónde están. En ese punto, conviene entender la diferencia entre ellos:
– Públicos son los divulgados abiertamente, como comunicados y declaraciones;
– Internos abarcan la operación, como presupuestos, proyectos, procesos y estrategias;
– Confidenciales se refieren a datos personales, de salud y financieros, entre otros registros;
– Restringidos son las contraseñas, llaves de API y propiedad intelectual.
Por eso, cuanto mayor la sensibilidad, mayores los cuidados. Además, ese mapa sostiene el registro de tratamiento que exige la ley.
2. Recolecte solo lo necesario y limite el acceso
El mejor camino para reducir riesgos es recolectar solo lo esencial para el negocio. La lista incluye aspectos financieros y de atención, así como marketing y retención.
Del mismo modo, cada área solo debe acceder a lo que necesita para trabajar. La misma lógica se aplica dentro de la jerarquía. Existen herramientas específicas, llamadas IAM, que gestionan permisos. Además, conviene revisar los accesos privilegiados con frecuencia.
3. Realice auditorías constantes
Como resultado, analiza periódicamente qué datos se recolectan y cómo se clasifican. Ese trabajo puede incluir revisiones de procesos. Además, abarca el acceso de los colaboradores y el de los proveedores.
4. El cifrado es la regla
Mientras tanto, es obligación del negocio cifrar los datos en reposo y en tránsito. Si ese trabajo se hace bien, el dato filtrado pierde valor. Eso vale incluso cuando ocurre una brecha. Por lo tanto, guarda las llaves fuera del mismo entorno.
5. Apueste por las buenas tecnologías
En resumen, los filtros de correo reducen el phishing que llega a la bandeja. Mientras tanto, el EDR y el antimalware actualizados amplían la detección en los endpoints. Además, adopta MFA resistente al phishing, con llaves FIDO2 o passkeys. Al fin y al cabo, el código por SMS no resiste los kits de ataque actuales.
6. Backup periódico
El ransomware apuesta a la dificultad de recuperar los datos secuestrados. Por eso, mantén respaldos inmutables, aislados y probados en la restauración. Sin embargo, con la doble extorsión, el respaldo resuelve la indisponibilidad, no la filtración.
7. Actualización de todos los softwares
Al fin y al cabo, los fabricantes lanzan correcciones con frecuencia. Muchas de ellas tratan vulnerabilidades ya explotadas. Por lo tanto, prioriza lo que está expuesto a internet y mantén todo en versiones soportadas.
8. Capacite a su equipo
Además, el mejor filtro falla si las personas no están capacitadas. Por más evolucionada que esté la tecnología, la empresa debe formar al equipo en ciberseguridad.
En la práctica, el factor humano sigue presente y necesita reducirse. Eso pasa por buenas prácticas de correo, contraseñas únicas y MFA resistente al phishing. Además, la capacitación debe cubrir el deepfake de voz y video en pedidos de aprobación. Al fin y al cabo, la estafa ya no llega con errores evidentes.
Por eso, la capacitación debe incluir la respuesta a incidentes. Eso abarca el plazo de comunicación a la autoridad y a los titulares.
9. Defina una política transparente de datos
Todos los clientes, colaboradores y socios necesitan claridad. Deben saber cómo la corporación trata y protege los datos. Esa política debe indicar las finalidades de uso, así como la forma de recolección, almacenamiento y protección.
Del mismo modo, vale resaltar: si hay actualizaciones, informa a los clientes. Además, describe cómo ejercer los derechos previstos en la ley.
10. Haga pruebas constantes
Como resultado, la empresa debe realizar pruebas de seguridad con regularidad. El objetivo es hallar y corregir vulnerabilidades en los propios sistemas y en los de terceros. Además, prueba también el plan de respuesta, y no solo la tecnología.
11. Equipo de TI especializado
Mientras tanto, el equipo interno debe actuar en conjunto con empresas especializadas. Juntas, construyen una estructura capaz de sostener la seguridad de los datos. El trabajo involucra personas, sistemas y procesos. Además, ese equipo fiscaliza las prácticas y garantiza su funcionamiento continuo.
En resumen, proteger datos es un proceso en transformación constante. Eso ocurre por el cambio en el perfil de los ataques y por la evolución de los sistemas. Con la mayor dependencia de datos por parte de las corporaciones, hay que actuar de forma preventiva. Por lo tanto, el objetivo es proteger el negocio y también la privacidad de los clientes.