Prevención de Fugas de Información en Despachos de Abogados
22
Joan Figueras Tugas Responsable de Informática y Sistemas Brosa Abogados y Economistas Perito Judicial Tecnológico (ACPJT) CISA®, Certified Information Systems Auditor (ISACA) Privacy & Security Consultant @JoanFiguerasT Prevención de Fugas de Información en Despachos de Abogados Barcelona, 15 de octubre de 2015
-
Upload
joan-figueras-tugas -
Category
Business
-
view
298 -
download
1
Transcript of Prevención de Fugas de Información en Despachos de Abogados
Joan Figueras TugasResponsable de Informática y SistemasBrosa Abogados y Economistas
Perito Judicial Tecnológico (ACPJT)CISA®, Certified Information Systems Auditor (ISACA)Privacy & Security Consultant@JoanFiguerasT
Prevención de Fugas de Información en Despachos de Abogados
Barcelona, 15 de octubre de 2015
9ª
Píld
ora
Tec
no
lóg
ica
: «P
reve
nci
ón
de
fug
as
de
info
rma
ció
n e
n d
esp
ach
os
de
ab
og
ad
os»
ISA
CA
& IC
AB
(Se
cció
de
Dre
td
e le
s Te
cno
log
ies
de
la In
form
aci
ói l
a C
om
un
ica
ció
)
AGENDA
• Fugas de Información en despachos de abogados
• Principios de Seguridad
• Origen y consecuencias de una fuga de datos
• Prevención de Fugas (DLP)
• Medidas de Prevención
– Medidas Organizativas
– Medidas Técnicas
• Conclusiones
Prevención de Fugas de Información en Despachos de Abogados
9ª
Píld
ora
Tec
no
lóg
ica
: «P
reve
nci
ón
de
fug
as
de
info
rma
ció
n e
n d
esp
ach
os
de
ab
og
ad
os»
ISA
CA
& IC
AB
(Se
cció
de
Dre
td
e le
s Te
cno
log
ies
de
la In
form
aci
ói l
a C
om
un
ica
ció
)
FUGAS DE DATOS EN DESPACHOS DE ABOGADOS
http://www.bloomberg.com/news/articles/2015-03-11/most-big-firms-have-had-some-form-of-hacking-business-of-law
9ª
Píld
ora
Tec
no
lóg
ica
: «P
reve
nci
ón
de
fug
as
de
info
rma
ció
n e
n d
esp
ach
os
de
ab
og
ad
os»
ISA
CA
& IC
AB
(Se
cció
de
Dre
td
e le
s Te
cno
log
ies
de
la In
form
aci
ói l
a C
om
un
ica
ció
)
La Información: uno de los activos másimportantes de las empresas
Datos que almacena un despacho de abogados:
• Información personal de los clientes• Propiedad intelectual, Patentes• Detalles sobre operaciones empresariales, Planes de futuro• Contratos, Informes, Acuerdos comerciales• Pruebas judiciales, grabaciones, imágenes, declaraciones de
testimonios• Etc.
FUGAS DE DATOS EN DESPACHOS DE ABOGADOS
9ª
Píld
ora
Tec
no
lóg
ica
: «P
reve
nci
ón
de
fug
as
de
info
rma
ció
n e
n d
esp
ach
os
de
ab
og
ad
os»
ISA
CA
& IC
AB
(Se
cció
de
Dre
td
e le
s Te
cno
log
ies
de
la In
form
aci
ói l
a C
om
un
ica
ció
)
PRINCIPIOS DE SEGURIDAD
DisponibilidadIntegridad
Confidencialidad
Fuga de información ≈ Vulneración del Principio de Confidencialidad
9ª
Píld
ora
Tec
no
lóg
ica
: «P
reve
nci
ón
de
fug
as
de
info
rma
ció
n e
n d
esp
ach
os
de
ab
og
ad
os»
ISA
CA
& IC
AB
(Se
cció
de
Dre
td
e le
s Te
cno
log
ies
de
la In
form
aci
ói l
a C
om
un
ica
ció
)
CONSECUENCIAS
Consecuencias negativas de una fuga de información:
• Daños a la reputación y a la imagen del despacho• Pérdida de confianza de los clientes• Hacer frente a las reclamaciones del cliente o clientes afectados• Posibles sanciones• Desconfianza de socios, colaboradores, organizaciones
9ª
Píld
ora
Tec
no
lóg
ica
: «P
reve
nci
ón
de
fug
as
de
info
rma
ció
n e
n d
esp
ach
os
de
ab
og
ad
os»
ISA
CA
& IC
AB
(Se
cció
de
Dre
td
e le
s Te
cno
log
ies
de
la In
form
aci
ói l
a C
om
un
ica
ció
)
ORIGEN DE LAS FUGAS
9ª
Píld
ora
Tec
no
lóg
ica
: «P
reve
nci
ón
de
fug
as
de
info
rma
ció
n e
n d
esp
ach
os
de
ab
og
ad
os»
ISA
CA
& IC
AB
(Se
cció
de
Dre
td
e le
s Te
cno
log
ies
de
la In
form
aci
ói l
a C
om
un
ica
ció
)
ORIGEN DE LAS FUGAS
http://datalossdb.org
Elaboración propia según datos de DataLossDB.org (09/10/2015)
9ª
Píld
ora
Tec
no
lóg
ica
: «P
reve
nci
ón
de
fug
as
de
info
rma
ció
n e
n d
esp
ach
os
de
ab
og
ad
os»
ISA
CA
& IC
AB
(Se
cció
de
Dre
td
e le
s Te
cno
log
ies
de
la In
form
aci
ói l
a C
om
un
ica
ció
)
ORIGEN DE LAS FUGAS
Trend Micro “Dissecting Data Breaches and Debunking Myths” (Oct - 2015)
«The top way by which sensitive data was compromised wasthrough loss or theft. This includes the loss or theft of portabledevices (USB keys, backups drives, laptops, etc.), physicalrecords (files, receipts, bills, etc.) and stationery devices (officecomputers, specialized equipment, etc.)»
9ª
Píld
ora
Tec
no
lóg
ica
: «P
reve
nci
ón
de
fug
as
de
info
rma
ció
n e
n d
esp
ach
os
de
ab
og
ad
os»
ISA
CA
& IC
AB
(Se
cció
de
Dre
td
e le
s Te
cno
log
ies
de
la In
form
aci
ói l
a C
om
un
ica
ció
)
PREVENCIÓN DE FUGAS DE INFORMACIÓN
DLP ≈ Data Loss Prevention
«Procedimientos para detectar y prevenir lasalida no autorizada de información fuera de loslímites (físicos y lógicos) de una organización»
9ª
Píld
ora
Tec
no
lóg
ica
: «P
reve
nci
ón
de
fug
as
de
info
rma
ció
n e
n d
esp
ach
os
de
ab
og
ad
os»
ISA
CA
& IC
AB
(Se
cció
de
Dre
td
e le
s Te
cno
log
ies
de
la In
form
aci
ói l
a C
om
un
ica
ció
)
DLP: TAREAS PREVIAS
[1] Identificación i clasificación de la Información
• Información sensible que requiere un alto nivel de protección, solo un número reducido de personas tienen acceso.
Confidencial
• Información corporativa o de trabajo que no puede hacerse pública pero que puede circular con fluidez dentro del ámbito de control de la compañía.
Interna
• Información que no necesita medidas especiales de protección.
Pública
9ª
Píld
ora
Tec
no
lóg
ica
: «P
reve
nci
ón
de
fug
as
de
info
rma
ció
n e
n d
esp
ach
os
de
ab
og
ad
os»
ISA
CA
& IC
AB
(Se
cció
de
Dre
td
e le
s Te
cno
log
ies
de
la In
form
aci
ói l
a C
om
un
ica
ció
)
DLP: TAREAS PREVIAS
[1] Identificación i clasificación de la Información
[2] Identificación de usuarios y niveles de acceso
• Usuarios sometidos a las normas, políticas y procedimientos de la compañía.
Internos
• Usuarios no sometidos a la normativa interna (colaboradores externos, servicios subcontratados, ...)
Externos
9ª
Píld
ora
Tec
no
lóg
ica
: «P
reve
nci
ón
de
fug
as
de
info
rma
ció
n e
n d
esp
ach
os
de
ab
og
ad
os»
ISA
CA
& IC
AB
(Se
cció
de
Dre
td
e le
s Te
cno
log
ies
de
la In
form
aci
ói l
a C
om
un
ica
ció
)
[3] Inventario de equipos de tratamiento de datos
• Bajo el control de la empresa.
Propios
• No podemos imponer las medidas de protección a implementar.
De terceros
DLP: TAREAS PREVIAS
[1] Identificación i clasificación de la Información
[2] Identificación de usuarios y niveles de acceso
9ª
Píld
ora
Tec
no
lóg
ica
: «P
reve
nci
ón
de
fug
as
de
info
rma
ció
n e
n d
esp
ach
os
de
ab
og
ad
os»
ISA
CA
& IC
AB
(Se
cció
de
Dre
td
e le
s Te
cno
log
ies
de
la In
form
aci
ói l
a C
om
un
ica
ció
)
Obtención Tratamiento Divulgación Almacenamiento
DLP: TAREAS PREVIAS
A lo largo de todo el ciclo de vida de la información:
[3] Inventario de equipos de tratamiento de datos
[1] Identificación i clasificación de la Información
[2] Identificación de usuarios y niveles de acceso
9ª
Píld
ora
Tec
no
lóg
ica
: «P
reve
nci
ón
de
fug
as
de
info
rma
ció
n e
n d
esp
ach
os
de
ab
og
ad
os»
ISA
CA
& IC
AB
(Se
cció
de
Dre
td
e le
s Te
cno
log
ies
de
la In
form
aci
ói l
a C
om
un
ica
ció
)
MEDIDAS DE PREVENCIÓN: M. ORGANIZATIVAS
Política de Seguridad de la Información Uso de recursos empresariales
Uso del correo electrónico
Normativa BYOD
Procedimientos de Copia de Seguridad
Formación y concienciación de trabajadores
9ª
Píld
ora
Tec
no
lóg
ica
: «P
reve
nci
ón
de
fug
as
de
info
rma
ció
n e
n d
esp
ach
os
de
ab
og
ad
os»
ISA
CA
& IC
AB
(Se
cció
de
Dre
td
e le
s Te
cno
log
ies
de
la In
form
aci
ói l
a C
om
un
ica
ció
)
MEDIDAS DE PREVENCIÓN: M. TÉCNICAS
Identificación de usuarios y control de accesos
Restricción de permisos de usuarios en equipos
Control de dispositivos extraíbles
Instalar software original
Actualizaciones de software
Aplicaciones antivirus / antimalware
[a] En el puesto de trabajo
9ª
Píld
ora
Tec
no
lóg
ica
: «P
reve
nci
ón
de
fug
as
de
info
rma
ció
n e
n d
esp
ach
os
de
ab
og
ad
os»
ISA
CA
& IC
AB
(Se
cció
de
Dre
td
e le
s Te
cno
log
ies
de
la In
form
aci
ói l
a C
om
un
ica
ció
)
Herramientas MDM (Mobile Device Management)
Geolocalización del dispositivo
Bloqueo o borrado remoto
Cifrado de información sensible o confidencial
Conexiones VPN desde redes externas
Aplicaciones antivirus / antimalware
[b] En dispositivos móviles
MEDIDAS DE PREVENCIÓN: M. TÉCNICAS
9ª
Píld
ora
Tec
no
lóg
ica
: «P
reve
nci
ón
de
fug
as
de
info
rma
ció
n e
n d
esp
ach
os
de
ab
og
ad
os»
ISA
CA
& IC
AB
(Se
cció
de
Dre
td
e le
s Te
cno
log
ies
de
la In
form
aci
ói l
a C
om
un
ica
ció
)
Identificación de usuarios y control de accessos
Control de tráfico de red IDS / IPS
Firewall
Proxy
Análisis de comportamiento
Separación red interna de red pública
[c] En la red corporativa
MEDIDAS DE PREVENCIÓN: M. TÉCNICAS
9ª
Píld
ora
Tec
no
lóg
ica
: «P
reve
nci
ón
de
fug
as
de
info
rma
ció
n e
n d
esp
ach
os
de
ab
og
ad
os»
ISA
CA
& IC
AB
(Se
cció
de
Dre
td
e le
s Te
cno
log
ies
de
la In
form
aci
ói l
a C
om
un
ica
ció
)
RESUMEN DE PROTECCIONES
Fugas Externas Fugas Internas
Ataques Dirigidos
Ataques no Dirigidos
Intencionadas Accidentales
ID de usuarios
Restricción de permisos
Control de dispositivos
Antivirus / Antimalware
MDM
Cifrado
VPN
Firewall / IDS / IPS
Proxy
Actualitzaciones softw.
9ª
Píld
ora
Tec
no
lóg
ica
: «P
reve
nci
ón
de
fug
as
de
info
rma
ció
n e
n d
esp
ach
os
de
ab
og
ad
os»
ISA
CA
& IC
AB
(Se
cció
de
Dre
td
e le
s Te
cno
log
ies
de
la In
form
aci
ói l
a C
om
un
ica
ció
)
CONCLUSIONES
Antes de implantar las medidas hay que realizar un análisis de la información a proteger.
Una fuga de información se puede producir en cualquier nivel de la organización.
No haber detectado una fuga no es garantía de que no se haya producido.
Las políticas de seguridad tienen que venir marcadas por Dirección.
Las políticas y normativas internas deben estar actualizadas y se deben ir recordando.
9ª
Píld
ora
Tec
no
lóg
ica
: «P
reve
nci
ón
de
fug
as
de
info
rma
ció
n e
n d
esp
ach
os
de
ab
og
ad
os»
ISA
CA
& IC
AB
(Se
cció
de
Dre
td
e le
s Te
cno
log
ies
de
la In
form
aci
ói l
a C
om
un
ica
ció
)
PARA SABER MÁS
https://www.incibe.es/empresas/guias/Guia_fuga_informacion
http://www.trendmicro.com/cloud-content/us/pdfs/security-intelligence/white-papers/wp-follow-the-data.pdf
9ª
Píld
ora
Tec
no
lóg
ica
: «P
reve
nci
ón
de
fug
as
de
info
rma
ció
n e
n d
esp
ach
os
de
ab
og
ad
os»
ISA
CA
& IC
AB
(Se
cció
de
Dre
td
e le
s Te
cno
log
ies
de
la In
form
aci
ói l
a C
om
un
ica
ció
)
MUCHAS GRACIAS!
Joan Figueras TugasResponsable Informática y SistemasBrosa Abogados y Economistas
Perito Judicial Tecnológico (ACPJT)CISA®, Certified Information Systems Auditor (ISACA)Privacy & Security Consultant@JoanFiguerasT
Barcelona, 15 de octubre de 2015
