Cómo garantizar la privacidad de los datos y la seguridad de la organización

Jay KelleyGerente sénior de marketing de producto | F5

Hoy, 28 de enero^th, se celebra el Día de la Privacidad de los Datos (o, en la Unión Europea, el Día de la Protección de Datos) en Estados Unidos, Canadá, Israel y los 47 países europeos en los que se conmemora.

La privacidad —especialmente la privacidad de los datos— es fundamental. Muchas constituciones nacionales —de hecho, más de 150— mencionan el «derecho a la privacidad». También se recoge en la Declaración Universal de los Derechos Humanos de las Naciones Unidas y está protegida por el Convenio Europeo de Derechos Humanos. En numerosos países, regiones y estados se han promulgado diversas normativas sobre privacidad, entre ellas el Reglamento General de Protección de Datos (RGPD) de la UE y la Ley de Privacidad del Consumidor de California (CCPA).

El Día de la Privacidad de los Datos tiene como objetivo concienciar a empresas y consumidores sobre la importancia de proteger la privacidad de los usuarios y su información personal. También busca informar y fomentar el desarrollo de herramientas que permitan a empresas y consumidores gestionar y controlar mejor la información personal de los usuarios. Asimismo, pretende impulsar un mayor o mejor cumplimiento de las leyes y normativas vigentes en materia de privacidad, como el RGPD y la CCPA. Numerosos organismos, ministerios y consejos internacionales y nacionales, así como instituciones educativas y consorcios del sector, consideran el Día de la Privacidad de los Datos una ocasión para iniciar o continuar el debate sobre cómo proteger mejor la privacidad de los datos de consumidores y usuarios.

Puesta en práctica

Una de las formas más populares y eficaces de aumentar la privacidad de los datos de consumidores y usuarios, tanto en reposo como en tránsito, es mediante el cifrado. Cifrar los datos de consumidores y usuarios, así como los métodos utilizados para transmitirlos, es fundamental para mantener la privacidad de la información de identificación personal.

Hoy en día, el cifrado está omnipresente. La atención prestada a la privacidad de los usuarios y los datos ha contribuido al crecimiento exponencial del tráfico cifrado. Además, muchos proveedores ofrecen ahora certificados gratuitos o de bajo coste con el fin de mejorar la seguridad en línea, lo que beneficia a usuarios, consumidores y empresas. En esencia, ¡intentan cifrar toda la web! Según F5 Labs, el 86 % de las cargas de páginas web están ahora cifradas con SSL o TLS. Asimismo, el cifrado Advanced Encryption Standard (AES) representa más del 96 % del tráfico web cifrado actual. Las normativas y los requisitos de privacidad mencionados anteriormente, como el RGPD, la CCPA y otros, están impulsando la adopción del cifrado, aunque la mayoría no exigen cifrar los datos personales y de los usuarios. Sin embargo, muchas organizaciones cifran los datos y las comunicaciones de los usuarios para no infringir esas mismas normativas y requisitos.

Las desventajas inevitables

Aunque el cifrado es excelente para garantizar la privacidad de los usuarios y sus datos, también plantea un problema que genera un serio dilema tanto para los usuarios como para las empresas: a los atacantes y piratas informáticos también les gusta utilizar el cifrado para ocultar malware, ransomware y otros vectores de ataque. Por desgracia, el cifrado crea un punto ciego en la seguridad.

Por ejemplo, los sitios web fraudulentos utilizados en campañas de phishing y phishing dirigido recurren cada vez más a HTTPS para parecer auténticos y engañar a usuarios desprevenidos, incitándolos a hacer clic en enlaces infectados con malware o a introducir su nombre de usuario y contraseña en páginas de inicio de sesión convincentes pero falsas. Incluso engañan a quienes consideran que el pequeño candado de la barra de direcciones indica que un sitio web es seguro. Según F5 Labs, el 72 % de los sitios de phishing ya utiliza cifrado. Pero, para empeorar aún más las cosas, los atacantes, hackers y otros agentes maliciosos no solo utilizan el cifrado para ocultar amenazas, sino que también aprovechan la privacidad que ofrece la criptografía para eludir su detección mediante análisis forenses posteriores al incidente, simplemente utilizando una campaña de amenazas específica que incluye malware y sitios de phishing una sola vez por víctima.

El phishing es un ataque contra el que resulta muy difícil defenderse porque explota la psicología humana mediante la ingeniería social y la información errónea y la desinformación. El phishing se aprovecha de la naturaleza y las emociones humanas, como el miedo. Esto es especialmente cierto durante la pandemia de coronavirus. Los atacantes lo saben y lo utilizan en su beneficio. F5 Labs descubrió que el número de nuevos certificados HTTPS que contenían las palabras «covid» o «corona» aumentaba al mismo tiempo que se producían repuntes de casos de COVID-19. Incluso fuentes sanitarias muy conocidas, como la Organización Mundial de la Salud (OMS) y los Centros para el Control y la Prevención de Enfermedades de Estados Unidos (CDC), han sido y siguen siendo suplantadas por atacantes en campañas de phishing dirigidas que intentan atraer a las víctimas a dominios maliciosos para que descarguen malware u otras amenazas, o engañarlas para que introduzcan sus credenciales de usuario en páginas de inicio de sesión falsas.

Qué puede hacer al respecto

Entonces, ¿cómo puede una organización proteger hoy en día la privacidad de los datos de usuarios y consumidores y de la información personal, al tiempo que se protege frente a diversos ataques y brechas de seguridad?

Las organizaciones deberían utilizar una solución capaz de descifrar a gran escala el enorme volumen diario de tráfico cifrado, tanto entrante como saliente. Dado el volumen actual de tráfico cifrado, la necesidad de garantizar la privacidad de los datos de usuarios y consumidores, y la elevada carga computacional que conllevan el descifrado y el recifrado, no es buena idea recurrir a una solución de seguridad existente para que desempeñe una doble función: proporcionar seguridad y descifrar y volver a cifrar el tráfico. Un dispositivo de seguridad sobrecargado y sometido a un exceso de trabajo podría simplemente empezar a omitir el tráfico cifrado o dejar de realizar las funciones de seguridad para las que se implementó.

Para garantizar la privacidad y la seguridad de los datos de usuarios y consumidores, y con el fin de no contravenir las normativas y los requisitos de privacidad, las organizaciones deben utilizar una solución que permita de forma inteligente que el tráfico privado de usuarios y consumidores —como los datos financieros o sanitarios— no se descifre. No obstante, dicho tráfico no debe quedar exento de controles, sino que debe ser inspeccionado por un conjunto limitado de soluciones de la pila de seguridad. Sin embargo, esto solo puede lograrse si las soluciones de la pila de seguridad no están conectadas en una cadena estática, sino que pueden participar en cadenas dinámicas de servicios de seguridad, utilizando políticas sensibles al contexto para dirigir el tráfico cifrado entrante, una vez descifrado, a la cadena de servicios de seguridad adecuada.

Esto se denomina orquestación SSL y la descripción anterior ilustra (esperamos) por qué resulta tan necesaria hoy en día, no solo para garantizar la seguridad de la organización, sino también para asegurar que la información de los usuarios y consumidores esté protegida y se mantenga privada.

Para obtener más información sobre F5 SSL Orchestrator, haga clic aquí.

Sobre el autor

Jay KelleyGerente sénior de marketing de producto | F5

Más artículos de Jay Kelley