seguridad de los datos

El cifrado de disco se refiere a la tecnología de cifrado que encripta los datos en una unidad de disco duro . Toma los datos de un dispositivo de almacenamiento y los convierte a un formato ilegible. El cifrado de disco generalmente se implementa mediante software (véase software de cifrado de disco ) o hardware (véase hardware de cifrado de disco ), que pueden usarse conjuntamente. El cifrado de disco a menudo se denomina cifrado sobre la marcha (OTFE) o cifrado transparente. El cifrado de disco completo encripta cada sector individual de un volumen de disco. Los archivos y los datos de usuario se encriptan para impedir que usuarios no autorizados accedan a ellos sin una clave de descifrado . Un diversificador permite encriptar el texto plano de un sector de disco específico en diferentes textos cifrados, lo que no requiere almacenamiento adicional, como un vector de inicialización (IV) o un código de autenticación de mensajes (MAC). ^{[ 3 ]}

Las soluciones de seguridad basadas en software cifran los datos para protegerlos contra el robo. Sin embargo, un programa malicioso o un pirata informático podría corromper los datos , haciéndolos irrecuperables e inutilizando el sistema. Las soluciones de seguridad basadas en hardware impiden el acceso de lectura y escritura a los datos, lo que proporciona una protección muy sólida contra la manipulación y el acceso no autorizado. ^{[ 4 ]}

La seguridad basada en hardware o la seguridad informática asistida ofrece una alternativa a la seguridad informática basada únicamente en software. Los tokens de seguridad, como los que utilizan PKCS#11 o un teléfono móvil, pueden ser más seguros debido al acceso físico necesario para ser vulnerados. ^{[ 5 ]} El acceso se habilita solo cuando el token está conectado y se introduce el PIN correcto (véase la autenticación de dos factores ). Sin embargo, cualquier persona que pueda acceder físicamente a los dongles puede utilizarlos. Las tecnologías más recientes en seguridad basada en hardware resuelven este problema al ofrecer una prueba de seguridad completa para los datos. ^{[ 6 ]}

Funcionamiento basado en seguridad de hardware: Un dispositivo de hardware permite a un usuario iniciar y cerrar sesión, y establecer diferentes niveles mediante acciones manuales. Muchos dispositivos utilizan tecnología biométrica para impedir que usuarios malintencionados inicien y cierren sesión, y modifiquen los niveles de privilegio. El estado actual del usuario del dispositivo es leído por controladores en dispositivos periféricos como discos duros. El acceso ilegal por parte de un usuario o programa malicioso se interrumpe en función del estado actual del usuario mediante controladores de disco duro y DVD, lo que imposibilita el acceso ilegal a los datos. ^{[ 7 ]} El control de acceso basado en hardware es más seguro que la protección que ofrecen los sistemas operativos, ya que estos son vulnerables a ataques maliciosos de virus y hackers. Los datos en los discos duros pueden corromperse tras obtener acceso malicioso. Con la protección basada en hardware, el software no puede manipular los niveles de privilegio del usuario. Un hacker o un programa malicioso no puede acceder a datos seguros protegidos por hardware ni realizar operaciones privilegiadas no autorizadas. Esta suposición solo se rompe si el propio hardware es malicioso o contiene una puerta trasera. ^{[ 8 ]} El hardware protege la imagen del sistema operativo y los privilegios del sistema de archivos contra manipulaciones. Por lo tanto, se puede crear un sistema completamente seguro utilizando una combinación de seguridad basada en hardware y políticas de administración de sistemas seguras.

La copia de seguridad es el proceso de reproducir copias de datos esenciales y almacenarlas en un lugar separado y seguro. Se utiliza para garantizar que los datos perdidos puedan recuperarse de otra fuente. Las copias de seguridad contienen al menos una copia de los datos que requieren conservación. ^{[ 9 ]} Se considera esencial mantener una copia de seguridad de cualquier dato en la mayoría de las industrias y se recomienda este proceso para cualquier archivo importante para el usuario. ^{[ 10 ]}

Existen tres tipos de copias de seguridad: completas, incrementales y diferenciales. Las copias de seguridad completas protegen todos los datos de un sistema de producción, como un servidor, una base de datos u otra fuente de datos conectada. En caso de una brecha de seguridad o corrupción, es imposible perder todos los datos de una copia de seguridad completa. Sin embargo, las copias de seguridad completas requieren mucho tiempo y pueden tardar de horas a días en completarse. ^{[ 11 ]} Las copias de seguridad incrementales solo protegen los datos modificados desde la última copia de seguridad. Mientras que las copias de seguridad completas incluyen todos los datos, las incrementales solo guardan los datos que se han modificado recientemente o con frecuencia. Las copias de seguridad incrementales requieren menos almacenamiento, lo que las convierte en una solución ideal para conjuntos de datos en crecimiento. ^{[ 12 ]}

La privacidad de los datos (o privacidad de la información ) es el derecho a que los datos de las personas estén protegidos para impedir el acceso no autorizado. Otorga a las personas control sobre sus datos y sobre cómo se pueden compartir con terceros. La Ley de Protección de la Privacidad de los Estados Unidos (véase Leyes de privacidad de los Estados Unidos ) exige que las organizaciones informen a las personas sobre cómo se recopilan sus datos y cuándo se produce una violación de datos. ^{[ 13 ]} Mediante la implementación del cifrado, se garantiza que los datos privados sean ilegibles para los ciberdelincuentes . ^{[ 14 ]}

El enmascaramiento de datos estructurados es el proceso de ocultar (enmascarar) datos específicos dentro de una tabla o celda de base de datos para garantizar la seguridad de los datos y evitar que la información confidencial sea expuesta a personal no autorizado. ^{[ 15 ]} Esto puede incluir el enmascaramiento de datos para usuarios (por ejemplo, para que los representantes de atención al cliente de un banco solo puedan ver los últimos cuatro dígitos del número de identificación nacional del cliente), desarrolladores (que necesitan datos de producción reales para probar nuevas versiones de software, pero no deben tener acceso a datos financieros confidenciales), proveedores de servicios de subcontratación , etc. ^{[ 16 ]} El enmascaramiento de datos es una forma de cifrado, ya que oculta los datos modificando letras y números específicos para mantenerlos ocultos y protegidos de posibles piratas informáticos. Solo la persona que tiene acceso al código que descifra los caracteres reemplazados puede acceder a los datos. ^{[ 17 ]}

El borrado de datos (o eliminación de datos, destrucción de datos) es un método de sobrescritura basado en software que borra permanentemente todos los datos electrónicos que residen en un disco duro u otro medio digital para garantizar que no se pierdan datos confidenciales cuando un activo se retira o se reutiliza. ^{[ 18 ]} El artículo 17: Derecho al olvido establece que los usuarios tienen derecho a eliminar permanentemente toda su información privada de sus antiguos dispositivos/servicios para darles más control sobre sus datos. Los usuarios pueden cambiar entre dispositivos de manera eficiente. ^{[ 19 ]}

El malware (o software malicioso) está diseñado para destruir, corromper u obtener acceso no autorizado a una computadora con el propósito de robar o destruir datos. ^{[ 20 ]} Los hackers que utilizan malware suelen emplear muchos tipos de malware, que incluyen virus informáticos , gusanos informáticos , ransomware , spyware y troyanos para crear un vasto sistema de interrupción y causar robo de datos fácilmente. ^{[ 21 ]} Una de las víctimas de este vasto sistema de interrupción son los trabajadores de la salud, que son blanco de sistemas comprometidos por infecciones y luego ven atacados sus datos. ^{[ 22 ]}

El phishing es un tipo de estafa que permite a los hackers engañar a las personas mediante tácticas de ingeniería psicológica y social (aprovechando las emociones humanas como la confianza y el miedo) para que proporcionen datos personales a través de correos electrónicos y mensajes, e instalar virus informáticos si la persona hace clic en un enlace malicioso sin saberlo. Los atacantes pueden crear sitios web muy similares a los originales, lo que dificulta la detección de un sitio web falso y hace que las personas caigan en la trampa y proporcionen su información. ^{[ 23 ]} Los atacantes de phishing utilizan las emociones humanas para explotarlas, como hacer que sientan miedo, urgencia o simpatía con el mensaje enviado por el remitente. ^{[ 24 ]} Los correos electrónicos (o suplantación de correo electrónico ) con empresas suplantadas y sitios web falsos que copian los originales son formas de explotar a las personas. La suplantación de correo electrónico muestra nombres y correos electrónicos falsos de los originales para imitar a varios bancos, empresas y agencias, utilizando advertencias para manipular a las personas y hacer que sientan urgencia por el correo electrónico. ^{[ 25 ]}

En el Reino Unido , la Ley de Protección de Datos se utiliza para garantizar que los datos personales sean accesibles a quienes les conciernen y proporciona recursos legales a las personas en caso de inexactitudes. ^{[ 26 ]} Esto es particularmente importante para garantizar que las personas reciban un trato justo, por ejemplo, para fines de verificación de crédito. La Ley de Protección de Datos establece que solo las personas y empresas con motivos legítimos y legales pueden procesar información personal y que esta no puede ser compartida. El Día de la Privacidad de Datos es una celebración internacional instituida por el Consejo de Europa que tiene lugar cada 28 de enero. ^{[ 27 ]}

Desde que el Reglamento General de Protección de Datos (RGPD) de la Unión Europea (UE) entró en vigor el 25 de mayo de 2018, las organizaciones pueden enfrentarse a sanciones significativas de hasta 20 millones de euros o el 4 % de sus ingresos anuales si no cumplen con la normativa. ^{[ 28 ]} El RGPD pretende obligar a las organizaciones a comprender sus riesgos en materia de privacidad de datos y a adoptar las medidas adecuadas para reducir el riesgo de divulgación no autorizada de la información privada de los consumidores. ^{[ 29 ]}

Las normas internacionales ISO/IEC 27001 :2013 e ISO/IEC 27002 :2013 abarcan la seguridad de los datos dentro del tema de la seguridad de la información , y uno de sus principios fundamentales es que toda la información almacenada, es decir, los datos, debe tener un propietario definido para que quede claro quién es el responsable de protegerlos y controlar el acceso a ellos. ^{[ 30 ] [ 31 ]} A continuación se presentan ejemplos de organizaciones que ayudan a fortalecer y estandarizar la seguridad informática:

El Trusted Computing Group es una organización que ayuda a estandarizar las tecnologías de seguridad informática.

El Estándar de Seguridad de Datos de la Industria de Tarjetas de Pago (PCI DSS) es un estándar internacional de seguridad de la información de propiedad exclusiva para organizaciones que manejan información de titulares de tarjetas para las principales tarjetas de débito , crédito , prepago, monederos electrónicos , cajeros automáticos y puntos de venta. ^{[ 32 ]}

El Reglamento General de Protección de Datos (RGPD), propuesto por la Comisión Europea, reforzará y unificará la protección de datos de las personas físicas dentro de la UE, al tiempo que abordará la exportación de datos personales fuera de la UE.