en reposo en transito en uso

Cuando se trata de proteger la información confidencial, nos encontramos que los clientes requieren diferentes enfoques o plantean diferentes necesidades de protección. Algunos clientes necesitan proteger la información en los equipos móviles o portátiles por si estos se pierden. Otros desean mantener su documentación protegida en servidores de ficheros de forma que incluso pueda estar protegida de accesos indebidos por parte del personal de IT. En ocasiones algunos clientes necesitan proteger la documentación cuando esta viaja adjunta en un email ya que utilizan servidores de email gestionados o en la nube. Determinados clientes piden proteger la documentación cuando es enviada a terceros o incluso internamente de forma que se minimice la posibilidad que esta se copie, desproteja o sea accedida por usuarios indebidos.

En esta serie de artículos de blog vamos a intentar explicar los diferentes estados de la información y qué posibilidades de protección se pueden utilizar en cada caso. Podemos considerar tres estados para la información o los datos:

  • Información en reposo: Información almacenada en discos duros, servidores de ficheros, bases de datos, etc.
  • Información en tránsito o movimiento: Información que viaja a través de un email, HTTP, Instant Messaging o cualquier tipo de canal privado o público de comunicación.
  • Información en uso: Cuando es abierta por una aplicación y consumida o accedida por los usuarios.
los tres estados de la información

Regulaciones como FACTA o HIPAA en el ámbito de los servicios de salud hacen referencia a la información “eliminada”, es decir, documentos físícos o datos digitales que deben ser destruidos donde entran en juego políticas de destrucción de documentos en papel, borrado seguro de datos en discos duros, etc.

Empezaremos en este primer artículo de la serie hablando de la protección de información en reposo. Con este término nos referimos a la información que no está siendo accedida y que se encuentra almacenada en un medio físico o lógico. Ejemplos pueden ser ficheros almacenados en servidores de ficheros, registros en bases de datos, documentos en unidades flash, etc. Se considera que la documentación está segura en reposo cuando se encuentra encriptada (de forma que requiera una cantidad inviable de tiempo en un ataque de fuerza bruta para ser desencriptada), la clave de encriptación no está presente en el mismo medio de almacenamiento, y que la clave tenga una longitud y nivel de aleatoriedad suficiente que la haga inmune a un ataque de diccionario.

En éste ámbito encontramos diferentes tecnologías de protección para la información. Por ejemplo:

  • Encriptación de disco duro (full disk encryption)  o dispositivo: La encriptación de disco duro permite que si el portátil o equipo se pierde por ejemplo, la información contenida en él no pueda ser accedida simplemente montando el disco duro o dispositivo en otra máquina. Tienen  la ventaja de ser “transparentes” para el usuario en la medida de que si se ha hecho login correctamente el usuario accede a los documentos de la misma forma que lo haría en un equipo no encriptado. Sin embargo, si se ha hecho login en el equipo o el servidor de ficheros es accesible por el administrador, nada impide a un usuario deshonesto acceder a los datos, copiarlos, reenviarlos, etc. Los datos están protegidos mientras residen en el dispositivo o disco duro, pero dejan de estarlo una vez son extraídos del mismo (copiados a otro dispositivo, reenviarlos, etc.).
  • Encriptación a nivel de fichero: No se encripta una partición o disco duro sino sólo ficheros individuales. La encriptación de clave pública o simétrica permiten por ejemplo encriptar ficheros. Los ficheros encriptados no sólo lo están cuando se encuentran almacenados en el disco, sino que también pueden estar protegidos en tránsito, cuando son enviado por ejemplo como adjuntos en un email. En este caso se pierde el acceso transparente por parte de un usuario y también la protección transparente del mismo. Es decir por ejemplo con PGP, es necesario disponer de la clave púbica de la persona con la que quiero compartir el fichero protegido, y por otro lado, ella deberá tener mi clave pública para poder descifrarlo. Por otro lado, una vez que el documento ha sido descifrado por el receptor, puede almacenarse desprotegido, reenviarse desprotegido, etc.
  • Encriptación de base de datos: Sistemas de base de datos como SQL Server u Oracle utilizan TDE – Transparent Data Encryption para proteger los datos almacenados en bases de datos. Las tecnologías de TDE realizan operaciones de encriptación y desencriptación de datos y ficheros de log en tiempo real. Esto permite a los desarrolladores de aplicaciones por ejemplo trabajar con datos encriptados utilizando AES o 3DES por ejemplo sin necesitar modificar las aplicaciones existentes. Este tipo de encriptación protege los datos en reposo en base de datos, pero no cuando estos han sido ya accedidos por la aplicación correspondiente y han podido ser extraídos.
  • Encriptación por medio de gestión de derechos digitales: Las tecnologías de IRM (Information Rights Management) permiten la encriptación de documentación aplicando una protección persistente a los mismos. La documentación en reposo se encuentra encriptada y sólo está accesible a los usuarios que tengan derechos de acceso a la misma. Por ejemplo, con SealPath basada, en AD-RMS (Microsoft Active Directory Rights Management Services) los documentos son encriptados con el algoritmo AES 128 bits/ 256 bits basándose en claves RSA de 1024 bits / 2048 bits. A diferencia de la encriptación a nivel de fichero el usuario receptor puede acceder a él para leerlo e incluso modificarlo pero no puede desencriptar por completo el fichero (a no ser que se le hayan asignado permisos de Control Total sobre el mismo).

Retos de la protección de información en reposo:

Actualmente los departamentos de IT se encuentran con numerosos retos a la hora de proteger la documentación en reposo:

  • La información puede estar almacenada en diferentes soportes y equipos: La documentación importante no sólo se encuentra en los servidores de ficheros, o gestores documentales sino que puede haber copias en los PCs de los usuarios, dispositivos USBs, etc.
  • Se encuentra dispersa en dispositivos móviles y BYOD: Los móviles y tablets se han extendido al entorno corporativo y son una herramienta de trabajo más que puede contener documentación importante en reposo que debe ser protegida. Adicionalmente, muchos de los dispositivos móviles en los que se encuentra no son corporativos sino personales y fuera del control de los departamentos de IT.
  • Imposibilidad de controlar el almacenamiento de nube: Muchos proveedores de sistemas de almacenamiento ofrecen encriptación y protección de la información en reposo que gestionan. Sin embargo, las claves de encriptación son propiedad de quien da el servicio de almacenamiento y no de las empresas que lo contratan por lo que se pierde el control de la documentación almacenada en estas nubes.
  • Necesidad de cumplir con las diferentes regulaciones de protección de datos: Dependiendo del vertical en el que opere nuestra empresa puede estar sujeto a regulaciones de datos exigentes en lo que respecta a la protección y control sobre la información. Por ejemplo los datos de pacientes en el sector salud o de clientes en el sector financieros están protegidos por regulaciones como la LOPD, HIPAA, PCI, etc. dependiendo del territorio. Estas regulaciones imponen políticas de protección sobre los datos en reposo, independientemente de si se encuentran almacenados en una base de datos, en un servidor de ficheros o en dispositivos móviles.

Para superar estos retos, los Departamentos de IT deben analizar los riesgos principales a los que se enfrentan en lo que respecta a la gestión de su información en reposo y seleccionar la tecnología o tecnologías priorizando aquellas que permitan eliminar o mitigar aquellos más probables y/o de más impacto para su organización.

En los siguientes capítulos de esta serie de 3 artículos analizaremos las tecnologías de protección de información en reposo y en uso.