Durante una auditoría de seguridad de un proveedor de TI para el sector sanitario, los auditores detectaron que el equipo de éxito del cliente del proveedor enviaba habitualmente extractos de datos de clientes a sus cuentas de correo electrónico personales para trabajar en presentaciones e informes fuera del horario laboral. La conducta no era maliciosa: los empleados necesitaban los datos para preparar materiales para reuniones con clientes, sus computadoras portátiles corporativas eran lentas y los dispositivos personales resultaban más cómodos para trabajar el fin de semana. No había DLP en el sistema de correo electrónico del proveedor. No había ninguna política que abordara específicamente el uso de dispositivos personales con datos de clientes. Los datos salían del entorno controlado del proveedor por correo electrónico y llegaban a dispositivos personales, cuentas personales en la nube y redes domésticas sin controles de seguridad, sin cifrado obligatorio y sin supervisión. Los controles de seguridad del proveedor (su excelente cifrado de bases de datos, sus controles de acceso basados en roles, su supervisión de seguridad) se aplicaban todos a los sistemas en los que residían los datos. Ninguno se aplicaba al archivo adjunto de Gmail en el que viajaban los datos.
¿Qué son realmente las vías de exfiltración de datos?
La exfiltración de datos es la transferencia no autorizada de datos desde un entorno controlado a uno no controlado, ya sea por intención maliciosa, por negligencia de los empleados o por atajos de comodidad que eluden los controles de seguridad. Las vías de exfiltración son los canales por los que los datos pueden salir del entorno controlado: correo electrónico, dispositivos USB, cargas al almacenamiento en la nube, captura de pantalla, impresión, llamadas a API y cualquier otro mecanismo que permita que los datos pasen de un sistema gobernado a uno no gobernado. Comprender la totalidad de las vías de exfiltración, y no solo las evidentes, es un requisito previo para implementar controles que reduzcan de forma significativa el riesgo de exfiltración, en lugar de crear una barrera selectiva en torno a los canales más visibles.
El problema de las vías de exfiltración es, en esencia, un problema de exhaustividad. Los programas de seguridad suelen implementar controles en los canales de exfiltración más visibles, más explotados y más accesibles técnicamente: DLP para el correo electrónico, bloqueo de USB y supervisión de cargas web. Estos controles ofrecen una protección real frente a los patrones de exfiltración que cubren. El riesgo es que los controles creen un perímetro incompleto, que cubre algunos canales y deja otros sin abordar, y que la exfiltración se produzca por los canales no abordados en lugar de por los controlados. La exfiltración no necesita ser tan sofisticada como los controles; solo necesita encontrar una vía que los controles no cubran.
El factor humano es la dimensión de la exfiltración que con más frecuencia se subestima en los programas técnicos de seguridad. El empleado malintencionado que elude deliberadamente los controles de seguridad es una amenaza real y significativa. Pero la mayoría de los eventos de exfiltración de datos que investigan las organizaciones involucran a empleados que no actuaban con intención maliciosa: estaban resolviendo un problema de comodidad, cumpliendo un plazo o trabajando como siempre lo habían hecho, sin comprender las implicaciones para la seguridad de los datos. El gerente de éxito del cliente que envió el extracto de datos a Gmail no planeaba robar datos de clientes. Planeaba terminar una presentación. La exfiltración fue el efecto secundario de una decisión sobre el flujo de trabajo, no un ataque de seguridad. Los controles diseñados para detectar la exfiltración maliciosa pueden pasar por alto por completo la exfiltración motivada por la comodidad que usa los mismos canales.
El riesgo de exfiltración de datos se concentra en cinco categorías concretas de vías en los entornos de los proveedores:
- Correo electrónico y almacenamiento en la nube personales: empleados que reenvían datos a cuentas de correo electrónico personales o los cargan en almacenamiento personal en la nube (Google Drive, Dropbox, iCloud) para trabajar desde casa o por comodidad
- Medios extraíbles: unidades USB, discos duros externos y otros dispositivos de almacenamiento extraíbles utilizados para transferir datos desde sistemas gestionados a dispositivos no gestionados
- Captura de pantalla y fotografía: datos capturados mediante capturas de pantalla, grabaciones de pantalla o fotografías del contenido de la pantalla con el teléfono, un canal que la DLP técnica no puede interceptar
- Impresión y soportes físicos: datos sensibles impresos para uso externo, documentos físicos retirados del entorno controlado
- Acceso no autorizado mediante API e integraciones: datos extraídos mediante llamadas a API o conexiones de integración que están autorizadas para la integración, pero se usan para exportar datos más allá del alcance previsto
Por qué es importante
La gobernanza de las vías de exfiltración de datos es importante para TPRM porque el riesgo de exfiltración que presenta un proveedor no depende de la solidez de los controles que ha implementado en los canales que ha abordado, sino de la exhaustividad de los controles en todos los canales por los que pueden circular los datos. Un proveedor con DLP de nivel empresarial en el correo electrónico corporativo, pero sin DLP en el reenvío al correo electrónico personal, ha implementado un control que tanto los atacantes sofisticados como los empleados que buscan comodidad pueden eludir con la misma acción sencilla: reenviar a Gmail.
La dimensión con más consecuencias desde la perspectiva de TPRM es el escenario de exfiltración por una vía autorizada, en el que los datos salen por un canal que existe con un fin legítimo, pero cuyo alcance se ha ampliado más allá de su uso previsto. Una integración de API diseñada para un caso de uso de generación de informes que se utiliza para extraer registros de clientes de forma masiva es una exfiltración por vía autorizada. Un gerente de éxito del cliente con acceso legítimo a datos de clientes que los exporta para preparar una reunión es una exfiltración por vía autorizada. Estos escenarios requieren controles que aborden no solo si se usa un canal, sino si el alcance de su uso es coherente con su finalidad prevista.
Para los profesionales de TPRM, la evaluación de las vías de exfiltración exige ir más allá de la confirmación de DLP y preguntar por los canales específicos por los que pueden circular los datos y si existen controles para cada uno. El escenario del archivo adjunto de Gmail es uno de los patrones de exfiltración de datos más comunes en los entornos empresariales. Confirmar que la DLP empresarial cubre el correo electrónico corporativo, dejando sin abordar el reenvío al correo electrónico personal, es confirmar un control que el patrón de exfiltración más común elude.
Dónde se equivocan la mayoría de los equipos
La falla más constante es evaluar la cobertura de DLP en los canales principales y concluir que el riesgo de exfiltración está gestionado. La DLP en el correo electrónico corporativo, el bloqueo de USB en los endpoints y la supervisión de cargas web son las implementaciones estándar de DLP que confirman la mayoría de las evaluaciones de proveedores. Abordan los canales que están dentro del alcance de la herramienta de DLP. El reenvío al correo electrónico personal, el almacenamiento personal en la nube, la captura de pantalla y la impresión son canales que las implementaciones estándar de DLP a menudo no cubren, y representan las vías por las que se produce la exfiltración más común, motivada por la comodidad.
La segunda falla es no preguntar por las políticas sobre el uso de dispositivos y cuentas personales por parte de los empleados. Un proveedor sin una política que aborde específicamente si los empleados pueden usar cuentas personales con fines laborales no ha cerrado la vía de exfiltración por canales personales a nivel de política, independientemente de los controles técnicos que existan en los sistemas corporativos. La ausencia de una prohibición clara de trabajar con datos de clientes en dispositivos personales es en sí misma una brecha en la gobernanza de las vías de exfiltración.
- Confirmar la DLP en el correo electrónico corporativo sin evaluar el reenvío al correo electrónico personal, la vía de exfiltración más común motivada por la comodidad
- Ninguna evaluación de las políticas de uso de dispositivos personales: si se permite a los empleados usar dispositivos o cuentas personales para trabajos que implican datos de clientes
- Captura de pantalla e impresión no abordadas: vías de exfiltración física que la DLP técnica no puede interceptar
- Alcance de las vías autorizadas no evaluado: si el acceso mediante API e integraciones se supervisa para comprobar que su alcance es coherente con el uso previsto
- Detección y prevención de la exfiltración no diferenciadas: detectar la exfiltración después de que se produce frente a impedir que se usen los canales
Cómo se ve una buena práctica
Los programas maduros de control de la exfiltración identifican la totalidad de los canales por los que los datos pueden salir del entorno controlado e implementan controles o medidas compensatorias para cada uno. El alcance de la cobertura de DLP es integral y no selectivo. Las políticas de uso de dispositivos y cuentas personales son explícitas y se hacen cumplir. Y la detección de la exfiltración complementa la prevención, supervisando las anomalías de alcance en los canales autorizados que los controles de prevención no pueden abordar.
- Cobertura integral de DLP: correo electrónico corporativo, reenvío al correo electrónico personal, cargas al almacenamiento en la nube, USB y DLP de cargas web aplicados de forma coherente
- Política sobre dispositivos y cuentas personales: prohibición explícita de usar correo electrónico, almacenamiento en la nube o dispositivos personales para trabajos que implican datos de clientes
- DLP en endpoints, incluidos los medios extraíbles: bloqueo de USB y supervisión del portapapeles en los endpoints gestionados
- Supervisión del alcance de las API e integraciones: detección de anomalías en los volúmenes de llamadas a API que indiquen una extracción de datos más allá del alcance previsto de la integración
- Gobernanza de la impresión y las capturas de pantalla: políticas y, cuando sea técnicamente factible, controles que aborden los canales de exfiltración física
Herramientas
Un control integral de la exfiltración requiere herramientas por capas que cubran los canales de red, de endpoint y de nube.
DLP en endpoints: Microsoft Purview Endpoint DLP, CrowdStrike, Forcepoint
Las herramientas de DLP en endpoints supervisan y controlan los flujos de datos a nivel de endpoint, detectando y bloqueando la copia de datos sensibles a dispositivos USB, su carga en almacenamiento en la nube, su reenvío al correo electrónico personal o su captura en capturas de pantalla. Microsoft Purview Endpoint DLP cubre específicamente los endpoints Windows y se integra con el marco más amplio de clasificación de datos de Purview. Para los profesionales de TPRM, preguntar si el proveedor utiliza una DLP en endpoints que cubra el reenvío al correo electrónico personal y las cargas al almacenamiento en la nube aporta la pregunta específica sobre capacidades que revela la brecha del archivo adjunto de Gmail.
Seguridad del correo electrónico con DLP: Proofpoint, Mimecast, Microsoft Defender for Office 365
Las plataformas de seguridad del correo electrónico con capacidades de DLP inspeccionan el correo saliente en busca de datos sensibles, aplicando políticas basadas en la clasificación para detectar y bloquear los correos que contienen información personal, datos financieros o credenciales. Es fundamental señalar que estos controles se aplican al envío desde el correo corporativo, pero no pueden impedir que los empleados accedan a servicios de correo web (Gmail, Outlook.com) desde un navegador en un dispositivo corporativo. Para abordar la vía de exfiltración por correo web personal se necesita una DLP en endpoints que bloquee las cargas a correo web desde el navegador.
Análisis del comportamiento de usuarios y entidades: Exabeam, Varonis, Microsoft Sentinel
Las plataformas de UEBA detectan patrones de comportamiento anómalos de los usuarios que indican una posible exfiltración: volúmenes de acceso a datos inusuales, actividad fuera del horario laboral, descargas de archivos grandes seguidas de cargas externas y otros indicadores de comportamiento que sugieren la preparación de datos para su exfiltración. Para los profesionales de TPRM, preguntar si el proveedor utiliza UEBA para detectar patrones de exfiltración por comportamiento aporta una pregunta sobre la capacidad de detección que complementa las preguntas sobre prevención mediante DLP.
Desafíos de gobernanza
El desafío de gobernanza de la cobertura de las vías de exfiltración es el problema de la exhaustividad. Cada nuevo tipo de dispositivo, nuevo canal de comunicación y nueva herramienta de colaboración añade una posible vía de exfiltración. Los programas de DLP que eran integrales cuando se diseñaron pueden desarrollar brechas de cobertura a medida que evoluciona el panorama de canales: un programa de DLP diseñado antes de que Slack se convirtiera en un canal principal de comunicación en el trabajo puede no tener DLP para Slack. El inventario de vías de exfiltración requiere una revisión periódica a medida que evoluciona el entorno de datos.
Para los programas de TPRM, la pregunta práctica de gobernanza no es solo si existe DLP, sino si el mapa de cobertura de DLP se ha comparado con los canales reales por los que se mueven los datos en el entorno del proveedor. Un proveedor que puede describir el alcance de su DLP y confirmar que cubre el reenvío al correo electrónico personal, el almacenamiento personal en la nube y los medios extraíbles ha reflexionado sobre la exhaustividad de las vías de exfiltración. Un proveedor cuya confirmación de DLP describe la protección del correo electrónico empresarial sin abordar los canales personales ha confirmado un perímetro parcial.
- Preguntar por la cobertura de DLP del correo electrónico y el almacenamiento en la nube personales: si se aborda el reenvío a canales personales
- Preguntar por las políticas de uso de dispositivos personales: prohibición explícita del uso de dispositivos personales para trabajar con datos de clientes
- Preguntar por el incidente de exfiltración más reciente: qué canal se utilizó y qué control lo detectó o no lo detectó
- Incluir el mapeo de las vías de exfiltración en la evaluación: inventario de canales comparado con la cobertura de DLP
- Preguntar por la supervisión del alcance de las API: detección de anomalías en las integraciones autorizadas para identificar extracciones de datos que exceden el alcance
Si usted forma parte de un equipo pequeño
Haga a sus proveedores de mayor riesgo dos preguntas que vayan más allá de la confirmación de DLP y lleguen a la cobertura real de los canales. Primera: ¿su DLP cubre a los empleados que reenvían datos a Gmail u otras cuentas de correo electrónico personales desde dispositivos corporativos? En concreto, ¿un empleado que envía un extracto de datos de clientes a su cuenta personal activaría una alerta de DLP o se bloquearía? Segunda: ¿cuál es su política sobre el uso por parte de los empleados de dispositivos personales o cuentas personales en la nube para trabajar con datos de clientes fuera de la oficina? La primera pregunta pone a prueba la cobertura técnica. La segunda, la cobertura de las políticas. Juntas revelan la brecha de los canales personales, que es la vía de exfiltración más común motivada por la comodidad.
- Preguntar si el reenvío al correo electrónico personal activa alertas de DLP o se bloquea
- Preguntar por la política sobre el uso de dispositivos y cuentas personales con datos de clientes
- Preguntar por el incidente de exfiltración de datos más reciente y por el canal involucrado
- Preguntar si USB y los medios extraíbles están bloqueados en los endpoints gestionados
Qué exigir
Pregunte directamente:
"Si un empleado enviara un extracto de datos de clientes a su cuenta personal de Gmail desde su computadora portátil corporativa, ¿sus controles de DLP detectarían o bloquearían esa acción? ¿Y qué cubre específicamente el reenvío al correo electrónico personal en los endpoints gestionados?"
"¿Cuál es su política sobre el uso por parte de los empleados de dispositivos personales, cuentas de correo electrónico personales o almacenamiento personal en la nube para trabajos que implican datos de clientes? ¿Y esa política se hace cumplir técnicamente, en lugar de depender únicamente de que los empleados la cumplan?"
"¿Ha tenido algún incidente de exfiltración de datos en los últimos dos años, incluida la exfiltración motivada por la comodidad por parte de empleados que no actuaban de forma maliciosa? ¿Qué canal estuvo involucrado y qué control falló o funcionó?"
Evidencia que debe esperar
- Confirmación de la cobertura de DLP del reenvío al correo electrónico personal: control técnico o reconocimiento explícito de la brecha
- Documentación de la política sobre dispositivos y cuentas personales: prohibición explícita y mecanismo para hacerla cumplir
- Historial de incidentes de exfiltración: incidentes recientes, canal involucrado y resultado del control
- Confirmación del control de USB y de medios extraíbles en los endpoints gestionados
A un proveedor que responde a la pregunta sobre el reenvío a Gmail con «nuestra DLP cubre el correo electrónico» se le debe preguntar si esa cobertura se aplica cuando un empleado abre Gmail en un navegador en su computadora portátil corporativa y adjunta un archivo. La DLP del correo electrónico corporativo y la DLP del correo web personal requieren implementaciones de control distintas. Confirmar la primera no confirma la segunda.
Cómo demostrarlo
La prevención de la exfiltración de datos se aborda en el requisito 12 de PCI-DSS (políticas de seguridad de la información), en las salvaguardas de formación del personal y de gestión de accesos de la HIPAA y en NIST SP 800-53 SI-12 (gestión y conservación de la información). Demostrar la diligencia debida exige evidencia de que se evaluó la cobertura de las vías de exfiltración en todo el panorama de canales, no solo en los sistemas principales de DLP.
- Registros de evaluación de proveedores que documenten las preguntas sobre la cobertura de DLP de los canales personales y sobre la política de dispositivos personales
- Documentación del alcance de la cobertura de DLP: canales cubiertos frente a canales no cubiertos
- Evidencia de la política sobre dispositivos y cuentas personales
- Registros del historial de incidentes de exfiltración y del resultado de los controles
Conclusión clave
La exfiltración de datos no suele ser un ataque sofisticado. Suele ser un empleado que necesitaba terminar algo, tomó la vía más fácil disponible y envió una hoja de cálculo a Gmail. El ataque sofisticado requiere vencer los controles sofisticados. La exfiltración motivada por la comodidad solo requiere que exista la vía cómoda y que los controles no la cubran. La DLP en el correo electrónico corporativo no cubre Gmail en un navegador. El bloqueo de USB en los endpoints no cubre la carga en Dropbox. El inventario de vías de exfiltración es el mapa de todas las formas en que pueden salir los datos. El mapa de cobertura de DLP es el mapa de las vías que abordan los controles. La brecha entre esos dos mapas es el riesgo de exfiltración. Pregunte qué canales están cubiertos. Pregunte qué canales no lo están. La hoja de cálculo que llegó a Gmail recorrió una vía que nadie había mapeado.