Prevención de Fugas de Información en Despachos de Abogados

Joan Figueras Tugas
Responsable de Informática y Sistemas
Brosa Abogados y Economistas
Perito Judicial Tecnológico (ACPJT)
CISA®, Certified Information Systems Auditor (ISACA)
Privacy & Security Consultant
@JoanFiguerasT
Prevención de Fugas de Información
en Despachos de Abogados
Barcelona, 15 de octubre de 2015

9ªPíldoraTecnológica:«Prevencióndefugasdeinformaciónendespachosdeabogados»
ISACA&ICAB(SecciódeDretdelesTecnologiesdelaInformacióilaComunicació)
AGENDA
• Fugas de Información en despachos de abogados
• Principios de Seguridad
• Origen y consecuencias de una fuga de datos
• Prevención de Fugas (DLP)
• Medidas de Prevención
– Medidas Organizativas
– Medidas Técnicas
• Conclusiones
Prevención de Fugas de Información
en Despachos de Abogados

FUGAS DE DATOS EN DESPACHOS DE ABOGADOS
http://www.bloomberg.com/news/articles/2015-03-11/most-big-firms-have-had-some-form-of-hacking-business-of-law

La Información: uno de los activos más
importantes de las empresas
Datos que almacena un despacho de abogados:
• Información personal de los clientes
• Propiedad intelectual, Patentes
• Detalles sobre operaciones empresariales, Planes de futuro
• Contratos, Informes, Acuerdos comerciales
• Pruebas judiciales, grabaciones, imágenes, declaraciones de
testimonios
• Etc.
FUGAS DE DATOS EN DESPACHOS DE ABOGADOS

PRINCIPIOS DE SEGURIDAD
DisponibilidadIntegridad
Confidencialidad
Fuga de información ≈ Vulneración del Principio de Confidencialidad

CONSECUENCIAS
Consecuencias negativas de una fuga
de información:
• Daños a la reputación y a la imagen del despacho
• Pérdida de confianza de los clientes
• Hacer frente a las reclamaciones del cliente o clientes afectados
• Posibles sanciones
• Desconfianza de socios, colaboradores, organizaciones

ORIGEN DE LAS FUGAS

ORIGEN DE LAS FUGAS
http://datalossdb.org
Elaboración propia según datos de DataLossDB.org (09/10/2015)

ORIGEN DE LAS FUGAS
Trend Micro “Dissecting Data Breaches and Debunking Myths” (Oct - 2015)
«The top way by which sensitive data was compromised was
through loss or theft. This includes the loss or theft of portable
devices (USB keys, backups drives, laptops, etc.), physical
records (files, receipts, bills, etc.) and stationery devices (office
computers, specialized equipment, etc.)»

PREVENCIÓN DE FUGAS DE INFORMACIÓN
DLP ≈ Data Loss Prevention
«Procedimientos para detectar y prevenir la
salida no autorizada de información fuera de los
límites (físicos y lógicos) de una organización»

DLP: TAREAS PREVIAS
[1] Identificación i clasificación de la Información
• Información sensible que requiere un alto nivel de protección, solo
un número reducido de personas tienen acceso.
Confidencial
• Información corporativa o de trabajo que no puede hacerse pública
pero que puede circular con fluidez dentro del ámbito de control de
la compañía.
Interna
• Información que no necesita medidas especiales de protección.
Pública

DLP: TAREAS PREVIAS
[2] Identificación de usuarios y niveles de acceso
• Usuarios sometidos a las normas, políticas y
procedimientos de la compañía.
Internos
• Usuarios no sometidos a la normativa interna
(colaboradores externos, servicios subcontratados, ...)
Externos

[3] Inventario de equipos de tratamiento de datos
• Bajo el control de la empresa.
Propios
• No podemos imponer las medidas de protección a
implementar.
De terceros
DLP: TAREAS PREVIAS

Obtención Tratamiento Divulgación Almacenamiento
DLP: TAREAS PREVIAS
A lo largo de todo el ciclo de vida de la información:
[3] Inventario de equipos de tratamiento de datos

MEDIDAS DE PREVENCIÓN: M. ORGANIZATIVAS
 Política de Seguridad de la Información
 Uso de recursos empresariales
 Uso del correo electrónico
 Normativa BYOD
 Procedimientos de Copia de Seguridad
 Formación y concienciación de trabajadores

MEDIDAS DE PREVENCIÓN: M. TÉCNICAS
 Identificación de usuarios y control de accesos
 Restricción de permisos de usuarios en equipos
 Control de dispositivos extraíbles
 Instalar software original
 Actualizaciones de software
 Aplicaciones antivirus / antimalware
[a] En el puesto de trabajo

 Herramientas MDM (Mobile Device Management)
 Geolocalización del dispositivo
 Bloqueo o borrado remoto
 Cifrado de información sensible o confidencial
 Conexiones VPN desde redes externas
 Aplicaciones antivirus / antimalware
[b] En dispositivos móviles

 Identificación de usuarios y control de accessos
 Control de tráfico de red
 IDS / IPS
 Firewall
 Proxy
 Análisis de comportamiento
 Separación red interna de red pública
[c] En la red corporativa

RESUMEN DE PROTECCIONES
Fugas Externas Fugas Internas
Ataques
Dirigidos
Ataques no
Dirigidos
Intencionadas Accidentales
ID de usuarios   
Restricción de permisos    
Control de dispositivos  
Antivirus / Antimalware   
MDM   
Cifrado   
VPN  
Firewall / IDS / IPS    
Proxy  
Actualitzaciones softw.   

CONCLUSIONES
 Antes de implantar las medidas hay que realizar un análisis
de la información a proteger.
 Una fuga de información se puede producir en cualquier
nivel de la organización.
 No haber detectado una fuga no es garantía de que no se
haya producido.
 Las políticas de seguridad tienen que venir marcadas por
Dirección.
 Las políticas y normativas internas deben estar actualizadas
y se deben ir recordando.

PARA SABER MÁS
https://www.incibe.es/empresas/guias/Guia_fuga_informacion
http://www.trendmicro.com/cloud-content/us/pdfs/security-intelligence/white-papers/wp-follow-the-data.pdf

MUCHAS GRACIAS!
Joan Figueras Tugas
Responsable Informática y Sistemas
Brosa Abogados y Economistas
joan.figueras@brosa.es
Perito Judicial Tecnológico (ACPJT)
CISA®, Certified Information Systems Auditor (ISACA)
Privacy & Security Consultant
@JoanFiguerasT
Barcelona, 15 de octubre de 2015

Prevención de Fugas de Información en Despachos de Abogados

Recommandé

Recommandé

Contenu connexe

Tendances

Tendances (20)

Similaire à Prevención de Fugas de Información en Despachos de Abogados

Similaire à Prevención de Fugas de Información en Despachos de Abogados (20)

Dernier

Dernier (20)

Prevención de Fugas de Información en Despachos de Abogados