Kriptos: clasificar datos, el mejor aliado en ciberseguridad y gobernanza

En el marco del Techtegia Latam Summit Data Explote 2024, que tuvo lugar el 11 de julio de 2024 en Ciudad de México, y que congregó a más de 30 sponsors y speakers, conferencias, casos de éxito y paneles especializados con las últimas tendencias que están moviendo el mercado B2B (Cloud, Inteligencia Artificial, SaaS, Innovación, 5G, Automatización, IoT, Big Data, Ciberseguridad, e-commerce, Edge, Gobiernos Inteligentes, Digital Payments, Sostenibilidad y Transformación Digital), tuvo una lugar una importante conferencia sobre el impacto de la clasificación de datos en la estrategia de ciberseguridad y gobernanza de datos.

Alfonso Villalba, COO (gerente de operaciones de tecnología) y cofundador de Kriptos y Juan Carlos Vivanco, gerente de seguridad de la información de GNP Seguros, compartieron las experiencias de trabajo conjunto y sobre cómo Kriptos ha permitido a GNP optimizar la clasificación de sus datos, mejorando la ciberseguridad y el cumplimiento normativo.

Kriptos es una empresa de ciberseguridad estadounidense que opera en distintos países del continente americano y que se enfoca en ayudar a las instituciones y empresas a identificar dónde están los archivos más críticos y sensibles del negocio y quién tiene acceso a ella. GNP ha sido cliente de Kriptos en los últimos cuatro años y con ellos han implementado varias estrategias de ciberseguridad, gobierno de datos, compliance y gestión del riesgo informático.

Clasificar datos es fundamental para mapear riesgos

Destaco Vivanco que en GNP Seguros cuentan con un programa de ciberseguridad extenso con iniciativas para proteger la confidencialidad, integridad y disponibilidad de la información tanto de GNP, como de sus clientes y la que manejan terceros.

«Tenemos un modelo de gestión de riesgos que nos ayuda a evaluar los controles que tenemos implementados en nuestro proceso de clasificación de la información, tanto a nivel proceso como a nivel de política. Contamos con un modelo de mejora continua, en donde estamos periódicamente revisando el tema de clasificación de la información para encontrar desviaciones y oportunidades de mejora de nuestros procesos», amplió.

Alfonso Villalba, COO de Kriptos, acotó que la clasificación de datos juega un rol importante en darle visibilidad a las empresas y negocios para poder entender y mapear los riesgos y, en base a eso, tomar distintas iniciativas.

En GNP, informó Vivanco, el tema de la clasificación de información es un pilar fundamental para la ciberseguridad, sobre todo dentro del gobierno de datos.

«Sabemos que la información en este siglo es el oro negro, y GNP está muy enfocado en el tema de política y proceso, que guía a nuestros colaboradores, terceros y externos a cómo se debe manejar a la información para prevenir riesgos de robo o fuga de información. Tenemos procesos para la clasificación física y digital o electrónica, para lo cual usamos Kriptos. El tema de tener la trazabilidad de qué nivel de información está usando cada área o cada usuario es un factor muy importante para prever riesgos. Con Kriptos hemos podido saber qué información se está compartiendo, qué se está descargando, y ante un posible incidente de seguridad podríamos dimensionar el impacto que podría causar esta fuga de información», añadió Vivanco.

Automatización para acelerar la clasificación de información

Clasificar grandes volúmenes de información es un reto. Y GNP Seguros, de la mano de Kriptos, aceleró ese proceso, al lograr clasificar 22 millones de documentos digitales en quince días: «Si eso lo hace un recurso humano, le llevaría años. La ventaja ha sido enorme por la velocidad», recalcó Vivanco.

A esto se le debe sumar como beneficio la mejora de la trazabilidad e identificar qué puede servir de la clasificación de la información en materia de ciberseguridad, así como establecer reglas de prevención de fugas de información: «El avance ha sido bueno porque hemos respondido a los incidentes de fuga o robo de información que han incrementado en los últimos años».

Proteger la data crítica

El representante de GNP Seguros mencionó la integración que permite Kriptos con plataformas como DLP, CASB y herramientas de cifrado para la prevención de la fuga de información.

Enfatizó que para sacar el mayor provecho a esta integración se requiere el conocimiento del negocio, alianzas y expertise de las diferentes áreas que conforman la empresa.

«El algoritmo no lo hace todo por sí solo, tiene que tener una alimentación por parte del administrador o administradores para poder hablar el lenguaje, en este caso de GNP, o de cualquier empresa donde se implemente», resaltó Vivanco.

Indicadores de riesgos y alerta

De la mano de Kriptos, GNP ha podido generar indicadores de riesgo e indicadores de alerta. Por ejemplo, si se establece que el comportamiento de almacenamiento de un usuario de información confidencial es de 4 000 documentos y se identifica que en área específica hay un usuario que se sale del promedio y tiene 12 000 documentos de carácter confidencial, esa es una alerta que invita a una revisión y análisis.

«También hemos identificado temas de alertas de confidencialidad y de información restringida que puede ayudarnos a blindarnos a través de reglas de DLP para bloquear la salida de esa información a través de un correo electrónico o a través de un dispositivo de almacenamiento», apuntó Vivanco.

Los beneficios de las herramientas de Kriptos en el área regulatoria y de ciberseguridad

Juan Carlos Vivanco, gerente de seguridad de la información de GNP Seguros, destaca los beneficios clave que su empresa ha obtenido al utilizar la herramienta de clasificación de datos Kriptos durante cuatro años, entre ellos.

Inventario dinámico de información: Kriptos proporciona una visión en tiempo real de cómo está clasificada y distribuida la información dentro de la organización, facilitando así la gestión y protección de los datos.
Cumplimiento normativo:
- Obsolescencia de la información: La herramienta ayuda a identificar y gestionar la información que ha superado su período de retención, facilitando el cumplimiento de las leyes de protección de datos que establecen plazos específicos para la conservación de la información.
- PCI DSS: Kriptos permite identificar documentos que contienen datos de tarjetas de crédito, facilitando la evaluación de los controles de seguridad aplicados a esta información sensible y asegurando el cumplimiento de la normativa PCI DSS.
Toma de decisiones basada en datos: La información proporcionada por Kriptos permite a la empresa tomar decisiones más informadas en cuanto a la gestión de la información, como por ejemplo, definir políticas de retención, implementar medidas de seguridad adicionales o optimizar los procesos de negocio.

En resumen, Kriptos ha sido una herramienta valiosa para GNP Seguros, al permitirles mejorar la visibilidad sobre sus activos de información, simplificar el cumplimiento normativo en materia de protección de datos, fortalecer la seguridad de la información al identificar y proteger los datos sensibles y optimizar los procesos de gestión de la información.

Inteligencia, personalización y colaboración

Casi al cierre de la disertación, Vivanco opinó que la evolución de la tecnología de clasificación de datos se encaminará hacia una mayor inteligencia, personalización y colaboración con una trazabilidad ampliada (no solo indicar la ubicación de los datos, sino también un seguimiento detallado de quién accede, modifica o utiliza la información y con qué fines), protección granular (mecanismos más precisos para garantizar la protección de los datos según su nivel de sensibilidad y los usuarios autorizados), inteligencia artificial generativa, asesoramiento y gobernanza de datos personalizada.

En conclusión, lo que se espera es que la clasificación de datos evolucione hacia sistemas más inteligentes, capaces de aprender de forma autónoma, colaborar con los usuarios y adaptarse a las necesidades específicas de cada organización. Esto permitirá una gestión de la información más eficiente, segura y alineada con las estrategias empresariales.