Las organizaciones de todas las verticales—entre ellas la educación superior— enfrentan una batalla constante y compleja para lograr la protección de datos sensibles. De acuerdo con el Reporte de Tendencias de Protección de Datos 2024, de Veeam, 92% de las organizaciones aumentarán este año su gasto en ciberseguridad. Buscan fortalecer la resiliencia de datos ante la amenaza continua de ataques de ransomware y otras vulnerabilidades.

Según el mismo informe, 76% de las organizaciones reconocen tener una brecha de protección. Además, 37% de los servidores experimentaron al menos una interrupción inesperada el año pasado.

Con todo, adicionalmente a la inversión tecnológica, un elemento crucial en esta lucha es la educación. Hay demasiados conceptos erróneos, por lo cual queremos enfatizar sobre los tres mitos principales en torno a la protección de datos sensibles.

Responsabilidad compartida

●Mito 1: Los proveedores de nube respaldan sus datos. Las empresas, acostumbradas a almacenar datos y cargas de trabajo en la nube, saben que las violaciones de seguridad en este entorno han superado las que tienen lugar en los servidores on-premises. (Esto no significa que uno sea más seguro que el otro; sólo muestra el cambio en el equilibrio de poder —o datos— de las organizaciones modernas). A pesar de ello, sigue habiendo un malentendido generalizado sobre el modelo de responsabilidad compartida de la nube.

Un estudio de 2023 encontró que 43% de los administradores de datos de TIC creen, incorrectamente, que los proveedores de nube se encargan de todo una vez que se han migrado los datos, y que son responsables de proteger y recuperar toda la información contenida en la nube.

Sin embargo, simplemente no es así. La protección de datos sensibles, esto es, efectuar su respaldo y recuperación ante desastres, suele ser responsabilidad compartida. El proveedor de nube ofrece las herramientas y capacidades, pero depende del cliente configurar y administrar las copias de seguridad según sus necesidades. Si desea traspasar esas responsabilidades a un tercero, puede hacerlo con Backup-as-a-Service (BaaS) y Platform-as-a-Service (PaaS), pero no vienen como estándar.

La solución no pasa por el rescate

●Mito 2: Al padecer un ataque de ransomware, pagar el rescate es la solución. El ransomware es la principal amenaza cuando se trata de la protección de datos sensibles. Según el reporte mencionado antes, tres de cada cuatro organizaciones sufrieron al menos un ataque de este tipo el año pasado. Además, una cuarta parte del total fue atacada más de cuatro veces. Tener que recuperarse del ransomware es una desafortunada realidad para las empresas modernas; aunque demasiadas organizaciones (81%, de acuerdo con el Reporte de Tendencias de Ransomware 2024) terminan pagando las demandas, sólo 54% logró recuperar sus datos.

El principal error no es pensar que pagar un rescate esté libre de riesgos. Lo es desestimar el tiempo que lleva recuperar los datos, incluso si funciona el pago. No se trata de apuntar y hacer clic. El descifrado es una tarea bastante manual, y las claves de descifrado desbloquean sólo una pequeña cantidad de archivos a la vez. ¡Algunos grupos incluso cobran más por claves adicionales para agilizar el proceso!

No es de extrañar que, en promedio, recuperarse de un ataque de ransomware demore poco más de tres semanas (según se menciona en el reporte citado).

Protección de datos sensibles y respaldos

●Mito 3: Usar respaldos tras un incidente de ransomware. Los expertos en ransomware de la industria han hecho grandes esfuerzos hacia evangelizar en contra de pagar el rescate. Sin embargo, también buscan educar a las organizaciones sobre cómo el respaldo y la recuperación de datos representan una forma mucho más segura, confiable y ética de salir adelante de los ataques de este tipo de malware. Hoy prácticamente todas las organizaciones se toman en serio los respaldos. Y más ahora, pues diversas regulaciones los vuelven un requisito legal para muchas. Sin embargo, algunas están menos preparadas de lo que piensan cuando se trata de usar los respaldos para recuperarse del ransomware.

Uno de los temas más comunes en materia de recuperación de ataques de ransomware es cuando el respaldo es comprometido durante el incidente. De hecho, los atacantes pueden afectar los repositorios de respaldo en tres de cada cuatro ataques. ¿La solución? Tener varias copias de respaldo, contar con copias de seguridad inmutables y mantener una versión fuera de línea (offline).

Un entorno para la protección de datos sensibles

Otro obstáculo que enfrentan las organizaciones para la protección de datos sensibles es no tener un entorno listo para recuperarlos. A veces, se dan cuenta muy tarde de que el entorno de producción que alberga las cargas de trabajo, sea en la nube u on-premises, no ha estado disponible por algún tiempo, sino que está comprometido o “acordonado” como escena de un crimen activo.

Se necesita un entorno de respaldo para recuperar los datos de respaldo durante una interrupción. Si se trata de una nube, asegúrese de que su equipo se sienta técnicamente cómodo con cómo funciona esa nube en particular. Esto es porque no querrá tener que refactorizar datos o aprender nuevas especificaciones de la nube en medio de una interrupción.

Garantizar la resiliencia para la protección de datos sensibles es una tarea interminable; requiere una adaptación constante a nuevas amenazas y tecnologías. Esto significa que debemos educarnos continuamente a nosotros mismos, a los especialistas responsables y a las partes interesadas más amplias. Esto abarca a los altos directivos y los equipos de finanzas y cumplimiento. Los conceptos erróneos generalizados pueden hacer que una organización sea vulnerable o más lenta a la hora de proteger los datos. El conocimiento es poder y la ignorancia es felicidad hasta que las cosas empiezan a ir mal.