2.500 millones de registros expuestos, lo que significa un rápido aumento de las filtraciones de datos

Un informe encargado por Apple esta semana reiteró por qué los analistas han recomendado durante mucho tiempo el uso de cifrado de extremo a extremo para proteger los datos confidenciales contra robos y usos indebidos.

El informe se basa en un estudio independiente de datos de violaciones reportados públicamente realizado para el gigante tecnológico por un profesor del Instituto de Tecnología de Massachusetts. Descubrió que las campañas de ransomware y los ataques a proveedores de tecnología confiables han contribuido a un fuerte aumento en las violaciones de datos y la cantidad de registros comprometidos por estas violaciones en los últimos dos años.

Miles de millones de registros comprometidos

En 2021 y 2022, las filtraciones de datos expusieron la asombrosa cifra de 2.600 millones de datos personales, alrededor de 1.500 millones de ellos solo en el último año. Es probable que esta cifra sea aún mayor en 2023 si las tendencias de lo que va de año sirven de indicación.

El número total de filtraciones de datos solo en los primeros nueve meses de 2023 ya es un 20% mayor que el total de todo 2022. Las filtraciones corporativas e institucionales expusieron datos confidenciales de alrededor de 360 ​​millones de personas a finales de agosto de 2023.

Datos del Costo de una violación de datos en 2023 de IBM y un estudio de investigación separado de Forrester citado en informe de manzana, mostró que el 95% de las empresas que habían sufrido recientemente una vulneración ya habían sufrido al menos otra vulneración. El 75 por ciento había experimentado al menos un incidente de compromiso de datos en los últimos 12 meses.

Los ataques de ransomware y de proveedores contribuyeron significativamente al fuerte aumento de las filtraciones de datos y al consiguiente compromiso de conjuntos de datos confidenciales. Por ejemplo, la cantidad de ataques de ransomware en los primeros nueve meses de 2023 fue un 70% mayor que en el mismo período de 2022. Aproximadamente un 50% más de empresas informaron haber experimentado un ataque de ransomware en la primera mitad de 2023 que en el año 2022, y la cifra parece tener una tendencia aún mayor en la segunda mitad del año.

El estudio también encontró que el 98% de las empresas tienen actualmente una relación con un proveedor de tecnología que ha experimentado al menos una filtración de datos reciente. Los ejemplos en el informe de infracciones relacionadas con proveedores y tecnologías de proveedores que afectaron a una variedad de organizaciones e individuos incluyen aquellos en Fortra, 3CX, software de progresoY microsoft.

«Esta creciente amenaza a los datos de los consumidores es el resultado de la creciente cantidad de datos personales no cifrados que las empresas y otras organizaciones recopilan y almacenan, particularmente en la nube», dijo Apple en su informe. «Las organizaciones pueden reducir la probabilidad de que los piratas informáticos utilicen o vendan los datos de sus consumidores cifrando los datos almacenados en sus redes y haciéndolos legibles sólo por aquellos que tienen la clave para descifrarlos».

Las infracciones aumentan la necesidad de cifrado

La necesidad de que las organizaciones cifren los datos (mientras están en uso, en tránsito y en reposo) es un problema de larga data. Pocos cuestionan la eficacia del cifrado de datos para proteger los datos robados del uso indebido y hacer que los datos robados sean inútiles para quienes los roban. Varias regulaciones y mandatos de la industria, como PCI DSS, HIPAA, GLBA y el GDPR de la UE, requieren o recomiendan el cifrado, particularmente para datos en reposo y para datos en tránsito.

«El cifrado proporciona una excelente protección contra el acceso no autorizado a información confidencial», afirma Demi Ben-Ari, CTO y cofundadora de Panorays. El cifrado hace que los datos sean ilegibles para partes no autorizadas, lo que reduce significativamente el riesgo de que los datos queden expuestos incluso en caso de una violación de datos, afirma. «El poder del cifrado para inutilizar los datos robados subraya su papel fundamental como medida de protección fundamental».

Aún así, como sugieren el estudio de Apple y otros, muchas empresas han seguido dando largas al asunto. Cifrado de datos por un número de razones. Estos incluyen la complejidad percibida de los sistemas de cifrado, los costos potenciales involucrados, las preocupaciones sobre el impacto en el rendimiento y la falta de experiencia interna para gestionar eficazmente los sistemas cifrados, afirma Craig Jones, vicepresidente de operaciones de seguridad de Ontinue.

Un desafío de moderado a difícil

«La implementación del cifrado de extremo a extremo puede variar desde moderadamente difícil hasta muy desafiante dependiendo del tamaño de la organización, la infraestructura existente y los tipos de datos que se cifran», dice Jones. «Requiere una planificación cuidadosa, una inversión en las herramientas y tecnologías adecuadas y, a menudo, un cambio cultural en la forma en que se percibe y gestiona la seguridad de los datos». A menudo, las empresas pueden enfrentarse a problemas relacionados con la gestión de claves, que es un gran problema porque la pérdida de claves puede provocar la pérdida permanente del acceso a los datos. Las empresas también deben considerar los posibles impactos en el rendimiento asociados con el cifrado y garantizar la compatibilidad con los sistemas y formatos existentes, afirma Jones.

La rápida y creciente adopción de la computación en la nube es otro factor que las empresas deben considerar al considerar planes de cifrado. Los datos analizados en el estudio de Apple mostraron que el 80% de las infracciones involucraban datos almacenados en la nube. Cifrar dichos datos puede ser más desafiante que cifrar datos localmente.

Las empresas con buenas prácticas de seguridad suelen tener una visión completa de sus redes heredadas, afirma Ken Dunham, director de amenazas cibernéticas de Qualys. «Pero cuando migran a la nube, a menudo pierden la capacidad de tener controles, visibilidad, gestión y operaciones similares para hacer frente a los pros y los contras del cifrado en la práctica». tecnologías mientras se completan iniciativas de transformación digital añade otra capa de complejidad, añade.

Un error que pueden cometer las organizaciones es confiar únicamente en los proveedores de la nube para cifrar los datos, dice Ben-Ari: «Si bien los proveedores de la nube brindan valiosas medidas de seguridad, las organizaciones deben asumir la responsabilidad directa de cifrar sus datos».

Recomienda que las organizaciones den prioridad a las tecnologías fáciles de usar para permitir una integración fluida; A través de implementaciones graduales, se pueden minimizar aún más las interrupciones en las operaciones diarias.

Finalmente, recomienda que las empresas aprovechen el modelo de responsabilidad compartida que ofrecen muchos proveedores de nube y proveedores líderes de SaaS, lo que permite a las empresas proporcionar muchas funciones de cifrado avanzadas a los usuarios con solo hacer clic en un botón.