La ética del monitoreo de redes y seguridad

Las organizaciones monitorean sus redes informáticas por una variedad de razones, desde obtener información sobre el tiempo de actividad, el rendimiento y las interrupciones hasta identificar posibles vulnerabilidades y exploits de seguridad cibernética. Al hacerlo, a menudo recopilan más datos sobre empleados, clientes, prospectos, proveedores y más de lo que realmente se necesita. La opinión predominante es que, dado que los datos están ahí, son fáciles de recopilar y relativamente baratos de almacenar, ¿por qué no recopilarlos? Sin embargo, dadas las amplias capacidades de la tecnología actual y su integración en todos los aspectos de nuestras vidas, existe el riesgo de recopilar datos privados e innecesarios de manera intencional o accidental.

Más datos significa más riesgo

Este problema solo aumentará a medida que las tecnologías de vigilancia continúen mejorando y sean capaces de capturar perspectivas más amplias y características personales únicas. Actualmente, las empresas recopilan una gran cantidad de datos directos sobre las personas y utilizan el enriquecimiento de terceros para agregar detalles más completos, algunos de los cuales son más intrusivos de lo necesario. A medida que se recopilan diferentes datos capa por capa, es probable que los conocimientos traspasen cada vez más los límites de la privacidad y produzcan nuevos conocimientos. riesgo.

Cualquier dato recopilado durante la vigilancia, incluida la información financiera, las comunicaciones, la propiedad intelectual, los archivos personales, los contratos y otros materiales confidenciales, puede convertirse en conocimiento público ya sea por piratería informática o por error humano. Un reciente cuento con moraleja es un Configuración incorrecta del servidor del Departamento de Defensa que escupió mensajes de correo electrónico e información personal confidencial de empleados federales. Si bien esta información se requería para autorizaciones de seguridad militar, muchas empresas recopilan datos similares sin una necesidad legítima, lo que genera un riesgo innecesario de divulgación.

Los piratas informáticos explotan rutinariamente los datos personales para extraer credenciales de autenticación que les permiten monetizar su ciberdelincuencia, que se ha vuelto más fácil y lucrativo gracias a las criptomonedas. También hay actores del estado-nación, espionaje industrial e incluso organizaciones con motivaciones políticas que intentan adquirir propiedad intelectual para mejorar su posición. No tiene que ser un secreto de empresa. Es posible que esté buscando un proceso, una aplicación, un diagrama de ingeniería o incluso mensajes de texto simples.

Cuando la vigilancia parece vigilancia

Otro problema con la recopilación excesiva de datos es el impacto que tiene en los empleados. Cuando las organizaciones y los proveedores obtienen información que no es necesaria para la tarea principal de monitoreo, puede alertar a los empleados. Esto es especialmente cierto ya que los límites entre el trabajo y el hogar se están desdibujando y los dispositivos personales están cada vez más disponibles para la recopilación de datos empresariales.

Además, cuando los datos recopilados no se pueden rastrear para un propósito específico, los empleados pueden confundir el monitoreo legítimo de la red y la seguridad con la vigilancia, particularmente como monitoreo de empleados Las herramientas se hicieron más frecuentes a medida que despegaba el trabajo remoto. Estas herramientas tienen un propósito diferente al de las herramientas de monitoreo de red y seguridad, pero los empleados no siempre se dan cuenta de eso.

Toma el control de los datos

Cuando se trata de monitoreo de redes y seguridad, existe un caso sólido para recopilar y analizar datos en el nivel micro discreto. Pero a nivel macro, donde se recopila más información personal e innecesaria y se vincula a otras fuentes de datos, el caso puede perder su validez. Esto sucede a menudo cuando los directores de información (CIO) y otros se involucran tanto en las capacidades avanzadas de la tecnología de vigilancia que sus buenas intenciones se ven empañadas y conducen a resultados cuestionables. Aquí hay algunos pasos para evitar que los datos tomen el control:

● Como empresa, es importante cambiar la forma de ver los datos. Para muchos ejecutivos, cada punto de datos se ve a través de la lente de la misión empresarial en lugar de desde una perspectiva de privacidad. La clave es identificar cada punto de datos recopilado y determinar si se trata de información central o información de enriquecimiento. En la mayoría de los casos, los datos recopilados únicamente con fines de enriquecimiento son más difíciles de justificar.

● Con los avances en el análisis de datos, no se trata solo de verificar la información que ingresa al sistema. Se trata de cómo se entrenan los algoritmos y qué controles existen para definir qué es confidencial y cómo se mantiene así. Sin estos controles, el algoritmo puede usar puntos de datos innecesarios, lo que da como resultado una salida que responde preguntas que nunca deberían hacerse.

● Además de mejorar la consistencia y la calidad de los datos, un equipo de gobierno de datos puede ser invaluable para educar a los empleados y otras personas sobre lo que se monitorea y lo que no se monitorea y por qué. También pueden desarrollar y hacer cumplir las políticas de datos corporativos y garantizar el cumplimiento de las normas y reglamentos para evitar que se infrinjan los límites de privacidad de datos.

● Debe haber instrucciones claras para los proveedores de que los datos recopilados deben estar vinculados a los servicios prestados. Los líderes de TI deben tener estos tres requisitos para los proveedores:

— Proporcionar una descripción detallada de todos los datos recopilados, cómo se recopilan, con qué frecuencia se recopilan y cómo se utilizan.

—Describir el mecanismo de acceso utilizado para recopilar datos y determinar si permite la recopilación de datos innecesarios y en qué medida.

— Explique si hay opciones para excluirse de la recopilación de ciertos puntos de datos y, de ser así, cuál podría ser el impacto.

Es probable que una revisión exhaustiva de los procedimientos de recopilación y monitoreo de datos muestre que la mayoría de las organizaciones están yendo demasiado lejos y poniendo en riesgo a la empresa, sus empleados y sus clientes. Es hora de aceptar que la posibilidad de ser pirateado ya no es muy pequeña. Esto aumenta la necesidad de que las organizaciones tomen las medidas necesarias para repensar sus estrategias de recopilación y monitoreo de datos y adoptar las mejores prácticas para proteger la privacidad de los empleados y la integridad comercial.