En los últimos años, el debate sobre la seguridad de la información se ha desplazado con fuerza hacia la ciberseguridad. Se habla de soluciones técnicas, de la prevención de ataques, de servicios SOC y de distintos mecanismos avanzados de supervisión. Al mismo tiempo, cabe preguntarse si la idea original y esencial de proteger la información ha quedado en un segundo plano.
Al examinar los acontecimientos recientes de Nordnet y el debate que se ha generado al respecto, queda claro que las soluciones técnicas se desarrollan continuamente, pero a menudo se pasa por alto la cuestión fundamental: ¿qué es exactamente lo que se protege?
Ciberseguridad vs. Information Security: ¿qué se protege?
Cuando hablamos de ciberseguridad, la conversación suele girar en torno a la protección de la tecnología y los sistemas. Algunas preguntas clave son, por ejemplo:
-
¿Está protegida la red?
-
¿La gestión de accesos está en orden?
-
¿Se han detectado los ataques a tiempo?
Sin embargo, el concepto original de seguridad de la información, information security, no se centra solo en la tecnología, sino en lo que significa la información en los sistemas y en cómo se la protege a lo largo de todo su ciclo de vida.
Las cuestiones clave de la protección de la información son:
-
¿Quién es el propietario de la información y quién puede acceder a ella?
-
¿Es la información íntegra y está disponible cuando se necesita?
-
¿Es la información confidencial y está protegida al nivel adecuado?
-
¿Y qué hay de la conservación a largo plazo de la información y la eliminación de datos según sea necesario?
En el panorama actual de la ciberseguridad, el énfasis se ha desplazado hacia la protección de los sistemas, y la propia información puede quedar desatendida.
¿Qué enseñó el caso de Nordnet?
Cuando los datos de clientes de Nordnet acabaron a la vista de usuarios equivocados, se trató de un claro problema de ciberseguridad, pero sobre todo de un problema de gestión y protección de la información.
Puede que la solución técnica hubiera fallado, pero fue la propia gestión de la información la que condujo a la crisis. La confidencialidad y la gestión de la información son fundamentales, pero con demasiada frecuencia quedan a la sombra de la protección técnica de los sistemas.
El RGPD y otras regulaciones han intentado poner este enfoque más claramente en primer plano: no se trata solo de seguridad técnica, sino también de los derechos de las personas y de la protección del capital de información del negocio.
¿Es hora de volver a centrar el foco en la información?
Cuando se habla de ciberseguridad, ¿debería la conversación volver a la idea original de la seguridad de la información: proteger la información?
Esto significaría que las organizaciones no se centrarían únicamente en proteger sus sistemas, sino también en:
-
Definirían claramente qué información se protege y por qué
-
Crearían procesos que garanticen la integridad y la disponibilidad de la información
-
Tendrían en cuenta todo el ciclo de vida de la información: no solo la prevención de ataques, sino también cómo se gestiona, se archiva y se elimina la información
La protección de la información sigue siendo una parte esencial de la seguridad de la información, pero con el auge de la ciberseguridad no debe quedar en un segundo plano. Ahora es un buen momento para examinar cómo las organizaciones pueden garantizar que exista un equilibrio entre la seguridad de la información y la ciberseguridad, en el que la protección de la propia información se mantenga en el centro.
Markku Arvekari
Digital Transformation Expert
