La clave para asegurar los datos externos

En mi última publicación en el blog, hablé sobre la importancia de la ubicación para la protección de los datos. No tanto la ubicación física sino más bien la ubicación legal, política y lógica, que serán los factores impulsores del almacenamiento de datos en los próximos años.

Apenas tres días después de mi publicación anterior, un juez federal defendió la validez de una orden contra Microsoft relacionada con el correo electrónico almacenado por su oficina regional de Irlanda. Microsoft promete continuar con la lucha para proteger la privacidad de sus usuarios en reclamos extraterritoriales. Pero el fallo refuerza la idea de que, para los gobiernos, tanto la ubicación legal (la jurisdicción que rige sobre la entidad controladora) como la ubicación lógica (la jurisdicción desde donde está disponible el acceso) seguirán siendo válidas para los reclamos legítimos.

Apenas una semana después de este fallo, Yahoo (siguiendo el anuncio anterior de Google) anunció que ofrecería a sus usuarios el cifrado completo del correo electrónico para 2015, con los estándares OpenPGP. Sin duda, no es el primero. Hushmail y Startmail (actualmente en versión beta) ofrecen correo electrónico cifrado a los usuarios.

Antes de esto, los usuarios con capacidad tecnológica suficiente podían usar PGP con un cliente de correo electrónico local, como Mozilla Thunderbird o Microsoft Outlook, para comunicarse de manera segura. Si bien las versiones web del correo electrónico cifrado son fáciles de usar, hay que tener la precaución de que los proveedores del servicio no accedan a las claves de cifrado. De lo contrario, terminaríamos en la misma situación en la que se encuentra Microsoft actualmente: entregando los datos de los usuarios porque tiene acceso lógico a ellos.

Un diseño cuidadoso puede no ser suficiente. Notablemente, en 2007, Hushmail de hecho reprogramó su sitio web para cumplir con una orden de interceptación en Canadá, conforme a un tratado de asistencia legal mutua con los Estados Unidos. Con la reprogramación, Hushmail pudo entregar las claves de cifrado al FBI, lo que permitió descifrar los mensajes almacenados en el servicio. Más recientemente, Lavabit, proveedor de servicios de correo electrónico de Edward Snowden, prefirió suspender sus operaciones en lugar de comprometer la seguridad de sus más de 400 000 usuarios debido a un reclamo de interceptación similar. El propietario, Ladar Levison, enfrenta cargos por desacato debido a sus acciones.

Pasos para mantener la privacidad de los datos

Las empresas y los individuos no deben preocuparse solo por las citaciones y las órdenes de los gobiernos. Los empleados malintencionados, los contratistas con intereses monetarios y los piratas informáticos también van detrás de sus datos. Lo cierto es que si otra empresa almacena sus datos y estos están cifrados, pero la empresa conserva las claves, sus datos no están totalmente protegidos.

En efecto, el cifrado reduce las posibilidades de que su información se vea comprometida, pero solo en la medida en que las claves de cifrado estén protegidas. Es como esconder la llave de su casa debajo del tapete. La casa está cerrada, pero la llave está junto a la casa. Un delincuente no tendrá mucha dificultad para abrir la puerta.

El reciente acceso ilegal a iCloud para obtener las fotos de Jennifer Lawrence y de otras 100 celebridades pone en evidencia la necesidad de proteger las cuentas con claves de cifrado individuales. En ese caso, si Apple hubiera almacenado las claves de cifrado en el iPhone (y técnicamente hubiera tenido acceso a ellas), se habría frustrado el intento de los delincuentes, que utilizaron una debilidad general de la seguridad de iCloud para hacer vulnerables todas las cuentas. Los accesos ilegales anteriores a teléfonos de celebridades se realizaron con ingeniería social y ataques específicos. Si las claves de cifrado hubiesen estado descentralizadas en los dispositivos, los delincuentes habrían tenido que atacar a los individuos como lo hacían en el pasado, y no a todo el sistema como hicieron en este caso.

Por lo tanto, si suponemos que conservar los datos dentro de la organización no es una opción, ¿cómo se protege a usted mismo y mantiene la privacidad de sus datos?

• Conserve las claves de cifrado dentro de la organización. Contratar una empresa externa para almacenar sus datos puede brindarle una gran cantidad de beneficios, pero no debe subcontratar el control de los datos. Cada vez más, los proveedores de SaaS descubren los problemas que enfrentan los clientes que no controlan sus datos. Estos proveedores ahora permiten que sus clientes tengan la opción de controlar sus propias claves.
• No use un cliente basado en web. Los clientes basados en web se pueden alterar, comprometer, interceptar con códigos en el servidor o el cliente (scripting entre sitios), o comprometer por medio de un ataque man-on-the-side (como el quantum de la NSA). Si debe utilizar un cliente basado en web, conozca plenamente todos los riesgos.
• Use un cliente dedicado para acceder a sus datos. Aunque los clientes dedicados pueden verse comprometidos, son mucho más seguros que los basados en web. Evite las actualizaciones automáticas de los componentes de software esenciales y confirme la validez de las actualizaciones antes de aplicarlas. Proteja el sistema operativo en el que funciona. Almacene las claves de cifrado en un sistema reforzado, con acceso limitado.

Nadie dijo jamás que proteger la información era fácil. Conservar los datos dentro de la organización no necesariamente brinda la mayor protección. Se pierde la escalabilidad que puede brindar un proveedor externo, no solo en potencia bruta, sino también en seguridad escalable, mayor disponibilidad y protección contra ataques de denegación de servicio, entre muchos otros beneficios. Y debe asegurarse de usar parte de los ahorros de costos para fortalecer la dotación de talentos de seguridad de la información de la empresa a fin de proteger correctamente los datos en la organización.