Administración de derechos sobre la información (IRM): Qué es y por qué es necesaria

Con tantos expertos en seguridad hablando sobre la necesidad de proteger los datos y la información valiosa de la empresa, resulta sorprendente no oír más sobre el poder de la Administración de derechos sobre la información (IRM). IRM es una tecnología que protege la información confidencial integrando el cifrado y los permisos de usuario directamente en el archivo que contiene la información. Es diferente a la mayoría de las otras tecnologías de seguridad que crean protecciones alrededor de los archivos confidenciales.

IRM es una extensión de la Administración de derechos digitales (DRM) de Microsoft tradicional que protege los archivos, aunque debido a la necesidad de un complemento cargado en el escritorio, no ha sido ampliamente adoptada como podría haberlo sido. Las protecciones de IRM permanecen con el archivo, independientemente de dónde se encuentre o quién intente acceder a él, sin necesidad de ningún complemento. Los documentos están protegidos durante todo el ciclo de vida, ya sea que se encuentren “en reposo”, en movimiento o en uso. Otras tecnologías de seguridad tienden a proteger la información en una etapa o en otra. Por ejemplo, las soluciones de seguridad de perímetro como la administración de identidades y accesos (IAM), protege los archivos contra el acceso de usuarios no autorizados. Sin embargo, una vez que la persona puede acceder a la información, puede hacer con ella lo que desee. Enviarla por correo electrónico a una persona fuera de la empresa. Descargarla a un dispositivo móvil. Mover una copia a un espacio de almacenamiento más inseguro. Cualquier cosa que desee. ¿Qué tipo de protección es esta?

También existe la prevención contra la pérdida de datos (también llamada protección contra pérdida de datos o DLP). Se trata de otra tecnología diseñada para evitar que los datos confidenciales salgan del entorno de protección de una organización. El funcionamiento habitual de la DLP consiste en inspeccionar el contenido de un archivo en los puntos de entrada y salida y buscar palabras o patrones específicos que coincidan con reglas predeterminadas. Por ejemplo, todo aquello que parezca un número de Seguro social dentro del contenido del archivo se señaliza y no se permite que el usuario copie ese archivo o lo envíe fuera de la empresa. DLP funciona mejor cuando se busca contenido bien definido (como números de Seguro social o tarjetas de crédito), pero suele no ser suficiente cuando un administrador intenta identificar otros datos confidenciales, como propiedad intelectual que puede incluir componentes gráficos, fórmulas o esquemas.

Junto con las tecnologías como IAM y DLP, IRM es una parte importante de la estrategia de protección integral para proteger tipos específicos de información. No está diseñada para todos los archivos que produce la organización, sino para la información más valiosa, especialmente si la información se debe compartir fuera de la organización. Por ejemplo, cuando dos empresas se comunican entre sí por una fusión, deben compartir información altamente confidencial. Con la IRM integrada en los archivos confidenciales, las empresas pueden estar seguras de que el uso de los archivos está altamente restringido y el propietario de la información puede revocar el uso en cualquier momento.

La IRM es más importante que nunca 

La IRM ha existido desde hace varios años, pero en la actualidad es más importante que nunca. Por un lado, los ladrones cibernéticos se dirigen específicamente a la información más valiosa. Este es uno de los motivos por los que tantos ejecutivos corporativos son víctimas de estafas focalizadas en el correo electrónico como los ataques de “spear phishing”. Los criminales organizados quieren acceder a información financiera corporativa altamente confidencial. Existe un caso reciente de piratas informáticos que robaron informes financieros de los servicios de noticias de PR antes de su lanzamiento público. Los piratas informáticos vendieron estos informes a operadores financieros que usaron la información interna confidencial para realizar negocios y lograr grandes ganancias en la bolsa de acciones.

Otro motivo por el que las organizaciones necesitan IRM para asegurar los archivos importantes es el clima normativo que crece continuamente. Los negocios y las agencias del gobierno también se encuentran sometidos a nada menos que HIPAA, SOX, GGLBA, PCI DSS, FERPA y otras reglamentaciones llenas de acrónimos. La mayoría de ellas requieren que el acceso a la información esté altamente restringido, y la IRM es un medio para lograr ese mandato durante el ciclo de vida del archivo.

El tercer motivo para usar IRM en la actualidad es que los trabajadores suelen ser la fuente de la exposición accidental de los datos. En un estudio de investigación, Ponemon Institute develó que el 60 por ciento de los empleados, de manera ocasional o frecuente, usan aplicaciones de uso compartido de archivos personales en el trabajo, envían correos electrónicos no cifrados, no eliminan correctamente los archivos confidenciales cuando es necesario, o reenvían accidentalmente archivos a personas no autorizadas. Los accidentes y los descuidos suceden, pero IRM puede ayudar a combatir el error humano con la aplicación de los controles adecuados de los documentos.

Entonces, ¿por qué no es muy utilizada? 

Si IRM es una buena medida de seguridad, y la necesidad resulta tan evidente, ¿por qué no la usan más organizaciones?  Bueno, en realidad sí la usan muchas organizaciones, pero no se habla de ello porque se trata de una medida de seguridad. (Esto se llama “seguridad por oscuridad”.) Por ejemplo, Lawyers Without Borders usa Intralinks VIA® exclusivamente para compartir archivos de manera fácil y segura con sus clientes. Al aprovechar las capacidades de IRM de Intralinks VIA, puede retirar el acceso a los documentos en tiempo real.

De todas maneras, ha habido obstáculos ocasionales para su adopción. Algunos productos de IRM requieren la instalación de agentes de software en los escritorios y otros dispositivos de los usuarios finales. Esto puede ser un impedimento para los trabajadores que tienen una configuración de escritorio bloqueada y que no pueden instalar agentes de software por sí mismos. Este punto ha sido, sin dudas, una barrera para muchas grandes corporaciones.

En Intralinks, consideramos que la implementación y el uso de IRM deben ser sencillos e intuitivos y las medidas de seguridad deben ser fuertes, y esto explica por qué no lleva complementos. Si tiene información muy valiosa que debe asegurar, comuníquese con nosotros para saber cómo asegurarla de por vida.