El riesgo de los datos ocultos y la IA oculta conduce a mayores costos de filtración

Los líderes de seguridad están acostumbrados a pensar en la defensa en profundidad y a garantizar que su pila de seguridad y su arquitectura general proporcionen resiliencia y protección. Aunque este paradigma sigue siendo válido hoy en día, podría ser el momento de pensar en cambiar a la seguridad que da prioridad a los datos. Esto significa una gestión de datos que se corresponda con los casos de uso actuales, y donde los datos sean el activo central que requiere protección durante todo su ciclo de vida, uso y eliminación. Un cambio de paradigma en materia de seguridad de datos queda ampliamente respaldado por los datos que figuran en la edición de 2024 del Informe del costo de una filtración de datos.

El informe presenta una investigación que estudia las causas, los impactos en los costos y la recuperación de las filtraciones reales en 604 organizaciones de todo el mundo y en 17 industrias. Los hallazgos muestran algunas tendencias interesantes que pueden ayudar a resolver el rompecabezas de los datos, incluidos los impactos en la seguridad, la privacidad, la gobernanza y la regulación. Todos estos aspectos ya ven aumentar los riesgos elevados debido a la prisa por proporcionar nuevas iniciativas de IA generativa (IA generativa) y llevarlas al mercado rápidamente, dejando atrás las consideraciones de seguridad. De manera alarmante, una encuesta reciente sobre la seguridad de la IA generativa reveló que solo el 24% de las nuevas iniciativas incluyen un componente de seguridad.

Los datos se han convertido en el principal activo en el que confían las empresas hoy en día. Pero aunque los datos son los reyes, todavía no se gestionan ni protegen lo suficiente como para que coincidan con su importancia y el impacto potencial de la pérdida de datos. Veamos algunas formas en que los datos, el recorrido de los datos y los paradigmas de protección que rodean sus ciclos de vida fueron los principales factores que contribuyeron al costo de las filtraciones de datos.

En primer lugar, los datos hoy en día están a una escala que requiere que las organizaciones vayan más allá de sus antiguas infraestructuras on premises y de nube privada. Los controladores aquí son la escalabilidad del volumen de datos, pero también las demandas de tráfico y carga de trabajo que solo crecen con el tiempo. Con los datos viajando a través de entornos de múltiples nubes, el Informe del costo de una filtración de datos señala de manera significativa que el 40% de las brechas involucraban datos almacenados en múltiples tipos de entornos. Cuando se vulneraron, los entornos de nube pública incurrieron en el costo promedio más alto de filtración con 5.17 millones de dólares.

¿Por qué sucede esto? La naturaleza descentralizada de multi-nube es un factor complejo para visualizar y controlar los datos—y en casos de brecha, simplemente se tarda más en recopilar información, investigar y activar el soporte del proveedor de la nube para contener la brecha. Las nubes también alojan más datos, y la escala significa que se vulneran más datos de una vez, lo que puede aumentar el impacto en los clientes y los costos de recuperación.

Los datos están dispersos en más lugares que nunca, y el 35 % de las filtraciones de este año involucraron datos almacenados en almacén de datos no gestionados, también conocidas como “datos ocultos”. Esto se tradujo en que los datos no se clasificaron correctamente o en absoluto, no se protegieron adecuadamente y no se gestionaron en términos de su ciclo de vida a medida que se mueven dentro y hacia la organización. Teniendo en cuenta que el 25% de las brechas que involucran datos ocultos se realizaron únicamente en las instalaciones, esta situación probablemente resalta el riesgo no administrado en forma de brechas de gobernanza de datos, problemas de privacidad de datos e impacto regulatorio inminente.

Las filtraciones relacionadas con datos ocultos también tardaron un 26.2 % más en identificarse y un 20.2 % más en contenerse, con un promedio de 291 días. Esto inevitablemente dio como resultado mayores costos de filtración con un promedio de USD 5.27 millones donde los datos ocultos estuvieron involucrados, pero eso es solo la punta del iceberg aquí si uno considera el efecto indirecto de las filtraciones a otros en el ecosistema, los posibles problemas contractuales y las demandas son parte de una cola más larga de costos que continúan acumulándose 2-3 años después de la filtración.

Cuando los datos no se inventarian y catalogan de manera efectiva, no se clasifican adecuadamente y, por lo tanto, tampoco se protegen adecuadamente. Podrían ser fácilmente datos que deberían haberse etiquetado como restringidos o confidenciales, lo que lleva a la siguiente estadística del informe. Los atacantes pudieron acceder a datos mucho más confidenciales durante las filtraciones, lo que provocó un aumento del 26.5 % en el robo de IP. Lost IP costó considerablemente más por registro que el año pasado, aumentando a USD 173 en 2024 desde USD 156 por registro en el informe de 2023; un aumento del 11 %.

Pero dejemos de lado ese costo por un momento. El impacto del robo de propiedad intelectual puede significar, literalmente, que la organización pierda su ventaja competitiva. Puede perder una parte considerable del mercado y los ingresos que esperaba generar a partir de la propiedad intelectual estratégica. ¿A qué accionista no le alarmaría esta estadística, considerando que la mayoría de las organizaciones se están embarcando activamente en el desarrollo de aplicaciones innovadoras de IA generativa que esperan monetizar exclusivamente?

Un efecto secundario costoso de una protección de datos deficiente es la pérdida de negocios y el daño a la reputación, por un promedio de USD 1.47 millones y la mayor parte del aumento en el costo promedio de una filtración en 2024.

Con la IA generativa como la nueva fiebre del oro hoy en día, los stakeholders en la organización pueden exponerla fácilmente a riesgos no administrados vinculados con datos no sancionados, modelos y uso general de IA. Estos usos pueden ser invisibles para los equipos de TI y seguridad, lo que puede resultar en incidentes de gran impacto en el futuro.

Otro factor de riesgo son los conjuntos de datos destinados a su uso en la implementación de la IA, que proceden de múltiples proveedores externos. No gestionadas por el equipo de seguridad, estas fuentes externas pueden agregar riesgos como envenenamiento y vulnerabilidades. Pero los riesgos más insidiosos son los modelos en la sombra y una gran cantidad de transmisión de datos sin cifrar que entran y salen de los entornos de nube.

Piensa en este escenario, por ejemplo: una organización sanitaria emplea IA generativa para identificar anomalías en radiografías de tórax. Envían las imágenes a un modelo en la nube para recibir resultados, pero las imágenes viajan y se utilizan sin cifrar. Un atacante accede a las imágenes y luego extorsiona al proveedor de atención médica para que pague un rescate. Lo mismo puede ocurrir con el texto sin cifrar o cualquier otro dato desprotegido que debería estar mejor protegido. No se sorprenda si pronto se presenta una demanda por parte de los interesados afectados.

Hoy en día, la mayoría de las organizaciones perderían casi toda su productividad si perdieran el acceso a los datos. Desde la forma más simple de productividad de los empleados hasta la complejidad de las empresas basadas en datos, las empresas no consideran los datos como un subproducto de su negocio. Los datos son el principal activo con el que las organizaciones alinean su cultura, organización y tecnología, para una innovación sostenida y un crecimiento empresarial sostenible. Es lógico que los datos se gestionen y protejan en la medida adecuada de su clasificación, y utilizando las tecnologías adecuadas para lograrlo.

Identificar, clasificar, cifrar. Cuanto mejor estén protegidos los datos, menor será el aprovechamiento que tendrán los atacantes en caso de una filtración de datos. Esto también significará un menor impacto para los sujetos de datos y las posibilidades de que las multas regulatorias también se reducen. Entonces, encripta y hazlo de manera inteligente. No todos los datos son iguales. Si su organización utiliza imágenes u otro tipo de datos, conozca mejores formas de cifrarlos para que pueda usarlos de manera segura y disfrutar de sus beneficios.

Cuanto más innovadora sea su organización, cuanto más utilice los datos, más importante será el cifrado. Considera la computación confidencial para tus casos de uso, así como el cifrado post-cuántico para asegurar que los datos protegidos sigan protegidos en el futuro.

Dado que los datos están evidentemente dispersos en todos los entornos y permanecen expuestos en muchos casos, una forma de recuperar el control es a través de gestión de la postura de seguridad de los datos (DSPM). La DSPM es una tecnología de ciberseguridad que identifica datos confidenciales en múltiples entornos y servicios en la nube, evaluando su vulnerabilidad a las amenazas de seguridad y el riesgo de incumplimiento normativo. En lugar de proteger los dispositivos, sistemas y aplicaciones que alojan, mueven o procesan datos, los equipos de seguridad pueden utilizar DSPM para centrarse en proteger los datos directamente.

Con la escala y los escenarios de uso de datos en soluciones de IA generativa, las organizaciones deben repensar su ciclo de vida de los datos y cómo protegerlos a escala, en todos sus estados. Piense en proteger los datos de entrenamiento protegiéndolos del robo y la manipulación. Las organizaciones pueden usar el descubrimiento y la clasificación de datos para detectar elementos de entrenamiento que sean sensibles o que requieran ajustes. También pueden establecer controles en torno a la seguridad de datos por medio del cifrado, la gestión de accesos y el monitoreo del cumplimiento. Amplíe la gestión de posturas a los modelos de IA para proteger los datos confidenciales de entrenamiento de IA, obtener visibilidad del uso de modelos de IA no autorizados o en la sombra, desviaciones maliciosas, uso indebido de IA o fuga de datos.

El uso de datos ya implica amplios requerimientos por parte de los reguladores de privacidad de datos. Estas demandas son cada vez más elaboradas y matizadas cuando se trata de datos utilizados en soluciones y escenarios habilitados para IA. Esto significa que las capacidades tradicionales de protección de datos pueden no ser suficientes y requerir mecanismos mejorados de clasificación, protección y supervisión, así como controles mejorados para la auditabilidad y supervisión.

En su 19^a edición este año, el Informe del costo de una filtración de datos proporciona a los responsables de TI, gestión de riesgos y seguridad datos oportunos y cuantificables para orientarles en la toma de decisiones estratégicas. También ayuda a los equipos a gestionar mejor sus perfiles de riesgo y las inversiones en seguridad. Este año, las estadísticas proporcionan experiencias de las experiencias de 604 organizaciones y 3556 líderes empresariales y de ciberseguridad que se enfrentaron a una filtración de datos. Descargue una copia del informe para obtener ejemplos del mundo real y recomendaciones de expertos sobre cómo mitigar los riesgos.