Fugasdedatosicab 151029072508 Lva1 App6892

Prevención de Fugas de Información
en Despachos de Abogados
Joan Figueras Tugas

Responsable de Informática y Sistemas
Brosa Abogados y Economistas
Perito Judicial Tecnológico (ACPJT)

CISA®, Certified Information Systems Auditor (ISACA)
Privacy & Security Consultant
@JoanFiguerasT
Barcelona, 15 de octubre de 2015

AGENDA
ISACA & ICAB (Secció de Dret de les Tecnologies de la Informació i la Comunicació)
9ª Píldora Tecnológica: «Prevención de fugas de información en despachos de abogados»
Prevención de Fugas de Información

en Despachos de Abogados
• Fugas de Información en despachos de abogados
• Principios de Seguridad
• Origen y consecuencias de una fuga de datos
• Prevención de Fugas (DLP)
• Medidas de Prevención
– Medidas Organizativas
– Medidas Técnicas
• Conclusiones
http://www.bloomberg.com/news/articles/2015-03-11/most-big-firms-have-had-some-form-of-hacking-business-of-law
FUGAS DE DATOS EN DESPACHOS DE ABOGADOS
FUGAS DE DATOS EN DESPACHOS DE ABOGADOS
La Información: uno de los activos más

importantes de las empresas
Datos que almacena un despacho de abogados:
• Información personal de los clientes

• Propiedad intelectual, Patentes
• Detalles sobre operaciones empresariales, Planes de futuro
• Contratos, Informes, Acuerdos comerciales
• Pruebas judiciales, grabaciones, imágenes, declaraciones de
testimonios
• Etc.
Integridad
Confidencialidad
PRINCIPIOS DE SEGURIDAD
Disponibilidad
Fuga de información ≈ Vulneración del Principio de Confidencialidad

CONSECUENCIAS
Consecuencias negativas de una fuga

de información:
• Daños a la reputación y a la imagen del despacho

• Pérdida de confianza de los clientes
• Hacer frente a las reclamaciones del cliente o clientes afectados
• Posibles sanciones
• Desconfianza de socios, colaboradores, organizaciones
ORIGEN DE LAS FUGAS

ORIGEN DE LAS FUGAS
Elaboración propia según datos de DataLossDB.org (09/10/2015)

http://datalossdb.org
ORIGEN DE LAS FUGAS
«The top way by which sensitive data was compromised was

through loss or theft. This includes the loss or theft of portable
devices (USB keys, backups drives, laptops, etc.), physical
records (files, receipts, bills, etc.) and stationery devices (office
computers, specialized equipment, etc.)»
Trend Micro “Dissecting Data Breaches and Debunking Myths” (Oct - 2015)
PREVENCIÓN DE FUGAS DE INFORMACIÓN
DLP ≈ Data Loss Prevention
«Procedimientos para detectar y prevenir la

salida no autorizada de información fuera de los
límites (físicos y lógicos) de una organización»
DLP: TAREAS PREVIAS
[1] Identificación i clasificación de la Información
Confidencial
• Información sensible que requiere un alto nivel de protección, solo

un número reducido de personas tienen acceso.
Interna
• Información corporativa o de trabajo que no puede hacerse pública

pero que puede circular con fluidez dentro del ámbito de control de
la compañía.
Pública
• Información que no necesita medidas especiales de protección.

DLP: TAREAS PREVIAS

[2] Identificación de usuarios y niveles de acceso
Internos
• Usuarios sometidos a las normas, políticas y

procedimientos de la compañía.
Externos
• Usuarios no sometidos a la normativa interna

(colaboradores externos, servicios subcontratados, ...)
DLP: TAREAS PREVIAS

[3] Inventario de equipos de tratamiento de datos
Propios
• Bajo el control de la empresa.
De terceros
• No podemos imponer las medidas de protección a

implementar.
DLP: TAREAS PREVIAS

[3] Inventario de equipos de tratamiento de datos
A lo largo de todo el ciclo de vida de la información:
Obtención Tratamiento Divulgación Almacenamiento

MEDIDAS DE PREVENCIÓN: M. ORGANIZATIVAS
 Política de Seguridad de la Información

 Uso de recursos empresariales
 Uso del correo electrónico
 Normativa BYOD
 Procedimientos de Copia de Seguridad
 Formación y concienciación de trabajadores
MEDIDAS DE PREVENCIÓN: M. TÉCNICAS
[a] En el puesto de trabajo
 Identificación de usuarios y control de accesos

 Restricción de permisos de usuarios en equipos
 Control de dispositivos extraíbles
 Instalar software original
 Actualizaciones de software
 Aplicaciones antivirus / antimalware
[b] En dispositivos móviles
 Herramientas MDM (Mobile Device Management)

 Geolocalización del dispositivo
 Bloqueo o borrado remoto
 Cifrado de información sensible o confidencial
 Conexiones VPN desde redes externas
 Aplicaciones antivirus / antimalware
[c] En la red corporativa
 Identificación de usuarios y control de accessos

 Control de tráfico de red
 IDS / IPS
 Firewall
 Proxy
 Análisis de comportamiento
 Separación red interna de red pública
RESUMEN DE PROTECCIONES
Fugas Externas Fugas Internas

Ataques Ataques no
Intencionadas Accidentales
Dirigidos Dirigidos
ID de usuarios   
Restricción de permisos    
Control de dispositivos  
Antivirus / Antimalware   
MDM   
Cifrado   
VPN  
Firewall / IDS / IPS    
Proxy  
Actualitzaciones softw.   
CONCLUSIONES
 Antes de implantar las medidas hay que realizar un análisis

de la información a proteger.
 Una fuga de información se puede producir en cualquier

nivel de la organización.
 No haber detectado una fuga no es garantía de que no se

haya producido.
 Las políticas de seguridad tienen que venir marcadas por

Dirección.
 Las políticas y normativas internas deben estar actualizadas

y se deben ir recordando.
PARA SABER MÁS
https://www.incibe.es/empresas/guias/Guia_fuga_informacion
http://www.trendmicro.com/cloud-content/us/pdfs/security-intelligence/white-papers/wp-follow-the-data.pdf
MUCHAS GRACIAS!
Joan Figueras Tugas

Responsable Informática y Sistemas
Brosa Abogados y Economistas
joan.figueras@brosa.es
Perito Judicial Tecnológico (ACPJT)

CISA®, Certified Information Systems Auditor (ISACA)
Privacy & Security Consultant
@JoanFiguerasT
Barcelona, 15 de octubre de 2015

Fugasdedatosicab 151029072508 Lva1 App6892

Cargado por

Información del documento

Descripción original:

Título original

Derechos de autor

Formatos disponibles

Compartir este documento

Compartir o incrustar documentos

Opciones para compartir

¿Le pareció útil este documento?

¿Este contenido es inapropiado?

Copyright:

Formatos disponibles

Fugasdedatosicab 151029072508 Lva1 App6892

Cargado por

Copyright:

Formatos disponibles

Prevención de Fugas de Información

Joan Figueras Tugas

Perito Judicial Tecnológico (ACPJT)

Barcelona, 15 de octubre de 2015

Prevención de Fugas de Información

La Información: uno de los activos más

Datos que almacena un despacho de abogados:

• Información personal de los clientes

Fuga de información ≈ Vulneración del Principio de Confidencialidad

Consecuencias negativas de una fuga

• Daños a la reputación y a la imagen del despacho

ORIGEN DE LAS FUGAS

ORIGEN DE LAS FUGAS

Elaboración propia según datos de DataLossDB.org (09/10/2015)

«The top way by which sensitive data was compromised was

DLP ≈ Data Loss Prevention

«Procedimientos para detectar y prevenir la

[1] Identificación i clasificación de la Información

• Información sensible que requiere un alto nivel de protección, solo

• Información corporativa o de trabajo que no puede hacerse pública

• Información que no necesita medidas especiales de protección.

[1] Identificación i clasificación de la Información

• Usuarios sometidos a las normas, políticas y

• Usuarios no sometidos a la normativa interna

[1] Identificación i clasificación de la Información

• Bajo el control de la empresa.

• No podemos imponer las medidas de protección a

[1] Identificación i clasificación de la Información

A lo largo de todo el ciclo de vida de la información:

Obtención Tratamiento Divulgación Almacenamiento

 Política de Seguridad de la Información

[a] En el puesto de trabajo

 Identificación de usuarios y control de accesos

[b] En dispositivos móviles

 Herramientas MDM (Mobile Device Management)

[c] En la red corporativa

 Identificación de usuarios y control de accessos

Fugas Externas Fugas Internas

 Antes de implantar las medidas hay que realizar un análisis

 Una fuga de información se puede producir en cualquier

 No haber detectado una fuga no es garantía de que no se

 Las políticas de seguridad tienen que venir marcadas por

 Las políticas y normativas internas deben estar actualizadas

Joan Figueras Tugas

Perito Judicial Tecnológico (ACPJT)

Barcelona, 15 de octubre de 2015

También podría gustarte