El 10% de los documentos compartidos en cloud contiene datos sensibles

Blue Coat Systems ha distribuido su estudio sobre el shadow data del 4º trimestre de 2015 elaborado por el equipo del Laboratorio de amenazas en la nube de Elastica.

El informe brinda datos sobre cómo los peligros del shadow data están aumentando por el uso que los empleados hacen en sus organizaciones de aplicaciones en la nube para compartir información con otras organizaciones, entre colegas y con clientes. La amenaza fue identificada por primera vez por los Laboratorios de amenazas en la nube de Elastica en 2014, y describe cualquier información confidencial que los usuarios cargan, almacenan y comparten usando aplicaciones en la nube sin la supervisión ni el conocimiento de los equipos de seguridad de TI, y que pueden poner en peligro a las organizaciones a través de costosas brecha de datos

Los analistas revelaron que, de todos los documentos que el usuario promedio almacena en aplicaciones en la nube, el 26% se compartía en forma generalizada, lo que significa que cualquier empleado puede acceder a ellos, son compartidos externamente con colaboradores y proveedores, y en algunos casos son accesibles mediante búsquedas en Google.

Igualmente preocupante es el hecho de que 1 de cada 10 documentos compartidos contienen datos confidenciales y/o están relacionados con el cumplimiento normativo, como el código fuente (48%), datos personales (33%), datos sobre historiales médicos (14%), y datos de pago (5%).

El impacto financiero del shadow data

El nivel de riesgo financiero que el shadow data está creando en las organizaciones está siendo muy importante. Para el segundo semestre de 2015, Elastica ha estimado que posible impacto financiero en una organización promedio, ocasionado por la filtración de sus datos en la nube, era de 1,9 millones de dólares norteamericanos. En el sector de atención de la salud el riesgo potencial es todavía aun mayor, llegando a los 12 millones de dólares. En el sector educativo, los riesgos llegan a alcanzar los 5,9 millones de dólares.

El número de aplicaciones en la nube utilizadas en la empresa ha pasado de 774 a 812, con Office 365 como la más popular
Elastica ha analizado las aplicaciones empresariales en la nube más populares y ha identificado que Microsoft Office 365 ha sido la más popular de todas ellas, desplazando del liderato a Twitter, que se situó en cabeza durante el primer semestre de 2015. El estudio ha desvelado que la empresa tipo tiene actualmente un promedio de 812 aplicaciones que se ejecutan dentro de la organización, cifra que ha crecido desde las 774 del semestre anterior, lo que representa un 5% de crecimiento. Las 10 principales aplicaciones en la empresa son en estos momentos (y por este orden): Office 365, Twitter, YouTube, LinkedIn, Google Apps, Salesforce, AWS, Dropbox, Skype y Box.

Tipos de amenazas en la nube

El estudio de Elastica revela que hay tres tipos o categorías principales de amenazas con los que tienen que enfrentarse las organizaciones cuando utilizan aplicaciones en la nube, ya estén éstas autorizadas o no: 1) transferencia de datos no autorizada (robo), 2) destrucción de datos y 3)apropiación de las cuentas. A nadie le puede sorprender que el robo de datos sea la amenaza más habitual, con el 77%. Es interesante distinguir las diferentes formas en las que esto se realiza: emisión de correos electrónicos frecuente anómalo (18%), uso compartido frecuente anómalo (41%), descargas frecuentes anómalas (15%) y visitas previas frecuentes anómalas (3%). Esto último significa que los usuarios están haciendo capturas de pantallas de datos sensibles.

“Estamos en un punto en el ciclo de seguridad donde el shadow IT ya no es el principal foco. En estos momentos, las organizaciones deben preocuparse por las aplicaciones en la nube disponibles y poner en práctica políticas que permitan controlar lo que está siendo utilizado”, comenta Rehan Jalil de Blue Coat Systems y fundador de Elastica. “Ha llegado el momento de centrarse en los problemas de verdad, que son la necesidad de saber qué tipos de información están compartiendo los empleados, quién puede acceder a esos datos, y cómo parar las exposiciones de alto riesgo que pueden acabar en brechas de información”.