Violación de datos

Una violación de datos, también conocido como filtración o escape de datos (del inglés "data breach") es una infracción de la seguridad, en la que datos sensibles, protegidos o confidenciales son copiados, transmitidos, vistos, robados o utilizados por una persona no autorizada para hacerlo.​ Otros términos son divulgación involuntaria de información, fuga de datos, fuga de información y derrame de datos. Los incidentes van desde los ataques concertados de individuos que piratean en beneficio personal o con malicia (black hats), el crimen organizado, los activistas políticos o los gobiernos nacionales, hasta la seguridad de sistemas mal configurados o la eliminación descuidada de equipos informáticos o soportes de almacenamiento de datos usados. La información filtrada puede abarcar desde asuntos que comprometen la seguridad nacional hasta información sobre acciones que un gobierno o funcionario considera vergonzosas y quiere ocultar. Una violación deliberada de datos por parte de una persona con conocimiento de la información, normalmente con fines políticos, se describe más a menudo como una "filtración".​

Las violaciones de datos pueden afectar a la información financiera, como los datos de las tarjetas de crédito y débito, los datos bancarios, carpeta de salud personal, la información de identificación personal, los secretos comerciales de las empresas o la propiedad intelectual. Las violaciones de datos pueden afectar a datos no estructurados sobreexpuestos y vulnerables: archivos, documentos e información sensible.​

Las violaciones de datos pueden ser bastante costosas para las organizaciones, con costes directos (reparación, investigación, etc.) e indirectos (daños a la reputación, proporcionar ciberseguridad a las víctimas de los datos comprometidos, etc.).

Según la organización de consumidores sin ánimo de lucro Privacy Rights Clearinghouse, un total de 227.052.199 registros individuales que contenían información personal sensible se vieron implicados en violaciones de seguridad en Estados Unidos entre enero de 2005 y mayo de 2008, excluyendo los incidentes en los que aparentemente no se expusieron datos sensibles.​

Muchas jurisdicciones han aprobado leyes de notificación de violaciones de datos, que exigen que una empresa que ha sido objeto de una violación de datos informe a los clientes y tome otras medidas para remediar los posibles daños.

Definición

Una violación de datos puede incluir incidentes como el robo o la pérdida de medios digitales como cintas de ordenador, discos duros u ordenadores portátiles con información sin cifrar, la publicación de dicha información en la World Wide Web sin las debidas precauciones de seguridad de la información, la transferencia de dicha información a un sistema que no es completamente abierto pero que no está acreditado adecuada o formalmente para la seguridad, como el correo electrónico sin cifrar, o la transferencia de dicha información a los sistemas de información de un organismo posiblemente hostil, como una empresa de la competencia o una nación extranjera, donde puede estar expuesta a técnicas de descifrado más intensivas.​

La norma ISO/IEC 27040 define una violación de datos como: el compromiso de la seguridad que conduce a la destrucción accidental o ilegal, la pérdida, la alteración, la divulgación no autorizada o el acceso a datos protegidos transmitidos, almacenados o procesados de otro modo.​

Consecuencias

Aunque estos incidentes suponen el riesgo de robo de identidad u otras consecuencias graves, en la mayoría de los casos no se producen daños duraderos; o bien la brecha de seguridad se remedia antes de que personas sin escrúpulos accedan a la información, o bien el ladrón sólo está interesado en el hardware robado, no en los datos que contiene. No obstante, cuando estos incidentes se hacen públicos, es habitual que la parte infractora intente mitigar los daños proporcionando a la víctima la suscripción a una agencia de información crediticia, por ejemplo, nuevas tarjetas de crédito u otros instrumentos. En el caso de Target, la filtración de 2013 le costó una importante caída de los beneficios, que se calcula que descendieron un 40% en el cuarto trimestre del año.​ A finales de 2015, Target publicó un informe en el que afirmaba haber sufrido una pérdida total de 290 millones de dólares por tasas relacionadas con la filtración de datos.​

Las filtraciones de datos en el ámbito de la salud tienen consecuencias graves, poniendo en riesgo la información sensible de los pacientes. Desde 2005 hasta 2019, 249 millones de personas se vieron afectadas por este tipo de filtraciones. En 2019, se produjeron 505 filtraciones de datos en el sector de la salud, exponiendo 41.2 millones de registros. El impacto financiero es considerable, ya que las filtraciones en el ámbito de la salud tienen un costo promedio de $6.45 millones, más alto que las filtraciones en otras industrias según un informe de IBM.​

Según la ONG "Privacy Rights Clearinghouse" más de 200 millones registros de datos personales se filtraron en violaciones de datos sólo en los Estados Unidos entre enero de 2005 y mayo de 2008​

Véase también

• Revelación completa

Enlaces externos

• "Data Loss Database", proyecto que documenta problemas de pérdida de datos a nivel global.
• World's Biggest Data Breaches

• Datos: Q1172486