¿Qué es la información de identificación personal (PII)?
La era digital actual se basa en los datos de clientes y consumidores: los datos son el nuevo activo más valioso. Siempre que se recopilen con consentimiento y transparencia, los datos de los consumidores son clave para que las empresas generen valor para sus clientes, por ejemplo, mediante la personalización y la transformación de sus experiencias. Entre los diversos atributos de los datos de los consumidores se encuentran aquellos que permiten identificarlos de forma unívoca; este conjunto de datos se denomina información personal identificable (IPI). Ejemplos de IPI incluyen el nombre, la dirección de correo electrónico, el número de teléfono, la dirección postal y otros atributos relacionados con la información demográfica, financiera, de salud y cualquier otro dato personal del individuo.
La necesidad de que las empresas protejan la información personal identificable (PII).
Con regulaciones como la Ley de Protección al Consumidor de California (CCPA) en los EE. UU., el Reglamento General de Protección de Datos (RGPD)GDPREn Europa, y en otras partes del mundo, las empresas están sujetas a crecientes obligaciones legales para proteger los datos personales. A medida que aumenta la concienciación de los consumidores, cada filtración de datos genera un daño significativo a la confianza del consumidor y, por consiguiente, a la marca y la reputación de la organización. Sin embargo, no se trata solo de marca y reputación: investigaciones recientes indican que cada filtración de datos tiene un impacto financiero de 4 millones de dólares. Con las amenazas y vulnerabilidades en constante aumento, la necesidad de que las empresas protejan los datos personales es hoy mayor que nunca.
Cifrado de datos PII
Cifrado Es una de las formas comprobadas de proteger los datos personales. Una vez que los datos del consumidor están cifrados, el riesgo de una filtración de datos se reduce considerablemente y su impacto se puede contener, ya que los datos robados, al estar cifrados, no le servirán de nada al atacante. Además de la mitigación de riesgos, el cifrado de datos personales también es necesario desde la perspectiva del cumplimiento normativo, con regulaciones como la CCPA y el RGPD, mencionadas anteriormente, que exigen dicho cifrado.
¿Qué cifrar?
El primer paso para cifrar datos de información personal identificable (PII) es decidir qué datos cifrar, y las normativas de privacidad de datos ofrecen un buen punto de partida. Por ejemplo, la HIPAA (Ley de Portabilidad y Responsabilidad de Seguros Médicos) en Estados Unidos define la información del paciente que debe cifrarse, incluyendo la información sobre el tratamiento. Cabe destacar que, si bien las normativas indican qué datos deben cifrarse, dejan la elección de la tecnología de cifrado a criterio de la empresa.
Localización de los datos
Una vez identificados los datos que se van a cifrar, el siguiente paso es localizarlos en toda la empresa, como parte de un proceso de descubrimiento de datos. Esto es fundamental, ya que los datos de información personal identificable (PII) pueden almacenarse en múltiples aplicaciones, bases de datos y sistemas de archivos de la empresa, o en la nube. El proceso de descubrimiento de datos suele incluir un estudio o evaluación del portafolio de aplicaciones y sistemas, junto con el uso de herramientas especializadas.
Tecnologías y estándares de cifrado
El siguiente paso es el cifrado de los datos. Existen diversas tecnologías y estándares de cifrado; veamos los más populares.
Estándar de cifrado avanzado (AES):
AES es una de las mejores opciones de cifrado, principalmente debido a su robustez y amplia aceptación. Como una de las tecnologías de cifrado más robustas disponibles, AES goza de una amplia aceptación en diversos ámbitos: regulaciones, empresas, emisores de tarjetas de crédito y agencias gubernamentales. AES también se utiliza en el estándar Pretty Good Privacy (PGP), empleado por un gran número de instituciones bancarias y de servicios financieros. El Instituto Nacional de Estándares y Tecnología (NIST)NIST) recomienda AES como el estándar más alto para el cifrado, con tres tamaños de clave diferentes: 128 bits, 192 bits y 256 bits.
RSA:
Este es un estándar de cifrado que lleva el nombre de sus tres inventores: Rivest, Shamir y Adleman. La robustez de RSA radica en la extrema dificultad computacional que supone la factorización de números primos muy grandes con el hardware y los recursos informáticos actuales. RSA se ha popularizado porque ayuda a garantizar la confidencialidad, la integridad, la autenticidad y el no repudio de los datos. Las claves RSA son muy largas, de 1024 o 2048 bits, lo que también contribuye a su robustez. Sin embargo, con estas longitudes de clave, el algoritmo es relativamente lento; por lo tanto, una de las aplicaciones de RSA es el cifrado de claves en lugar del cifrado directo de datos. Otra limitación de RSA es que, a medida que los ordenadores se vuelven más potentes, las claves deben ser cada vez más largas para evitar los ataques de fuerza bruta a la factorización de números primos.
Criptografía de curva elíptica (ECC):
Esta tecnología se está consolidando como una alternativa popular a RSA debido a sus ventajas en velocidad, menor tamaño de claves y eficiencia criptográfica. ECC también es una buena opción para dispositivos móviles gracias a sus menores requisitos de potencia de procesamiento y consumo de batería. El algoritmo se basa en ecuaciones algebraicas que representan curvas elípticas. Las claves generadas mediante este método son matemáticamente mucho más seguras que las generadas con el método de factorización prima de RSA. Por ejemplo, una clave ECC de 256 bits tiene la misma seguridad que una clave RSA de 3072 bits.
SSL/TLS:
La Secure Sockets Layer (SSL) protocolo y su sucesor, Transport Layer Security (TLS)Las tecnologías de cifrado se han generalizado, siendo los servidores web y los navegadores un ejemplo común de su uso. Dado que los datos personales se transmiten frecuentemente a través de la red entre clientes y servidores, entre aplicaciones y entre servidores, el cifrado del canal de comunicación mediante SSL/TLS es fundamental para evitar ataques de intermediario. El núcleo de SSL/TLS es un protocolo de negociación entre los dos extremos, protegido mediante cifrado asimétrico. criptografíaSe utiliza para generar una clave de sesión válida únicamente para esa sesión de comunicación. El resto de la comunicación a través del canal se cifra mediante criptografía simétrica, y esta clave de sesión la utilizan ambos extremos. El protocolo SSL/TLS garantiza tanto la seguridad como el rendimiento y se ha convertido en el estándar de cifrado de facto para la transmisión de datos, no solo entre un navegador web y un servidor, sino entre cualquier par de extremos.
Gestión de claves:
El éxito final de cualquier tecnología de cifrado de datos no depende de los algoritmos, el hardware y el software utilizados: depende de la correcta gestión de las claves privadas empleadas para el cifrado. El requisito fundamental para gestión de claves Consiste en separar los datos cifrados y las claves de cifrado en ubicaciones físicas distintas. Las opciones para la gestión de claves incluyen Módulos de seguridad de hardware (HSM), dispositivos virtuales y servicios de gestión de claves en la nube.
Puntos Clave
Toda empresa que maneje información personal identificable (PII) de consumidores es responsable de protegerla. Las filtraciones de datos representan tres riesgos empresariales importantes para cualquier organización: pérdida de la confianza del consumidor, impacto financiero directo e implicaciones y sanciones legales y regulatorias. Las tecnologías de cifrado ofrecen un método eficaz para que las empresas protejan la PII y aborden estos tres riesgos.
