¿Parece que los activos de su centro de datos tienen un exceso de información?

Si aplica una política seria de retención de datos, puede que se sienta muy cómodo y hasta seguro en términos de cumplimiento. ¿Pero, es consciente de que su sólida política de retención puede exponerle a un riesgo excesivo en caso de pérdida de información? Si su estrategia exige la aplicación de determinadas políticas de retención de información, asegúrese de disponer también de una política de destrucción de datos igualmente sólida.

Michelle Dennedy, máxima responsable de estrategia y privacidad de datos de Sun, comparte con los lectores de Inner Circle su punto de vista sobre cómo conciliar una política de destrucción de datos y una política de detección de datos para resolver las necesidades de la empresa, proteger la información de los clientes, reducir el riesgo corporativo y orientar los esfuerzos al desarrollo del negocio.

Inner Circle (IC): ¿Qué riesgos asumen las empresas que retienen información que ya no es necesaria?

Michelle Dennedy (MD): La información confidencial que no mejora la visión de los clientes ni proporciona ventajas financieras representa un riesgo de grandes pérdidas. Todos hemos leído alguna noticia sobre cadenas de comercio, bancos y organismos gubernamentales que han perdido información que ya no necesitaban. Si retiene la información que ya no necesita, estará creando condiciones que representan un riesgo inútil de pérdida. Asimismo, es muy difícil obtener acceso a la información útil de los clientes, porque permanece oculta bajo montones de datos superfluos. En el caso de los centros de datos, podemos afirmar que la mayoría de los sistemas backend contienen un exceso de datos.

IC: ¿Dónde reside la línea divisora entre la retención de la información necesaria para el cumplimiento y la destrucción de la información que representa un riesgo?

MD: El momento y la forma de eliminar la información no deben depender exclusivamente de los aspectos legales, sino de la estrategia de la empresa. Si considera la información como un activo, podrá determinar cómo, cuándo y dónde se puede aprovechar mejor el activo y cuándo empieza a ser una carga en términos de personal, tecnología y tiempo. La línea que separa la retención de la información que es útil y la destrucción de los datos inútiles varía para cada empresa. Dependiendo de la configuración de los sistemas de TI o R.H., puede no ser prudente mantener la información durante siete años y un día sólo porque así lo establece el límite legal. Puede existir una buena razón para mantenerla durante más tiempo. Es una cuestión de estrategia y de encontrar el equilibrio justo para la empresa, el perfil de riesgo elegido y el tipo de información que beneficie a los clientes o empleados.

IC: ¿Existe una diferencia entre datos e información?

MD: Existe un debate de alto nivel sobre esta cuestión. Desde un punto de vista pragmático, considero que la información es un subconjunto de los datos. Cuando se contemplan en conjunto, los datos aislados pueden formar información útil para tomar decisiones, crear un plan, cumplir los requisitos legales o estar informado.

En este contexto, la información es una compilación de datos sobre personas, lugares, cosas, momentos, procesos y otras cuestiones significativas. Los sistemas almacenan datos y los ofrecen con la esperanza de que las aplicaciones, las personas o ambos puedan transformarlos en información.

IC: ¿Hay algún aspecto positivo que mejore mi comprensión de la información?

MD: Muchos de nosotros tenemos una percepción común del riesgo. Es cuestión de cumplimiento, riesgo y miedo, generalmente de la vulnerabilidad desconocida o de la regulación imprevista. Protegemos los datos porque sabemos que habrá sanciones e insatisfacción si los perdemos o los utilizamos indebidamente.

Pero esta ecuación de riesgo también ofrece una recompensa. La única razón por la que se dedica tiempo o recursos para proteger algo es porque tiene valor. El aspecto positivo de la información reside en que permite tomar decisiones que pueden traducirse en dinero, ya sea mediante ganancia o ahorros.

Al principio del año, preparo un plan presupuestario y estratégico para conseguir X, Y y Z. Al final del año, miro hacia atrás para ver lo que he gastado y los resultados obtenidos conforme a mis objetivos. La información representa un paso más. Creo que está llegando el día en el que contabilizaremos la información en nuestros balances. En los años 60, la contraalmirante Grace Hopper desarrolló la teoría de que la información ocuparía un día un lugar propio en el balance de las empresas.

La inteligencia corporativa es el aspecto positivo de la información. Análogamente, el beneficio es el aspecto positivo de la inteligencia corporativa cuando ésta se utiliza de forma eficiente, legal y ética.

IC: ¿Hay ocasiones en las que los datos corren un mayor riesgo?

MD: Sin duda alguna. Depende del tipo de datos y del momento. Para el sector del comercio, un momento delicado sería el inmediatamente anterior a las vacaciones. Una pérdida entre el día de acción de gracias y el día de año nuevo podría ser devastadora. En cambio, la divulgación de planes estratégicos o de propiedad intelectual altamente confidenciales podría exterminar a todo un sector. Los bancos en consolidación podrían perder valiosos datos de sus cuentas, lo que provocaría la pérdida de muchos clientes que, en otra situación, les ayudarían a recuperarse y crecer. La elección del momento lo es todo cuando se trata de información.

La mayoría de los estados de E.U.A. tienen leyes de notificación de pérdidas. Éste es un tema candente en Europa y el resto del mundo. Datos tales como números de tarjetas de crédito, PINs y números de seguridad social representan un riesgo muy elevado. Hay muchas empresas que corren este riesgo. Piense en las implicaciones de perder un dispositivo portátil con ese tipo de datos. O imagine que manda a reparar una matriz de discos de su centro de datos sin protegerla. Puede perder cientos, miles o millones de cuentas. Para cada cuenta que le haya confiado sus datos, ya sea por cuestiones legales o por aspectos culturales, puede que deba pagar un seguro de crédito durante dos años. A unos 90 dólares por cliente, imagine la cifra si se multiplica por 100,000 clientes. Si la multiplica por un millón, el resultado es terrible, pero no sería la primera vez. Estos costos no incluyen los gastos de abogados, consultores, agentes de P.R., y especialistas en reparación de imagen tras una brecha, además del tiempo que deberá dedicar al problema. Si se determina negligencia o mala intención al perder los datos, también puede haber una responsabilidad penal.

IC: ¿Las políticas eficaces de destrucción de datos ofrecen una ventaja competitiva?

MD: Creo que sí. Si dispone de una política de retención y ha determinado qué información necesita retener, el diseño y la aplicación de una política de destrucción de datos le permitirá dedicarse al trabajo cotidiano y dejar de preocuparse por el inventario del día anterior. Sin duda, es una gran ventaja. La mayoría de las personas opina que si no tienen que preocuparse por el último trimestre, pueden dedicar sus energías a las relaciones con los clientes, la retención de empleados, las relaciones públicas, los eventos, etc. El exceso de tareas no sólo abre la puerta a la vulnerabilidad, sino que impide la dedicación a las tareas importantes para la empresa. Un sistema limpio, eficaz y moderno sólo puede ser una ventaja competitiva.

IC: ¿Qué opciones tienen las empresas para librarse de los datos?

MD: La privacidad de los datos está estrechamente vinculada a la seguridad, y los clientes deben decidir el nivel de seguridad más conveniente. La oferta más reciente de Sun es el servicio de protección de datos y eliminación de datos, SDPS-DE). Proporciona servicios de eliminación de datos in situ que mantienen físicamente los activos bajo su control. En una economía global, es importante que un mismo proveedor preste servicios de forma uniforme para que todos los centros de trabajo puedan aplicar las mismas políticas. SDPS-DE cumple las rigurosas políticas de destrucción de datos de los departamentos de seguridad internos y la normativa oficial que audita tales políticas.

SDPS-DE también facilita la gestión de activos destruyendo los datos en lugar del activo. Permite volver a desplegar los activos existentes, lo que también resuelve el dilema medioambiental de la destrucción de equipos. Se trata de una herramienta más que puede ser parte importante del plan estratégico general de gestión de activos de datos y mejorar su perfil de información.

IC: ¿Cómo puedo determinar mi ratio costo/riesgo para saber cuánto gastar para proteger a los clientes, a la organización y a mí mismo?

MD: Yo utilizo una fórmula muy poco científica. Existen el valor de los datos y el riesgo de los datos. El valor de los datos (VD) debe ser superior al riesgo de los datos (RD) para que el equilibrio sea óptimo. Determinar que el VD es superior al RD depende de una suma de factores tales como el volumen de datos, la naturaleza de los datos, la edad de la empresa, la configuración de la infraestructura de TI, el momento de la temporada, el equipo de gestión y el carácter global o local de la empresa.

Las preguntas que conviene plantearse sobre el VD y el RD son:

• ¿Intenta contener el riesgo sin considerar si merece la pena hacerlo para tal tipo de información?
• ¿Debe dejar de recopilar la información X y recopilar la información Y que sabe que es valiosa?
• ¿Debe empezar a almacenar los datos intencionadamente más que "por si acaso"?

IC: ¿Cómo varían los requisitos de destrucción de datos en el mundo?

MD: El problema de los requisitos de destrucción de datos es que no existen en muchos lugares del mundo. Hay distintas normas en distintos países en materia de retención de datos y validación de la eliminación. La Unión Europea exige que los datos no se almacenen durante más tiempo del indicado en el momento de recopilarlos. Parece que se trata de un requisito específico. Por ejemplo, en algunos países de la U.E., los datos deben destruirse cuando ya no son necesarios. Pero las leyes de estos mismos países obligan a mantener los datos de los empleados durante un período de tiempo muy prolongado. Así, se crea un conflicto directo con el requisito de eliminar los datos lo más rápido posible. En otros países, las leyes de destrucción de datos son muy rigurosas y los datos de destruyen poco después de ser recopilados. Para sus sistemas de TI, el reto consiste en traducir las nociones culturales y de derechos humanos en un sistema binario y técnico.

De la misma forma, cada país tiene sus propias normas sobre lo que significa erradicar los datos conforme a una norma aprobada por el gobierno. La oferta Data Erasure de Sun cumple las principales normas internacionales y cuenta con la certificación de una serie de agencias para validar que los datos dejen de ser accesibles. El uso de los servicios Data Erasure de Sun es una forma más de pensar y actuar globalmente para garantizar el cumplimiento y asegurarse de que los activos de datos gocen de buena salud y le permitan conciliar el sueño.