Un proveedor de telecomunicaciones entregaba informes semanales de inteligencia de negocios a sus clientes empresariales mediante el envío automatizado de correos electrónicos: libros de Excel con formato que contenían estadísticas de uso, métricas de desempeño y análisis de tendencias. Los informes parecían contener datos agregados. Sin embargo, detrás de los gráficos agregados, los libros contenían las pestañas de datos sin procesar que alimentaban las visualizaciones: registros individuales de clientes, identificadores de cuentas y detalles de uso que los gráficos habían resumido. Las pestañas de datos sin procesar estaban ocultas de forma predeterminada, pero cualquiera podía acceder a ellas mostrándolas desde la interfaz estándar de Excel. Los informes se entregaban por correo electrónico sin cifrar a una lista de distribución que el equipo de cuenta del cliente había configurado tres años antes y nunca había actualizado. La lista incluía a doce personas: nueve empleados actuales, dos antiguos empleados y un consultor cuyo contrato había terminado cuatro meses antes. Durante tres años, se enviaron informes semanales con registros individuales de clientes por correo electrónico sin cifrar a una lista que incluía destinatarios sin autorización vigente para recibirlos. Nadie había revisado la lista de distribución. Nadie había examinado lo que contenían las pestañas de datos sin procesar. Nadie se había planteado si un archivo adjunto de Excel enviado por correo electrónico era un mecanismo adecuado para transmitir registros individuales de clientes.
¿Qué es realmente el problema de las fugas de datos en los informes de proveedores?
Los informes de los proveedores (la entrega de informes analíticos, tableros, exportaciones de datos y resúmenes de inteligencia de negocios a clientes o a partes interesadas internas) son una actividad de transferencia de datos que con frecuencia no se gobierna con el mismo rigor que otras formas de acceso a datos. Los informes contienen datos. Cuando se entregan, esos datos pasan del entorno controlado del proveedor al entorno del destinatario, a menudo por correo electrónico, a menudo a listas de distribución que no se han revisado recientemente, a menudo en formatos que permiten extraer los registros individuales que hay detrás de las visualizaciones agregadas y a menudo sin cifrado ni controles de acceso que impidan reenviarlos, descargarlos o compartirlos más allá del destinatario previsto.
La distinción entre registros agregados e individuales es la dimensión peor comprendida del riesgo de datos en los informes. Un informe que muestra métricas agregadas (total de cuentas, valor promedio de las transacciones, distribución regional) parece contener solo datos resumidos. Cuando ese informe se genera a partir de consultas a una base de datos de registros individuales, los datos que hay detrás de la agregación pueden ser accesibles mediante funciones de exportación, pestañas de datos ocultas, funciones de desglose o las conexiones de datos subyacentes que alimentan la herramienta de visualización. El informe presenta datos agregados. La infraestructura de informes que hay detrás puede dar acceso a los registros individuales a partir de los cuales se calculó la agregación.
La brecha de gobierno de las listas de distribución es la falla de seguridad de los informes más frecuente en la práctica. Las listas de distribución de informes se configuran cuando se establece la relación de generación de informes y rara vez se vuelven a revisar. A medida que cambia el personal, los destinatarios se van, los consultores terminan sus contratos y cambia el contexto organizacional de los datos, la lista de distribución sigue entregando datos sensibles a los destinatarios configurados, incluidos aquellos que ya no tienen una necesidad legítima de recibirlos. La función de informes es una transferencia de datos semanal o mensual a una lista de destinatarios autorizados que se vuelve progresivamente menos precisa a medida que evoluciona el panorama de autorizaciones.
- Datos subyacentes ocultos o accesibles: informes que contienen registros individuales detrás de las visualizaciones agregadas a través de pestañas ocultas, desgloses o exportaciones
- Listas de distribución sin revisar: destinatarios que ya no tienen autorización para recibir informes siguen en las listas de distribución
- Entrega de informes sin cifrar: datos sensibles entregados por correo electrónico sin cifrar y sin controles de acceso que impidan reenviarlos o descargarlos
- Sin gobierno del contenido de los informes: los formatos y el contenido de los informes no se gobiernan frente a los requisitos de minimización de datos
- Seguridad del archivo de informes: informes conservados en archivos de correo electrónico y almacenamiento de archivos más allá de cualquier período de conservación autorizado
Por qué es importante
Las fugas de datos en los informes de los proveedores son importantes para la TPRM porque los informes son uno de los flujos de datos continuos de mayor volumen en la mayoría de las relaciones con proveedores (transferencias semanales o mensuales de datos de clientes a destinatarios externos) y casi nunca se evalúan con el rigor que se aplica a otras transferencias de datos de volumen y sensibilidad equivalentes.
El problema de las listas de distribución crea un riesgo sistemático de divulgación autorizada que se agrava con el tiempo. Cada cambio de personal que no se refleja en la lista de distribución prolonga la recepción no autorizada de informes confidenciales. Una lista de distribución revisada por última vez hace dos años puede entregar datos confidenciales de clientes a varios destinatarios que no tienen autorización vigente, lo que crea una divulgación no autorizada semanal que nadie ha notado porque la función de informes se trata como una rutina operativa y no como un evento de gobierno de datos.
Para los profesionales de TPRM, la evaluación del gobierno de los informes exige examinar el contenido de los informes, el mecanismo de entrega, la actualización de las listas de distribución y el cifrado, es decir, las mismas preguntas que se aplicarían a cualquier otra transferencia de datos de volumen y sensibilidad equivalentes.
Dónde se equivocan la mayoría de los equipos
La falla más constante es tratar los informes como una funcionalidad y no como una actividad de transferencia de datos. Los informes contienen datos. Los datos que se transfieren mediante informes están gobernados, o no, por los mismos principios que cualquier otra transferencia de datos. Una evaluación de TPRM que analiza a fondo los controles de acceso a los datos del proveedor puede no preguntar nunca qué ocurre con los datos una vez que salen de los sistemas del proveedor en un correo electrónico semanal con un informe.
- Tratar los informes como una funcionalidad y no como una transferencia de datos gobernada
- Actualización de las listas de distribución no evaluada: antiguos empleados y consultores con contratos vencidos en las listas de distribución de informes
- Contenido de los informes no examinado: registros individuales accesibles detrás de las visualizaciones agregadas
- Seguridad del mecanismo de entrega no evaluada: correo electrónico sin cifrar para informes con datos sensibles
- Sin minimización de datos aplicada a los informes: informes que contienen más datos de los que requiere la finalidad del negocio
Cómo se ve una buena práctica
Los programas maduros de gobierno de informes tratan la distribución de informes como una transferencia de datos gobernada: aplican la minimización de datos al contenido de los informes, cifran su entrega, revisan periódicamente las listas de distribución y se aseguran de que los informes contengan solo las categorías de datos que el destinatario está autorizado a recibir.
- Revisión periódica de las listas de distribución: los destinatarios de los informes se revisan con la misma cadencia que las revisiones de acceso a los sistemas
- Minimización de datos en el contenido de los informes: informes que contienen solo las categorías de datos que el destinatario necesita y está autorizado a recibir
- Entrega cifrada de informes: archivos protegidos con contraseña, portales seguros o correo electrónico cifrado en lugar de archivos adjuntos en correos electrónicos en texto plano
- Sin acceso a los registros subyacentes: informes agregados sin datos accesibles de registros individuales detrás de la agregación
- Gobierno de la conservación de los informes: los informes están sujetos a las mismas políticas de conservación que los datos que contienen
Herramientas
Entrega segura de informes: Microsoft Purview Message Encryption, Egress, Virtru
Las plataformas de correo electrónico cifrado y de entrega segura de documentos protegen el contenido de los informes en tránsito y en reposo, garantizando que solo los destinatarios autorizados puedan abrir los informes y que no puedan reenviarse en un formato accesible. Para los profesionales de TPRM, preguntar si los informes confidenciales se entregan por canales cifrados en lugar de por correo electrónico en texto plano constituye una pregunta específica sobre la seguridad de la entrega.
Plataformas de inteligencia de negocios: Power BI, Tableau, Looker
Las plataformas de BI modernas ofrecen una entrega de informes con control de acceso: los informes se consultan a través de portales autenticados con controles de acceso específicos para cada usuario, en lugar de distribuirse como archivos adjuntos de correo electrónico a listas de distribución sin control. Para los profesionales de TPRM, preguntar si los informes se entregan a través de un portal autenticado o como archivos adjuntos de correo electrónico pone de manifiesto la arquitectura de control de la entrega.
Desafíos de gobernanza
El desafío de gobierno de los informes es el problema de la rutina operativa. Los informes se configuran una vez y se ejecutan automáticamente. Las decisiones de gobierno tomadas al configurarlos (qué datos incluir, a quién enviarlos, cómo entregarlos) persisten indefinidamente sin revisión. Tratar la configuración de los informes como un evento de gobierno de datos en la configuración inicial y como una obligación de revisión periódica a partir de entonces cierra la brecha de gobierno que se acumula con los cambios organizacionales.
- Incluya las listas de distribución de informes en la cadencia de revisión de accesos: los destinatarios de los informes se revisan periódicamente junto con el acceso a los sistemas
- Exija la entrega cifrada de los informes confidenciales: ninguna entrega por correo electrónico en texto plano de informes que contengan registros individuales
- Evalúe si el contenido de los informes incluye datos subyacentes: si las visualizaciones agregadas dan acceso a registros individuales
- Aplique la minimización de datos al alcance de los informes: informes que contengan solo las categorías de datos autorizadas
- Incluya la entrega de informes en las evaluaciones de transferencias de datos: los informes como un flujo de datos gobernado
Si usted forma parte de un equipo pequeño
Hágales a sus proveedores de informes tres preguntas que nunca les han hecho sobre sus informes. Primera: ¿la entrega de sus informes incluye acceso a los registros individuales subyacentes que hay detrás de las visualizaciones agregadas, a través de pestañas de datos ocultas, desgloses o exportaciones? Segunda: ¿cuándo revisaron por última vez la lista de distribución de los informes que nos envían y pueden confirmar que todos los destinatarios actuales tienen autorización vigente? Tercera: ¿los informes se entregan por canales cifrados o por correo electrónico en texto plano? Esas tres preguntas gobiernan el flujo de datos de los informes que la mayoría de los programas de TPRM nunca han examinado.
- Pregunte si los informes agregados dan acceso a los registros individuales subyacentes
- Pregunte cuándo se revisó por última vez la lista de distribución de informes
- Pregunte si los informes se entregan por canales cifrados
Qué exigir
Pregunte directamente:
“¿Algún informe que nos entregan contiene registros individuales subyacentes accesibles a través de pestañas de datos ocultas, desgloses o exportaciones, más allá de los datos agregados que se muestran en las visualizaciones?”
“¿Cuándo se revisó por última vez la lista de distribución de informes de nuestra cuenta? ¿Pueden confirmar que todos los destinatarios actuales tienen autorización vigente para recibir nuestros datos?”
“¿Los informes se entregan por correo electrónico cifrado, en archivos protegidos con contraseña o a través de un portal autenticado, o como archivos adjuntos en correos electrónicos en texto plano?”
Evidencia que debe esperar
- Confirmación del contenido de los informes: solo datos agregados o registros subyacentes accesibles
- Historial de revisión de las listas de distribución con confirmación de la autorización de los destinatarios actuales
- Descripción del mecanismo de entrega: cifrado o en texto plano
A un proveedor que responde a la pregunta sobre la lista de distribución con “los informes se envían a los contactos de su cuenta” se le debe preguntar específicamente cuándo se revisó por última vez esa lista frente a las autorizaciones vigentes. La lista describe la configuración. La fecha de revisión indica si la configuración refleja la realidad actual.
Cómo demostrarlo
- Registros de revisión de las listas de distribución
- Evaluación del contenido de los informes para detectar acceso a datos subyacentes
- Confirmación de entrega cifrada de los informes confidenciales
- Evaluación de la minimización de datos en los informes
Conclusión clave
El informe es una transferencia de datos. Contiene datos de clientes. Va a algún lugar, mediante algún mecanismo, a alguien que figura en una lista que se revisó por última vez cuando un consultor que se fue hace cuatro meses todavía era el contacto de la cuenta. El gobierno que se aplica a la entrega del informe determina la seguridad de los datos de clientes en cada copia de ese informe: en la bandeja de entrada del destinatario, en su archivo de correo electrónico, en las copias de respaldo de su servidor de correo y en la bandeja de entrada de cada destinatario que ha recibido tres años de informes semanales sin que nadie se pregunte si debería seguir en la lista. Los informes no son una funcionalidad. Son un flujo de datos. Gobiérnelos como tal.