Por dónde sale la información

El control 5.14 de ISO/IEC 27002:2022 pide reglas de transferencia de información que cubran todos los tipos de canal, dentro de la organización y hacia terceros. La palabra importante es «reglas»: en una empresa se envían cada día miles de archivos por correo, por portales y por chats, y casi todos son trabajo normal. Por eso no se juzga un canal sino una combinación de tres cosas: el nivel de lo que va, el canal por el que va y el destino al que llega.

La política de Faroval lo resume por nivel. Léela antes de contestar.

Un contrato Confidencial sale por correo corporativo cifrado hacia el abogado del cliente que lo firmó.

La columna de visibilidad del mapa de canales es la más importante de la sala. Dice si el motor ve el contenido del canal por completo, solo una parte o nada. Un canal que se mide mal pasa por seguro en el informe: «no tuvimos incidentes por ahí» es una frase honesta solo si el canal se mira.

Hay un canal de salida de información que el motor no ve en absoluto y para el que Faroval no tiene ningún control hoy.

El resumen de la semana trae, por canal, cuántos eventos hubo y cuántos fueron a un destino externo. Para priorizar no se mira el total de cada canal (el correo siempre gana por volumen) sino los eventos a destino externo en los canales de más riesgo: aquellos donde la información sale de la empresa sin una puerta intermedia que la registre con identidad, como sí hace el portal de clientes.

En esta semana, esos dos canales son las memorias USB y la nube personal.

La nube personal tiene el mayor volumen hacia fuera con el control más débil: solo el proxy bloquea por categoría, sin mirar el contenido. La reacción habitual es bloquear la categoría entera. Funciona un tiempo; después la gente, que sigue necesitando compartir un archivo grande con un contratista, usa otro camino que no está en el mapa (un chat web, el teléfono personal) y la visibilidad baja en vez de subir.

Un control de fuga serio ofrece al mismo tiempo la vía correcta. En Faroval esa vía existe y está en la política: el portal de clientes, con registro de cada carga.