Manejo de datos sensibles y PII

Un atacante real descarga gigabytes o terabytes de bases de datos para extorsionar a la víctima o vender la información. Un Red Team ético opera bajo el principio de minimización: jamás descarga bases de datos completas ni extrae información privada de usuarios.

Para evidenciar el acceso a una tabla con dos millones de registros de clientes, basta con capturar la estructura del esquema (schema), el recuento total de filas (COUNT(*)) y, si el cliente lo autoriza expresamente, una sola fila de prueba con datos anonimizados o redactados. Extraer más datos representa un riesgo legal innecesario bajo regulaciones como GDPR o leyes locales de protección de datos.

Abre politica_datos_sensibles.txt en la terminal del laboratorio. Revisa la Regla 3.

Existen categorías de datos cuyo simple almacenamiento no autorizado acarrea responsabilidades legales extremas: números completos de tarjetas de crédito con código de seguridad (CVV), registros médicos o información judicial reservada.

Identifica el plazo máximo estipulado en la política para notificar formalmente a la White Cell tras descubrir una base de datos con este tipo de información protegida.

Toda evidencia recolectada durante el ejercicio (capturas de pantalla, salidas de comandos, fragmentos de configuraciones) debe almacenarse en volúmenes cifrados utilizando algoritmos robustos (AES-256 o BitLocker/LUKS) tanto en tránsito como en reposo.

Al culminar la entrega del informe final y trascurrido el período de garantía acordado en el contrato (generalmente 30 a 90 días para aclaraciones), el Red Team debe ejecutar un procedimiento formal de borrado seguro de todas las evidencias y entregar un certificado de destrucción de datos al cliente.