Fuga por nube personal y correo

Un registro de proxy dice que una cuenta se conectó a un destino y le envió cierta cantidad de megabytes en cierto momento. Es un hecho sólido y sirve de punto de partida de la cronología.

No dice qué contenían esos megabytes, ni si eran del trabajo, ni por qué se subieron. Tampoco prueba que la persona esté fuera de la política: algunas organizaciones permiten el almacenamiento personal con límites. Una subida es un volumen, un destino y una hora, y ninguna de las tres cosas habla de intención.

Lo primero que se hace con un registro de subidas es agrupar por destino. Muchos destinos son ruido (el portal de un proveedor, una herramienta de colaboración); uno suele concentrar casi todo el volumen. Ese es el destino que se investiga primero, y también el que hay que describir con exactitud en el informe.

En la tabla proxy aparecen cuentas y destinos distintos. Se compara el total de megabytes por destino, sin importar la cuenta.

El total de una cuenta se calcula filtrando dos veces: por la cuenta y por el destino. Incluir las filas de otra persona hacia el mismo destino infla el número y atribuye a una persona lo que hizo otra. Incluir las filas de la misma cuenta hacia otros destinos mezcla actividad corporativa con la que se investiga.

Un error de cálculo en un informe de persona no es un detalle: es una cifra con nombre propio que otros usarán.

El correo corporativo es la segunda ruta de salida. Los metadatos del correo (remitente, destinatario, asunto y nombre de los adjuntos) bastan para ver si hay un patrón: mensajes repetidos a una misma dirección personal, a horas poco habituales, con adjuntos que parecen del trabajo. El contenido no hace falta para eso, y leerlo exige una autorización aparte.

Se separan los destinatarios de negocio (un proveedor registrado) de los personales externos. Los primeros son parte del trabajo normal.

Las alertas de prevención de pérdida de datos pueden estar en dos modos: aviso, que registra y deja pasar, y bloqueo, que impide la salida. Un control en modo de aviso es una decisión de diseño, a menudo para no frenar el trabajo mientras se afina la regla. Que el mensaje saliera no es culpa de quien lo mandó: el control no estaba hecho para detenerlo.

En el caso, además, solo existe una regla para correo: no hay ninguna para subidas a almacenamiento personal. Una brecha de control es un hallazgo en sí mismo, independiente de lo que se concluya de la persona.