Información sensible: revisar accesos y copias

Seguir el recorrido de la información

El punto de partida es identificar qué información requiere cuidado y cómo se usa. Una lista de precios puede comenzar en un sistema, exportarse a una planilla y compartirse por correo. Cada paso cambia quién puede verla y qué control tiene la empresa sobre ella.

Conviene trabajar con el responsable del proceso para identificar las fuentes, las personas que necesitan usar los datos y los destinos habituales. El objetivo es entender cómo se trabaja antes de proponer restricciones.

Por ejemplo, una exportación de pedidos puede ser parte de una tarea legítima de logística. Para evaluar su tratamiento hace falta conocer el propósito, el alcance de los datos y el lugar donde se guarda el archivo.

Revisar permisos a partir de las tareas

Los accesos deberían revisarse cuando una persona cambia de función, un proveedor termina su trabajo o una aplicación incorpora nuevos datos. También conviene identificar cuentas compartidas y permisos que ya no tienen un responsable claro.

Una revisión útil relaciona cada permiso con una necesidad del proceso. No alcanza con una lista de usuarios: hace falta saber qué puede consultar, modificar, aprobar o exportar cada perfil.

Separar responsabilidades en operaciones importantes puede mejorar el control. Su diseño debe contemplar el tamaño del equipo y la forma real de trabajar, para evitar controles que existan solo en el papel.

Usar los registros con contexto

Los registros de los sistemas pueden ayudar a revisar accesos y movimientos, cuando están habilitados y disponibles. CISA destaca su utilidad para detectar y analizar actividad que requiere atención.

Un horario inusual, una descarga o un cambio de permiso es un dato para evaluar. Por sí solo no demuestra un fraude. La revisión necesita contexto del proceso, validación de la información y participación de las personas responsables.

El alcance de cualquier monitoreo debe acordarse con la empresa y revisarse con las áreas correspondientes. También se deben definir los accesos a los resultados, su conservación y el procedimiento para tratar un hallazgo.

Un punto de partida concreto

Se puede comenzar con un proceso y una clase de información, por ejemplo la lista de precios o los pedidos. Esa revisión acotada permite identificar responsabilidades y establecer mejoras verificables.

• Identificar las fuentes y las copias que usa el proceso.
• Revisar quién consulta, modifica, aprueba y exporta.
• Confirmar qué registros existen y qué preguntas permiten responder.
• Acordar qué hacer ante un hallazgo y quién debe intervenir.
• Dar seguimiento a las correcciones y revisar los accesos cuando cambien las funciones.

Prohuman IT ofrece relevamiento, prevención, detección, investigación y auditorías dentro de Control de Fraudes. El servicio puede abordar una necesidad puntual o un programa integral, con herramientas Deglar y tecnologías de mercado según el alcance acordado.