GERENCIA CORPORATIVA TECNOLOGÍA

El próximo 25 de agosto, se activará una configuración en todas las computadoras (portátiles y de escritorio) de las personas trabajadoras del Conglomerado Financiero BCR con la herramienta DLP Endpoint Central.

Esta política tiene como objetivo localizar datos relacionados a titulares de tarjetas, por lo que realizará un análisis en todas las carpetas de los equipos para ubicar los archivos que contengan números de tarjetas completos y visibles (16 dígitos visibles).

Del resultado de la búsqueda se generará un reporte con el detalle de los archivos, usuario, tipo evento, entre otros.; con el fin de aplicar su apropiado tratamiento.

¿Por qué se aplica esta política? 

Se aplica para cumplir con el requisito de la norma de PCI DSS:

A3.2.5 Se implementa una metodología de localización de datos que:

• Confirma el alcance PCI DSS
• Ubica todas las fuentes y ubicaciones de datos PAN no cifrados al menos una vez cada tres meses y ante cambios significativos en el CDE o los procesos
• Aborda la posibilidad de que datos PAN no cifrados residan en sistemas y redes fuera del CDE definido actualmente

¿Aplica también para subsidiarias?

Aplica para todo el Conglomerado, incluyendo los equipos que se encuentran el dominio de auditoría y de Bancrédito.

¿Cómo me doy cuenta si ya la política revisó mi computadora?

Cuando la política se aplique a los equipos, se le mostrará un mensaje como los siguientes al usuario:

Se le solicitará reiniciar las aplicaciones o navegadores que estén en uso; sin embargo, para no afectar las labores a los compañeros deben dar clic en el botón “No” o "Skip" pero deben reiniciar el equipo al finalizar las labores del día.

¿Los archivos que se encuentren serás borrados?

No se realizará ninguna gestión con los archivos, sólo serán identificados con un ícono como el de la imagen adjunta.

¿Un usuario puede solicitar el reporte individual de lo que la política encontró en su equipo?

No puede solicitarlo.

¿Qué uso se le dará al reporte?

Con el reporte generado se debe aplicar este otro requisito de PCI DSS:

A3.2.5.2 Se implementan procedimientos de respuesta ante la detección de datos PAN no cifrados fuera del CDE que incluyen:

• Determinar qué hacer si se descubren datos PAN fuera del CDE, incluyendo su recuperación, eliminación segura y/o migración al CDE actualmente definido, según corresponda
• Determinar cómo los datos terminaron fuera del CDE
• Remediar fugas de datos o brechas en el proceso que llevaron a que los datos llegaran a una ubicación fuera del CDE
• Identificar la fuente de los datos
• Identificar si se almacenan datos de track con los datos PAN

¿Cuánto tiempo tarda en aplicarse la política? ¿El usuario debe hacer algo en particular?

El usuario solamente debe reiniciar el equipo si le da clic al botón “No” del mensaje.

El agente de Endpoint Central de ManageEngine se comunica con el servidor cada 90 minutos, siempre que el equipo esté activo en la red. Por lo que se aplicará la política al equipo cuando el agente del endpoint de ese equipo se comunique con el servidor.

 
El próximo 25 de agosto se habilitará una regla en los buzones de correo que impedirá el envío de mensajes que contengan números de tarjetas completos y visibles o archivos con estos datos.
 
Al detectar el envío, el mensaje será bloqueado y se enviará al destinatario un correo con la siguiente indicación:
 
 

El correo será remitido desde la cuenta:
proofpoint-pps@ppops.net
con el siguiente asunto: Regla DLP-PCI
 

 
 
¿Qué debe hacer el usuario si el correo no llevaba datos de tarjeta y el mensaje interpretó como que sí lo era?

 
A eso se le conoce como falso positivo: un dato en el cuerpo del correo o en los archivos adjuntos que posee una numeración similar a la utilizada por las marcas de tarjeta de crédito y débito y, por tanto, la herramienta lo bloquea.

 
Para estos casos se debe realizar una solicitud de servicio para revisión por medio de Service-Now: 
Catálogo de servicios > Incidentes > Registro de Incidente

 
DLP son las siglas de Data Loss Prevention, que en español significa "prevención de pérdida de datos". Es un software de ciberseguridad que ayuda a detectar y evitar que se filtren datos confidenciales. 

 
Para el cumplimiento de las Normas PCI, durante el 2024, la Gerencia Corporativa de Tecnología adquirió esta tecnología con el propósito de crear políticas y replicarlas hacia agentes instalados en las computadoras de todas las personas trabajadoras del CFBCR.

 
En una primera instancia, en julio de 2024 se habilitó la herramienta Proofpoint E-mail URL Isolation la cual crea una capa adicional de seguridad en la plataforma de correo electrónico que analiza los sitios web enlsazados (url).

 
También se habilitó la opción en algunos perfiles para que, cuando el usuario sube o mueve un documento a algún servicio Web o carpeta compartida que contiene información de tarjetas, el DLP lo procesa, analiza y bloquea, como por ejemplo:

 
 
 
Sin embargo, esta herramienta va más allá y muy pronto se activarán controles y políticas específicas para evitar y bloquear la exposición de datos sensibles (datos de titulares y números de tarjetas) que se deseen trasegar por medio de correo electrónico o documentos adjuntos. 
 
 
RECUERDE, DLP se utiliza para:

 
•  Proteger la información confidencial en sistemas, dispositivos y la nube
•  Cumplir con normativas de privacidad
•  Garantizar que los usuarios no envíen información sensible fuera del CFBCR
•  Identificar accesos no autorizados
•  Proteger los datos de un uso indebido
•  Reducir los riesgos de la organización