No todas las filtraciones de datos comienzan con un hacker anónimo y un ataque externo. A veces, no son terceros malintencionados los que saturan la seguridad de la red. Son los empleados comunes que no siguen las directrices de gobernanza de la información establecidas los que causan problemas a las organizaciones. O bien, las normas de gestión de datos que fallan al enfrentarse a la realidad.
En estas situaciones, incluso la tecnología de ciberseguridad más sofisticada del mundo podría no ser suficiente para evitar una fuga de datos perjudicial o un incumplimiento normativo. Esto es algo que UK Government Investments (UKGI) comprobó recientemente a su costa tras filtrar datos potencialmente confidenciales en línea durante casi dos días.
Este no es el primer caso, ni será el último, que sirve de advertencia. El enfoque adecuado para fortalecer la resiliencia empresarial consiste en equilibrar la tecnología de seguridad con la gobernanza de la información.
¿Qué sucedió en UKGI?
El incidente en UKGI, organismo que gestiona los intereses comerciales del Estado en empresas, tiene un matiz irónico, dado que se autodefine como experto en gobierno corporativo. La agencia del Tesoro declaró en su informe anual de agosto que una filtración de datos ocurrida entre 2025 y 26 implicó la divulgación accidental de un archivo interno. Este archivo contenía información de alta dirección, así como los nombres y direcciones de correo electrónico de 51 funcionarios gubernamentales, que estuvieron disponibles públicamente durante aproximadamente 40 horas. El responsable fue un empleado que no siguió las políticas de seguridad de la información establecidas.
UKGI informó del incidente a la Oficina del Comisionado de Información (ICO) y llevó a cabo una revisión externa que proporcionó recomendaciones sobre cómo reforzar su preparación y controles ante incidentes, la "gran mayoría de las cuales" ya ha implementado o va a implementar.
Los desafíos de la gobernanza están por todas partes.
Aunque este incidente no tuvo mayores repercusiones, casos similares han tenido un impacto mucho mayor. Algunos ejemplos vienen a la mente:
En 2025, la Oficina de Correos fue reprendida por la ICO tras publicar en su sitio web un documento legal sin censurar sobre el escándalo informático de Horizon. Dicho documento contenía el nombre, la dirección y la condición de jefe de oficina de correos de más de 500 personas implicadas en litigios con la Oficina de Correos, información que permaneció accesible al público durante casi dos meses. La Oficina de Correos evitó por poco una multa de un millón de libras.
El ayuntamiento de Hammersmith & Fulham también fue reprendido por la Oficina del Comisionado de Información (ICO) el año pasado tras filtrar accidentalmente los datos de 6,528 personas, entre ellas 2,342 menores, en respuesta a una solicitud de acceso a la información. La hoja de cálculo de Excel en cuestión contenía 35 libros de trabajo ocultos con la información, incluidos detalles sobre menores solicitantes de asilo. Los datos personales permanecieron expuestos durante casi dos años.
El Servicio de Policía de Irlanda del Norte (PSNI) puso en riesgo a innumerables agentes y empleados al filtrar su información personal, incluyendo nombres, rangos y funciones, en una respuesta en formato de hoja de cálculo a una solicitud de acceso a la información. Si bien los detalles solo estuvieron disponibles públicamente durante unas horas, se cree que la información fue obtenida por republicanos disidentes. El PSNI evitó una multa de 5.6 millones de libras esterlinas únicamente gracias a una política del sector público sobre sanciones económicas adoptada por la Oficina del Comisionado de Información (ICO) tras la pandemia de COVID-19.
¿Cómo se ven las mejores prácticas?
Estos incidentes ilustran un problema creciente: que en muchas organizaciones la inversión en controles de seguridad técnica ha superado drásticamente la financiación para la gobernanza de la información, según Muhammad Yahya Patel, vCISO EMEA de Huntress.
«La gobernanza de la información —saber qué datos se poseen, dónde se almacenan, quién puede acceder a ellos, cómo deben gestionarse y si esas normas se cumplen en la práctica— es un trabajo poco glamuroso», explica a IO (antes ISMS.online). «Es la parte que suele olvidarse en la mayoría de las conversaciones. No genera presentaciones emocionantes para la junta directiva. Pero es la capa de control que se interpone entre un documento de política y el momento en que un empleado toma una decisión sobre un archivo confidencial a las 4 de la tarde de un viernes».
Patel sostiene que adoptar un enfoque proporcional a la gestión de riesgos implica aceptar que no todos los riesgos requieren una solución técnica. «A veces, el control adecuado consiste en un proceso más claro, una mejor capacitación impartida en el momento en que surge el riesgo relevante en lugar de anualmente, o una simple revisión por pares antes de que se publique o comparta información confidencial», continuó.
Jake Taylor, director del sector público de Filigran, está de acuerdo y argumenta que las organizaciones no pueden proteger lo que desconocen que poseen.
«A medida que los departamentos y organizaciones gubernamentales se reestructuran y reorganizan, el panorama de amenazas en el Reino Unido se ampliará drásticamente, dejando brechas que los ciberdelincuentes podrán explotar. La gobernanza de datos se vuelve tan importante, si no más, que las defensas técnicas», explica a IO.
“Los líderes deben comprender que la seguridad no puede existir sin control, equilibrio y una visibilidad clara.”
Taylor anima a los equipos a auditar la actividad con regularidad, registrando y revisando quién accede a las carpetas confidenciales para detectar comportamientos inusuales a tiempo. Además, insta a las organizaciones a minimizar las dificultades para el usuario.
«Asegúrese de que las normas de seguridad no impidan que los empleados realicen su trabajo, o encontrarán maneras peligrosas de sortearlas», continúa. «Además, intente eliminar las barreras entre departamentos. Obligue a sus equipos legales, de TI, de cumplimiento normativo y de seguridad a trabajar juntos bajo una estrategia de datos unificada».
Introducción de un enfoque de monitoreo continuo
Los expertos consultados por IO coinciden en que un enfoque continuo de gobernanza y cumplimiento normativo debería ser la opción preferida. Esto implica recopilar evidencia y monitorear constantemente las desviaciones en materia de cumplimiento para detectar problemas y corregirlas a tiempo, en lugar de esperar a que salgan a la luz problemas históricos que se han agravado con el tiempo.
«Las comprobaciones puntuales, como las auditorías anuales y las pruebas de penetración, solo muestran el estado de los datos y las vulnerabilidades de un solo día, lo que genera una falsa sensación de seguridad», argumenta Taylor. «La monitorización continua garantiza que el mapa de datos, las reglas de acceso y las políticas de retención se mantengan actualizados en todo momento».
Patel, de Huntress, añade que la monitorización continua ya está bien establecida en la ciberseguridad, y que la gobernanza de la información debe seguir el mismo camino.
“La monitorización automatizada que alerta cuando los documentos confidenciales se hacen accesibles al público, una señal de riesgo que se activa cuando se comparten datos confidenciales (cuando los permisos de acceso cambian inesperadamente o cuando los datos se mueven fuera de las vías autorizadas) convierte una exposición de 40 horas en una de cuatro minutos”, afirma.
“La tecnología para hacerlo existe y está madura. Lo que suele faltar es la voluntad organizativa para implementarla con el mismo rigor que los controles de seguridad técnicos.”
La buena y la mala noticia es que la IA hará que esta tarea sea a la vez más fácil y más compleja. Por un lado, la IA en la sombra introduce nuevos riesgos. IBM afirma que el 43 % de los incidentes de seguridad del año pasado involucraron el uso no autorizado de IA. Sin embargo, las herramientas de IA podrían agilizar la gobernanza mediante la clasificación automatizada de documentos confidenciales, el monitoreo continuo de los flujos de datos, la detección de anomalías y la aplicación de políticas a la velocidad de la máquina, explica Patel de Huntress.
“Las organizaciones que obtendrán mayor beneficio de la IA en la gobernanza de la información son aquellas que han invertido en comprender sus datos lo suficientemente bien como para saber qué hay que proteger y por qué”, concluye.
“La IA potencia las buenas prácticas de gobernanza de la información. También amplifica las consecuencias de las malas prácticas, y esa es la parte que la mayoría de los líderes aún no han considerado plenamente.”
Amplíe su conocimiento
Blog: Cerrando la brecha de resiliencia: Dónde dice el gobierno que la economía británica sigue fallando
Blog: La retirada de NVD debería impulsar un enfoque de resiliencia para la gestión de vulnerabilidades.
