“Gracias a la alianza con Delta Protect, Atrato ha logrado avances significativos hacia la certificación ISO 27001, fortaleciendo notablemente su seguridad y cumplimiento. El soporte continuo y las asesorías expertas de Delta, combinadas con la innovadora plataforma Apolo, han sido fundamentales para acelerar y optimizar nuestro roadmap, permitiéndonos enfrentar y superar eficazmente cualquier desafío en seguridad de la información.”
“Tras 3 meses de colaboración efectiva con Delta Protect, estamos impresionados con los resultados y la cobertura del programa de Pentesting de CISO As a Service. Hemos detectado y abordado vulnerabilidades clave, mejorando significativamente nuestra seguridad de la información. Los entrenamientos de Ciberseguridad y ejercicios de Phishing han sido cruciales para aumentar la conciencia de nuestros colaboradores. Agradecemos el seguimiento y apoyo continuo de Delta Protect y esperamos alcanzar más objetivos juntos.”
“Nuestra colaboración con Delta Protect marcó un hito en nuestra seguridad digital. Su enfoque meticuloso y detallado en el Pentest reveló vulnerabilidades ocultas que habían pasado inadvertidas, demostrando una eficacia y rapidez impresionante en su resolución. Además, su servicio de CISOaaS transformó nuestra estrategia de ciberseguridad, donde su equipo experto nos guió en el desarrollo de políticas robustas y procesos efectivos.”
“Me complace enormemente relatar la experiencia positiva y enriquecedora que hemos tenido con Delta Protect y su sobresaliente servicio de Chief Information Security Officer as a Service (CISOaaS). Representando al departamento de TI de Sperientia, quiero expresar mi profunda gratitud y aprecio por el alto nivel de calidad y profesionalismo evidenciado en nuestra colaboración con el equipo de Delta Protect. Desde el inicio de nuestra asociación con Delta Protect, hemos observado un compromiso y una excelencia excepcionales, superando ampliamente nuestras expectativas.”
“Mi experiencia con el equipo de especialistas de Delta Protect ha sido tremendamente positiva. En todo momento, han mostrado un alto grado de profesionalismo, experiencia y conocimiento, manejándose con una ética impecable. Su atención al detalle y su disposición para resolver problemas y brindar apoyo han sido imprescindibles. Como CISO, valoro enormemente contar con aliados tan confiables y competentes, que contribuyen significativamente a fortalecer la postura de ciberseguridad de mi compañía.”
Nuestra reciente experiencia con Delta Protect en el pentesting fue excepcional. Nos brindaron asistencia crucial para identificar y fortalecer aspectos de seguridad en variados sistemas e interfaces, abarcando front-end, back-end y aplicaciones móviles. Su enfoque ágil y sumamente profesional fue notable. Sin duda, confiaríamos nuevamente en Delta Protect para asegurar la integridad de nuestros sistemas.
Estoy absolutamente impresionado con la experiencia brindada por Delta Protect. Son, sin duda, el proveedor más responsable y cumplidor que hemos tenido el placer de colaborar.
Mi trayectoria con DeltaProtect se remonta a mi empleo anterior, donde ya tenía contacto con ellos desde el equipo de Ciberseguridad. Solicitamos pruebas de penetración (PT) para aplicaciones web y móviles. Mi experiencia con varios proveedores, grandes y pequeños, me ha demostrado que DeltaProtect se destaca significativamente. Sus informes y hallazgos son superiores, identificando vulnerabilidades que otros proveedores no detectaron. Lo que más valoro es la profundidad de sus pruebas y el enfoque en vulnerabilidades que requieren un análisis más detallado, más allá de los resultados automáticos.
"Delta Protect fue una solución óptima para nosotros. Buscábamos un proveedor bien actualizado técnicamente, que entendiera nuestro modelo de negocio y que nos diera la certeza de poder transmitir solidez a nuestros clientes. El trato del equipo Delta y sus procesos han superado nuestras expectativas, sin duda seguiremos trabajando juntos.”
"¡La experiencia general de trabajar con Delta Protect ha sido simplemente excelente! El equipo responde con velocidad, aclaran todas las preguntas a medida que surgen y el apoyo brindado durante todo el proceso es excelente. Lo Recomendaría sin dudarlo.”
"El servicio de Delta Protect es altamente profesional. Quedamos muy satisfechos con el resultado. Ofrecieron acompañamiento en todo momento para encontrar y solucionar las vulnerabilidades que encontraron en nuestro sistema.”
¿Qué es la Información de Identificación Personal o PII?
Ciberseguridad y Cumplimiento Simplificado para Startups y PYMEs en México y LATAM 🔐
Información personal de identificación (PII): Qué es y cómo protegerla
Conclusiones
Cyber Security researcher y profesional en tecnologías de la información con una fuerte preocupación por la privacidad y los derechos digitales. Como Hacker Ético y Purple Teamer, desarrollando e implementando controles y evaluaciones de seguridad basados en amenazas reales (“Threat-informed defense”), maximizando la operatividad y costos de implementación. Especialista en tecnologías Cloud e infraestructura, incluyendo arquitectura, evaluaciones, mejores prácticas, deployments y seguridad operacional.
Ciberseguridad y Cumplimiento Simplificado para Startups y PYMEs en México y LATAM 🔐
La protección adecuada de nuestros datos personales se ha vuelto crucial en esta era digital, ya que los delincuentes cibernéticos buscan constantemente obtener acceso a estos datos para cometer un sin fin de delitos.
Por lo tanto, es fundamental entender qué es la información personal de identificación (PII) y cómo protegerla. A continuación, exploraremos los conceptos claves, los riesgos asociados y las mejores prácticas para mantener tu privacidad a salvo.
¿Qué significa PII?
La información de identificación personal o Personally Identifiable Information (PII) hace referencia a cualquier dato personal que puede utilizarse (de forma aislada o combinado con otro tipo de datos) para identificar o rastrear a una persona. Son considerados sensibles y pueden incluir una gran variedad de información, como el nombre completo, la dirección, el número de identificación, datos de tarjetas de crédito, entre otros.
Estos datos pueden estar expuestos cuando navegamos en internet y los ciberdelincuentes pueden usarlos para robos o suplantación de identidad, fraudes financieros, entre otros.
Ejemplos de PII: ¿Cuáles son los datos de identificación?
Los datos de identificación son aquellos que se emplean para distinguir y reconocer de manera única a un individuo específico. Estos son algunos de los más comunes:
- Nombre completo
- Fecha y lugar de nacimiento
- Número de teléfono
- Número de la seguridad social
- Número de pasaporte
- Número de cuenta bancaria
- Dirección de vivienda
- Dirección de correo electrónico
- Datos de tarjetas de crédito
Tipos de información de identificación personal (PII)
Es fundamental comprender los diferentes tipos de información de identificación personal para tomar las precauciones necesarias y proteger nuestra privacidad. Existen la PII confidencial y la PII no confidencial.
PII confidencial
La PII confidencial no está disponible para el público y, al ser datos altamente sensibles, si se revelan sin autorización pueden causar daños significativos, tales como robo de identidad o violación de datos.
De acuerdo a las leyes de privacidad, las organizaciones están obligadas a proteger estos datos confidenciales mediante cifrado y otras medidas de ciberseguridad.
Algunos ejemplos de PII confidencial son:
- Número de identificación: pasaporte, licencia de conducir o DNI.
- Datos biométricos: huellas dactilares, reconocimiento facial o patrones de voz.
- Información financiera: cuentas bancarias, tarjetas de crédito o informe de transacciones.
- Información médica: historial clínico, diagnósticos médicos o medicamentos recetados.
PII no confidencial
La PII está disponible para el público y aunque son identificadores personales, no representan un riesgo significativo si son revelados sin autorización.
Algunos ejemplos de PII no confidencial son:
- Nombre completo
- Nombre de usuario de redes sociales
- Número de teléfono
- Lugar y fecha de nacimiento
- Datos geográficos (país, ciudad, código postal, etc.)
- Dirección IP
- Dirección de correo electrónico
- Información laboral
- Religión
- Origen étnico
Fuentes de recopilación de PII
Conocer todas las formas en las que tu empresa recopila datos de tus clientes y usuarios es importante para cumplir con las leyes de privacidad, generar confianza en los clientes y mejorar la seguridad de la información. Las principales fuentes de recopilación de PII son:
Registro en sitios web y aplicaciones
Cuando los usuarios se registran en sitios web o aplicaciones, proporcionan información personal como el nombre, dirección de correo electrónico, número de teléfono, edad, entre otros, como parte del proceso de creación de una cuenta.
Herramientas de análisis y gestión de clientes
Este tipo de herramientas se utiliza para obtener información sobre los clientes, tanto de fuentes internas, como externas. Incluye datos demográficos, preferencias de compra, historial de interacciones, comportamiento en línea, entre otros.
Transacciones comerciales
Durante la compra de productos o servicios, se recopila información como la dirección de envío, datos de pago, número de identificación, entre otros.
Servicios de atención al cliente
Las interacciones que se dan dentro de la atención al cliente, ya sea por teléfono, chat en línea o correo electrónico, puede implicar la recopilación de información necesaria para resolver consultas y problemas.
Encuestas y formularios
Al recopilar información directamente de los participantes, las empresas pueden obtener datos precisos y relevantes sobre sus necesidades específicas. Desde datos básicos como el nombre y la edad, hasta sus preferencias y opiniones.
Robos y filtraciones de PII
Lamentablemente, muchas empresas y organizaciones han experimentado robos y filtraciones de datos que han expuesto la información de identificación personal de sus clientes y usuarios. Estos ciberataques representan un grave riesgo, ya que la PII robada puede ser utilizada para llevar a cabo suplantaciones de identidad y cometer fraudes, así como afectar la reputación de la empresa.
Alguna de las posibles consecuencias que pueden tener las personas cuyo PII ha sido comprometida son:
- Problemas financieros: si los delincuentes obtienen información financiera robada y realizan cualquier tipo de transacción, las víctimas pueden enfrentar graves problemas financieros.
- Riesgo de seguridad personal: la PII filtrada, como la dirección de vivienda o el número de teléfono, puede exponer a la víctima ante amenazas físicas o acosos.
- Daño a la reputación: la información sensible, como correos electrónicos privados o fotografías comprometedoras, puede utilizarse para chantajear o difamar a las víctimas.
En cuanto a las empresas, si no posee las políticas de seguridad adecuadas, las filtraciones de PII podrían traer consecuencias como:
- Pérdida de clientes y disminución de ingresos: la falta de confianza en la seguridad de la empresa puede llevar a los clientes a buscar alternativas más seguras y ocasionar una disminución de los ingresos.
- Demandas legales: las empresas que sufren violaciones de datos pueden enfrentar acciones legales por parte de los clientes afectados o de las autoridades reguladoras.
- Daño a la imagen de la marca: las filtraciones de datos pueden tener un impacto duradero en la reputación de una empresa, afectando su imagen y la percepción de su ética empresarial.
Legislación y regulaciones relacionadas con la protección de la PII
Existen varios marcos legislativos y regulaciones que tienen como objetivo proteger la información de identificación personal en diferentes jurisdicciones. Algunos de estos son:
Reglamento General de Protección de Datos de la Unión Europea (RGPD)
También conocida en inglés como General Data Protection Regulation (GDPR), es una regulación de la Unión Europea (UE) que exige a las entidades de la UE y a las que ofrecen servicios en Europa, la protección de todos los datos personales que puedan utilizarse para distinguir la identidad de un individuo, ya sean clasificadas como confidenciales o no confidenciales.
Regulaciones de privacidad de EE. UU.
En los Estados Unidos, los organismos gubernamentales están sujetos a la Ley de Privacidad de 1974, la cual establece cómo deben utilizar y compartir la PII. Sin embargo, algunos estados tienen sus propias normativas, como la del estado de California, la cual se rige por la Ley de Privacidad del Consumidor de California (California Consumer Privacy Act o CCPA).
Regulaciones de privacidad según la industria
Existen sectores que tienen sus propias regulaciones de privacidad:
- Ley de portabilidad y responsabilidad de seguros de salud (Health Insurance Portability and Accountability Act o HIPAA): establece la forma en la que las entidades médicas deben recopilar y proteger los datos médicos y personales de los pacientes.
- Estándar de Seguridad de Datos de la Industria de Tarjetas de Pago (Payment Card Industry Data Security Standard o PCI DSS): explica cómo las entidades financieras deben manejar los datos confidenciales de los titulares y de las tarjetas o medios de pago.
Buenas prácticas al trabajar con PII
Cuando se maneja información de identificación personal, es necesario seguir buenas prácticas para garantizar la privacidad y la seguridad de los datos. Algunas de las recomendaciones del Instituto Nacional de Estándares y Tecnología (NIST) son:
- Identifica qué sistemas recopilan y almacenan PII en tu empresa u organización: es necesario tener un conocimiento completo de los sistemas y procesos que reúnen información de identificación personal para conocer qué datos se están recopilando, cómo se utilizan y dónde se almacenan.
- Reduce la recopilación y el uso de PII: evita recopilar datos innecesarios o excesivos, utiliza únicamente la información indispensable para cumplir con los propósitos específicos.
- Evalúa el nivel de confidencialidad de la PII que recopilas: clasifica los datos recopilados según su nivel de confidencialidad. Determina qué información es más sensible y cuál requiere un nivel más alto de protección.
- Aplica políticas y controles para salvaguardar los datos según el nivel de confidencialidad: implementa políticas y controles acordes al nivel de confidencialidad, esto puede incluir medidas como la encriptación de datos, autenticación de dos factores, control de accesos, entre otros.
- Desarrolla un plan de respuesta a incidentes relacionados con PII: prepara y mantén actualizado un plan de respuesta a incidentes como la violación o filtración de datos. Esto incluye pasos como la mitigación del impacto, la notificación a los afectados, la colaboración con las autoridades reguladores pertinentes y otros aspectos que consideres necesarios.
Es primordial que las empresas implementen medidas sólidas de seguridad cibernética y cumplan con las leyes de privacidad para evitar riesgos innecesarios. Por eso, Delta Protect podemos ayudarte a fortalecer la ciberseguridad de tu empresa y protegerte de posibles filtraciones de datos de identificación personal.
Agenda una demo de Apolo con nuestro equipo que está preparado para brindarte soluciones y asesoramiento personalizado.
Cyber Security researcher y profesional en tecnologías de la información con una fuerte preocupación por la privacidad y los derechos digitales. Como Hacker Ético y Purple Teamer, desarrollando e implementando controles y evaluaciones de seguridad basados en amenazas reales (“Threat-informed defense”), maximizando la operatividad y costos de implementación. Especialista en tecnologías Cloud e infraestructura, incluyendo arquitectura, evaluaciones, mejores prácticas, deployments y seguridad operacional.
