Cómo la gobernanza fragmentada pone en riesgo los datos controlados

La mayoría de los contratistas de defensa no tienen una sola gobernanza de datos. Tienen varias: una para los sistemas de programas, otra para el correo electrónico, una diferente para el uso compartido de archivos y, a menudo, ninguna política coherente para el canal más reciente: las herramientas de ingeniería asistidas por IA. Cada una fue creada por un equipo diferente, en momentos distintos y con requisitos distintos. De forma individual, cada política puede parecer razonable. En conjunto, dejan vacíos que nadie diseñó a propósito y que pocos pueden ver.

Esos vacíos no permanecen teóricos por mucho tiempo. La CUI clasificada como sensible en una carpeta protegida puede viajar, sin restricciones, como archivo adjunto de correo electrónico en cuanto alguien la reenvía, porque la política de la carpeta nunca acompañó al archivo fuera de ella. Un conjunto de datos bloqueado para el intercambio externo en un sistema puede salir a través de una integración que nadie pensó en cubrir. Este artículo analiza por qué gobernar cada canal por separado garantiza la existencia de estos vacíos para los contratistas de defensa y qué se necesita realmente para cerrarlos.

Resumen Ejecutivo

La gobernanza de datos en los contratistas de defensa, construida canal por canal, inevitablemente produce una protección inconsistente, porque las herramientas de cada canal fueron diseñadas y configuradas de forma independiente, a menudo por equipos distintos que resolvían problemas inmediatos diferentes. El resultado no es una serie de riesgos aceptables por separado. Es un riesgo combinado igual al del canal más débil, ya que la CUI se mueve habitualmente entre ellos y una política que se detiene en el límite de un canal no ofrece protección una vez que los datos lo cruzan. Para los responsables de seguridad de programas, la implicación práctica es que auditar los canales por separado no sacará a la luz este riesgo. Lo que debe auditarse es lo que ocurre con un archivo controlado específico a medida que se mueve de un canal a otro.

Puntos Clave

1. La gobernanza fragmentada significa que el mismo archivo controlado puede estar protegido en un canal y desprotegido en otro. Una regla de clasificación o acceso aplicada en un sistema rara vez acompaña a los datos cuando se trasladan a otro lugar.
2. Los archivos adjuntos son el lugar más común donde una política deja de aplicarse sin aviso. Un archivo gestionado cuidadosamente dentro de una carpeta protegida puede adjuntarse a un correo electrónico y enviarse sin que se mantengan las restricciones de esa carpeta.
3. Cada canal adicional es otro lugar donde puede ocultarse un vacío en la política. Los sistemas de programas, el correo electrónico, el uso compartido de archivos y ahora las herramientas de ingeniería con IA necesitan cobertura, y basta con un vacío en cualquiera de ellos.
4. La clasificación debe ser una propiedad de los datos, no del sistema en el que se encuentran. Una etiqueta solo protege la CUI de forma consistente si persiste cuando los datos se mueven entre canales.
5. Un único motor de políticas que abarque todos los canales cierra el vacío que las herramientas por canal no pueden cubrir. La aplicación debe evaluarse de la misma manera sin importar por qué canal se mueven los datos.

Por Qué la Gobernanza por Canal Fue la Opción Predeterminada y Por Qué Falla para los Contratistas

La mayoría de los contratistas llegaron a una gobernanza fragmentada a través de una serie de decisiones sensatas por separado, no por una sola mala decisión. Se eligió y aseguró una plataforma de uso compartido de archivos, luego se eligió y aseguró el correo electrónico por separado, y cada proyecto tenía su propio presupuesto, responsable y definición de cumplimiento.

Cada Herramienta Resuelve Su Propio Canal, No Todo el Recorrido de los Datos

Los controles de acceso de una plataforma de uso compartido de archivos determinan quién puede abrir, descargar o compartir un archivo dentro de esa plataforma. No tienen visibilidad ni autoridad sobre lo que ocurre una vez que ese archivo sale como adjunto de correo electrónico, se copia en otro sistema o se extrae mediante una integración. Cada herramienta fue creada para gobernar bien su propio canal. Ninguna fue diseñada para seguir los datos una vez que salen.

Rara Vez Se Concilian las Políticas Entre Canales Después de Implementarlas

Una vez que cada canal tiene su propia herramienta de gobernanza y sus propios administradores, conciliar las políticas entre ellos se convierte en un proyecto sin dueño. Requiere que alguien compare conjuntos de reglas escritos en diferentes lenguajes, aplicados por sistemas distintos y que cubren categorías de datos controlados que se superponen pero no son idénticas. En la práctica, esta conciliación rara vez se realiza de manera integral.

Dónde Aparece Realmente el Vacío para los Contratistas de Defensa

El riesgo teórico de una gobernanza fragmentada se vuelve concreto en puntos específicos y previsibles donde la CUI cruza el límite de un canal.

El Problema de los Archivos Adjuntos

Un archivo ubicado en una carpeta cuidadosamente gestionada y con acceso restringido es, desde la perspectiva de la mayoría de los sistemas de correo electrónico, solo un archivo que un usuario decidió adjuntar. Las reglas de acceso, la retención y las restricciones de uso compartido de la carpeta no acompañan al archivo en el correo electrónico. Una vez adjuntado y enviado, el archivo queda gobernado por lo que permita la política, normalmente mucho más laxa, del sistema de correo electrónico.

El Problema de las Integraciones y Herramientas de Ingeniería con IA

Los contratistas conectan sistemas constantemente, mediante integraciones y, cada vez más, herramientas de ingeniería con IA que leen y resumen datos técnicos para los ingenieros. Cada integración es un canal potencial por el que pueden moverse datos controlados, gobernado por su propia configuración de acceso, a menudo mínima, en lugar de la política real de datos del contratista.

Por Qué la Clasificación Debe Viajar con los Datos

Cerrar estos vacíos requiere empezar de otra manera: en vez de pedir a cada canal que aplique su propia versión de la política, la política debe evaluarse igual sin importar en qué canal estén los datos.

Etiquetas y Clasificación como Propiedades Portables

Cuando un archivo se etiqueta como CUI en el momento en que ingresa a un sistema, esa clasificación debe acompañarlo a todo lo que toque después, para que la misma restricción se aplique de manera consistente en vez de restablecerse al valor predeterminado del canal.

La Aplicación Debe Cubrir la Transferencia, No Solo Cada Lado

El momento de mayor riesgo para un archivo controlado es la transferencia entre canales, no el tiempo que pasa en reposo en uno u otro. Un enfoque de gobernanza que aplica bien las reglas dentro de una plataforma de uso compartido de archivos y dentro de un sistema de correo electrónico, pero no contempla el acto específico de adjuntar un archivo de uno al otro, en realidad no ha cerrado el vacío.

Auditoría para la Fragmentación en Lugar de Auditar Canal por Canal

El cambio práctico para la función de seguridad de un programa es dejar de preguntar «¿es segura nuestra plataforma de uso compartido de archivos?» y «¿es seguro nuestro sistema de correo electrónico?» como preguntas separadas, y empezar a preguntar qué ocurre con un archivo controlado específico a medida que se mueve de uno a otro, y al siguiente.

Cómo una Data Control Plane Cierra el Vacío Entre Canales

Cerrar la fragmentación no requiere reemplazar todas las herramientas específicas de canal en las que ya confía un contratista. Se trata de añadir una capa de gobernanza que se sitúe por encima y abarque todas ellas, evaluando la misma política sobre los mismos datos sin importar por qué canal se estén moviendo.

La Data Control Plane de Kiteworks aplica un único conjunto de políticas de confianza cero y conocimiento de datos en todos los canales por los que circula información confidencial, incluidos correo electrónico, uso compartido de archivos, APIs y agentes de IA. La clasificación aplicada automáticamente cuando los datos ingresan al sistema viaja con esos datos, de modo que la misma restricción que rige un archivo CUI dentro de una carpeta protegida se aplica de nuevo en cuanto alguien intenta adjuntarlo a un correo electrónico o extraerlo mediante una integración. Cada decisión de aplicación, en todos los canales, queda registrada en un único registro de auditoría inalterable y sin limitaciones que se integra directamente con las herramientas de SIEM.

Los contratistas que quieran descubrir dónde se encuentran realmente sus vacíos entre canales pueden solicitar una demo personalizada para ver cómo una política única aplicada de forma consistente en todos los canales se compara con su enfoque actual por canal.