A nadie le gusta pensar que en su empresa puedan existir amenazas internas que pongan a la organización en riesgo de sufrir una filtración de datos o que puedan ser motivo de una multa por incumplimiento normativo que ascienda a miles de libras. Sin embargo, la amenaza interna es una realidad. Según múltiples informes, las amenazas internas están detrás de muchos de los problemas de seguridad a los que nos enfrentamos hoy en día.El «Informe sobre amenazas internas de Cybersecurity Insiders», por ejemplo, reveló que el 68 % de las organizaciones cree que las amenazas internas están aumentando en frecuencia. En una encuesta de Egress,la «Encuesta sobre filtraciones de datos por parte de empleados de 2020», casi todos los responsables de TI que respondieron afirmaron que el riesgo de filtraciones internas era una «preocupación significativa».
En el sector de la ciberseguridad se suele decir que las amenazas internas son las más difíciles de abordar; al fin y al cabo, ¿cómo se puede detectar una acción malintencionada o una fuga accidental de datos? A continuación le ofrecemos nuestra guía sobre las amenazas internas y cómo prevenirlas.
Tipos de amenazas internas
Se considera «persona interna» a cualquier persona que trabaje actualmente en su organización o que haya trabajado en ella anteriormente. Esta definición abarca tanto a los empleados como a otras personas que no lo son, como los contratistas. El concepto de «persona con acceso privilegiado» también puede ampliarse a un socio comercial o a una empresa de su ecosistema de proveedores. Los trabajadores a distancia también se suman a las preocupaciones de seguridad relacionadas con las personas con acceso privilegiado en una empresa; según una encuesta de IBM, los problemas de seguridad se ven agravados por el hecho de que las empresas no garantizan el cumplimiento de las políticas de seguridad para el teletrabajo.
El informador accidental
Un artículo del EC-Council señalaba que el 64 % de los incidentes de pérdida de datos se deben a personas internas que «tenían buenas intenciones»; en otras palabras, los accidentes ocurren. El término genérico «amenazas internas accidentales» abarca un amplio abanico de posibles «accidentes o contratiempos». Algunos de estos contratiempos se deben simplemente a la falta de comprensión de los riesgos de seguridad al realizar una tarea; otros, como el phishing o la ingeniería social, se deben a que las personas son manipuladas por fuerzas externas. La configuración incorrecta de los sistemas informáticos es otro ámbito que, aunque accidental, permite que fuerzas externas se aprovechen de un sistema. Las amenazas accidentales internas suelen reducirse a cuatro áreas problemáticas principales:
- El factor «¡Uy!»: malentendidos o desconocimiento de los procesos y riesgos de seguridad. El estudio de Egress reveló que el 31 % de las filtraciones se debieron a que un empleado envió información por correo electrónico a la persona equivocada.
- Engaños: Manipulación por parte de fuerzas externas, por ejemplo, el phishing. El estudio de Egress reveló que el 41 % de los datos filtrados accidentalmente se debió a un correo electrónico de phishing.
- Postura deficiente: una postura deficiente en materia de seguridad por parte de una empresa y la falta de aplicación de las normas y de formación en materia de seguridad
- Falta de conocimientos en materia de seguridad: configuración incorrecta de los sistemas debido a una formación deficiente o a la falta de comprensión de los aspectos de seguridad por parte del personal de administración de TI
Empleados con intenciones maliciosas
Se denomina «malintencionado» a aquel empleado o persona ajena a la empresa que tiene la intención deliberada de causar daños a los sistemas informáticos o de sustraer datos. A diferencia de los casos accidentales, las amenazas internas malintencionadas suelen estar motivadas por razones como el dinero o la venganza. Un informe de Fortinet sobre las amenazas internas reveló que el 60 % de las empresas estaban preocupadas por la amenaza de una filtración de datos provocada por una amenaza interna malintencionada. La encuesta también analizó las motivaciones de los usuarios internos malintencionados, siendo las tres razones principales las siguientes:
- Fraude (55 %)
- Dinero (49 %)
- Robo de propiedad intelectual (44 %)
Incluso se recluta a empleados malintencionados a través de la dark web; un informe señala un anuncio publicado en la dark web en el que se buscaba a un empleado bancario para que actuara como colaborador malintencionado, con una remuneración de 370 000 rublos (4 400 libras esterlinas) al mes a cambio de una hora de trabajo al día.
Ejemplos de amenazas internas
Independientemente de si la filtración de datos u otro incidente de seguridad se debe a una acción malintencionada o a un accidente, las repercusiones son las mismas. Las filtraciones de datos y otros problemas de seguridad dan lugar a cuantiosas multas por incumplimiento normativo, a la pérdida de confianza de los clientes en la capacidad de una organización para proteger la información confidencial e incluso a una caída del valor de las acciones de la empresa. A continuación se presentan tres ejemplos en los que los ataques internos causaron perjuicios a la empresa:
El empleado descontento: Una empresa dedicada a la distribución de equipos de protección individual (EPI) durante la pandemia de la COVID-19 sufrió las consecuencias de las acciones de un empleado enfadado. El antiguo empleado,«Dobbins», creó dos cuentas de usuario falsas antes de ser despedido. Una vez despedido, Dobbins accedió al sistema utilizando las cuentas falsas. A continuación, modificó casi 12 000 registros y eliminó más de 2 000. Finalmente, desactivó las cuentas falsas. Al realizar estos cambios, Dobbins perturbó gravemente el suministro de EPI a los profesionales sanitarios.
Intención maliciosa con ánimo de lucro: un empleado de BUPA provocó una filtración que afectó a 547 000 clientes, lo que llevó a la ICO del Reino Unido a imponer a BUPA una multa de 175 000 libras esterlinas. El empleado utilizó el sistema CRM de la empresa para enviarse a sí mismo los datos personales de los clientes de BUPA y, posteriormente, intentó vender las cuentas comprometidas en la dark web.
Los accidentes ocurren, pero a menudo son inexcusables: la «Investigación Independiente sobre Abusos Sexuales a Menores» (IICSA) fue objeto de escrutinio después de que un empleado enviara un correo electrónico masivo a 90 posibles víctimas de abusos sexuales infantiles. El empleado simplemente utilizó el campo «cc» en lugar del campo «cc oculto» para introducir las direcciones de correo electrónico. La ICO del Reino Unido impuso a la IICSA una multa de 200 000 libras esterlinas en virtud de la Ley de Protección de Datos (DPA2018).
Formas de detectar y mitigar las amenazas internas en su organización
Aunque puede resultar difícil detectar y prevenir los ataques perpetrados por personas internas, existen formas de minimizar su impacto. A continuación le presentamos cinco medidas que ayudarán a su organización a controlar las amenazas internas:
Formación sobre sensibilización en materia de seguridad
Dado que muchas amenazas internas son accidentales, la formación en concienciación sobre seguridad puede desempeñar un papel importante a la hora de mitigar este riesgo cibernético. La formación en concienciación sobre seguridad debería abarcar aspectos relacionados con las amenazas internas accidentales, tales como:
- Higiene de seguridad: por ejemplo, enseñar a los empleados a ser conscientes de la importancia de enviar datos de forma segura.
- Phishing: garantizar que los empleados estén al corriente de las estafas por correo electrónico y otras tácticas de phishing, y que sean conscientes del robo de credenciales a través de sitios web de phishing.
- Sensibilización sobre el cumplimiento normativo: garantizar que los empleados sean conscientes de su papel a la hora de velar por el cumplimiento de la normativa.
«Zero Trust»
Muchas amenazas internas se deben al uso indebido o al abuso de privilegios y a un control deficiente del acceso a datos confidenciales. El modelo «Zero Trust» se basa en el principio de «nunca confiar, siempre verificar». En esencia, esto significa que se solicita una autenticación a los empleados y/o a los dispositivos utilizados cuando intentan acceder a los recursos.
Estos retos reflejan la sensibilidad de los recursos, por lo que los datos o las aplicaciones más sensibles requieren una mayor garantía de que la persona que accede a ellos es quien dice ser. Una arquitectura de confianza cero es una combinación de tecnologías adecuadas y un enfoque arquitectónico que ayuda a compartimentar las áreas de una red. Entre las tecnologías que respaldan una arquitectura de confianza cero se incluyen la gestión de información y eventos de seguridad (SIEM) y un agente de seguridad de acceso a la nube (CASB).
Autenticación y autorización
La arquitectura de confianza cero se basa en el principio de una autenticación y autorización sólidas. La autenticación y autorización sensibles al contexto añaden una importante capa de control al acceso a datos confidenciales. Debe exigirse el uso de la autenticación de dos factores (2FA) o la autenticación multifactorial (MFA) para acceder a las aplicaciones corporativas, especialmente cuando se trabaja a distancia. En combinación con la supervisión, estos procesos crean una sólida capa de seguridad.
En busca de indicios de un comportamiento inusual
Las amenazas internas maliciosas pueden resultar difíciles de detectar, pero ciertas tecnologías basadas en el aprendizaje automático (ML) pueden ayudar a detectar amenazas y alertar a su equipo de seguridad ante cualquier actividad inusual. Una de ellas es la supervisión de los empleados mediante el análisis del comportamiento de usuarios y entidades (UEBA, por sus siglas en inglés). El UEBA se utiliza para detectar comportamientos inusuales mediante el aprendizaje automático, con el fin de identificar patrones de comportamiento anómalos cuando las personas interactúan con dispositivos y redes.
Control contra el phishing y el spam
Las tecnologías que impiden que los correos electrónicos de phishing lleguen a las bandejas de entrada de los empleados desde el principio pueden ayudar a prevenir las filtraciones accidentales por parte del propio personal. Existen soluciones que pueden utilizarse para evitar que los empleados accedan a direcciones URL maliciosas. Estos servicios de software suelen ofrecerse como plataformas basadas en la nube. El filtrado de correo electrónico y el análisis del contenido de las direcciones URL resultan útiles para proporcionar una red de seguridad que complemente la formación en materia de concienciación sobre seguridad.
Nuestros empleados son nuestro mayor activo, y debemos asegurarnos de que sigan siéndolo, potenciando su desarrollo a través de la formación y protegiéndolos a ellos y a nuestra empresa con las mejores tecnologías de seguridad disponibles.