Las amenazas internas

La expresión "amenaza interna" hace referencia a la filtración o al uso indebido de datos, ya sea que se hayan publicado por accidente o de manera intencional, los cuales pueden aprovecharse con fines maliciosos o visualizarse sin los permisos de acceso correspondientes. 

Es una de las amenazas de seguridad más habituales en las empresas, y generalmente se produce por errores comunes que cometen las personas.

Si prefiere no leer el artículo, le presentamos un breve video sobre las amenazas internas.

A veces pueden ser pocos, pero otras, muchos. Esta declaración es muy poco precisa, lo cual se relaciona en gran medida con el daño que podría generar la divulgación de un solo secreto empresarial o la repetición inadvertida de varios errores pequeños.

Algunas amenazas internas pueden destruir empresas enteras, avergonzar a las personas, atentar contra la seguridad de los clientes o los partners, generar costos adicionales o poner en riesgo la seguridad o la infraestructura principal de un país. Si escribe en cualquier motor de búsqueda la expresión "amenaza interna", verá que docenas de agencias federales de los Estados Unidos hablan sobre sus riesgos:

• Agencia de Seguridad de Infraestructura y Ciberseguridad (CISA)
• Departamento de Seguridad Nacional (DHS)
• Centro de Recursos de Seguridad Informática (CSRC) del Instituto Nacional de Estándares y Tecnología (NIST)
• Buró Federal de Investigaciones (FBI)

Incluso nosotros, que somos la empresa líder en tecnología open source empresarial y creemos en todo lo que es posible gracias a ella, tememos por las amenazas internas. Por esa razón, antes de lanzar al público nuestro modelo de desarrollo open source para Red Hat® Enterprise Linux® a través de la comunidad open source CentOS Stream, lo revisamos, lo probamos y controlamos su calidad en reiteradas oportunidades.

A diferencia de lo que se cree, la mayoría de las amenazas internas no se producen por las acciones malintencionadas de los empleados anteriores, sino por los errores de la gente común. Como usted.

Probablemente no piensa en convertirse en una amenaza, ni tampoco se considera una persona con información privilegiada. Sin embargo, piense en toda la información importante a la que puede acceder a diario de forma legítima: propiedad intelectual, procesos de ingeniería de software, usuarios y contraseñas para acceder a las redes, y datos sobre el desempeño de la empresa.

Por este motivo, es importante que preste atención a las preguntas que se encuentran al final de los cursos de ética corporativa e intente no pasarlas por alto. Piense en ellas. Téngalas muy en cuenta. Le permitirán detectar las amenazas internas con mayor facilidad en el futuro.

• ¿Cuáles son los indicadores de posibles amenazas internas?
• ¿Qué situaciones podrían sugerir la existencia de una amenaza interna que se debe informar?
• ¿Cuántos indicadores de posibles amenazas internas puede detectar?

Por lo general, hay tres tipos de amenazas internas:

• Malhechor interno: alguien que constantemente intenta perjudicar a la empresa u obtener beneficios a partir del robo o el daño de los datos o los servicios.
• Delator: alguien que considera que la empresa está haciendo algo indebido.
• Error del usuario: alguien que simplemente comete un error.

También está la suplantación de identidad. La suplantación de identidad es un tipo de ingeniería social en la que se intenta engañar al usuario para que brinde información confidencial o datos personales a través de una solicitud fraudulenta, como una oferta o un correo electrónico falsos. Si un miembro de la empresa fomenta este tipo de ataque, se trata de una amenaza interna. En cambio, si proviene de una persona externa a ella, por ejemplo alguien que ejecuta el malware, se considera otro tipo de amenaza a la seguridad.

La seguridad es responsabilidad de todos. Los equipos que se encargan de ella mantienen políticas de seguridad y ayudan a que todos tengan presente los protocolos de protección, pero no podemos depender únicamente de estos especialistas.

Los sistemas de protección siempre están activos, independientemente de si su empresa cuenta con controles de seguridad, equipos de respuesta a las emergencias informáticas (CERT) o programas contra las amenazas internas. Piense en todos los organismos locales, estatales, federales e internacionales con cargos de ciberseguridad y antimonopolio.

Si bien la forma más clara de protegerse contra las amenazas internas es contar con permisos y firewalls vigentes para prevenir la pérdida de datos, también hay cuatro elementos que no deben faltar en un equipo de seguridad eficaz:

• Educación: los equipos de seguridad pueden disminuir las probabilidades de que haya amenazas externas y ataques internos. Solo deben enseñarles a las personas a realizar las tareas correctamente, o bien hacer hincapié en el gran poder que posee el personal. Además, es importante que el personal interno entienda que muchos de los informes con alertas no representan necesariamente una amenaza. Esto ayudará a fomentar el sentido de comunidad, es decir, la idea de que la función del equipo de seguridad es colaborar, no juzgar.
• Protección predeterminada: la forma más sencilla de proteger los sistemas es bloquearlos por completo y permitir el acceso a ellos solo en situaciones excepcionales. Por lo tanto, cuando el proceso más sencillo es también el más seguro, resulta mucho más fácil hacer lo correcto desde el principio. Este método es similar al control de acceso basado en funciones (RBAC), así como al principio de mínimo privilegio, donde solamente se le otorga al usuario lo que necesita para realizar sus tareas.
• Comunicación fluida: procure que las personas se sientan a gusto hablando con usted. Esto los animará a contarle toda la verdad, y lo ideal es que lo hagan de forma anticipada. Demuestre que es un buen compañero, alguien con quien se puede trabajar para verificar que las tareas se lleven a cabo teniendo en cuenta la seguridad.
• Humildad: recuerde que el hecho de ser humanos nos lleva a cometer cientos de errores. Usted no es el juez ni el jurado, es el departamento de bomberos. Debe solucionar los problemas e intentar no pensar en que se cometió un error. El hecho de castigar a quienes cometen errores puede dar lugar a una cultura basada en el miedo y el rechazo, en la cual las personas esperarán hasta el último momento para señalar que hay un problema.

Trabajamos con las comunidades open source upstream para diseñar sistemas de software empresariales reforzados y probados, los cuales se distribuyen de forma segura. Desarrollamos productos open source para las empresas, que se pueden utilizar para diseñar, gestionar y automatizar la seguridad de las nubes híbridas, las cadenas de suministros, las aplicaciones y las personas.