Con el fin de entender quiénes son estos infiltrados y por qué representan un riesgo, comencemos por identificar la raíz del problema.
Existe una enorme cantidad de artículos que citan números aterradores del tamaño y el alcance de las amenazas internas. Este no es uno de esos artículos, usted ya sabe que son una enorme preocupación y que pocas organizaciones mantienen un nivel de control razonable sobre ellas. Entonces ¿por dónde debe comenzar? Analizar la raíz del problema para poder entender quiénes son estos infiltrados es un buen primer paso, así como averiguar por qué representan un riesgo.
Uno podría estar tentado a relacionar estos personajes con trabajos o cargos específicos. Pero es mejor resistirse a dicho impulso porque sus características pueden encontrarse en toda la organización, independientemente de la posición de una amenaza. Para que quede claro, a continuación se presentan siete perfiles de los infiltrados más comunes de alto riesgo.
- Los que buscan la conveniencia les gusta ignorar los protocolos. La manera “oficial” de hacer las cosas es muy costosa, difícil y complicada así que prefieren utilizar sus propios métodos, como optar por su servicio favorito para compartir archivos en lugar del que ha proporcionado la corporación. Asimismo utilizarán con frecuencia su correo electrónico personal para no tener que enfrentarse a las limitaciones de desempeño o del tamaño de los archivos adjuntos que pueden enviar.
- Las víctimas accidentales cometen errores, probablemente debido a la falta de capacitación (o porque desconocen) sobre los procesos y sistemas adecuados. Las víctimas accidentales van a oprimir el botón incorrecto, enviarán un documento a la persona equivocada o cometerán un error inadvertido. Probablemente nuestras víctimas accidentales están cansadas, estresadas o distraídas cuando realizan estas acciones. Son particularmente vulnerables porque las amenazas externas a menudo “crean” miedo y pánico como parte de un esquema de phishing o de estafas telefónicas, de manera que sus objetivos no se dan cuenta de que les están tendiendo una trampa.
- Los sabelotodo quieren “contribuir”, “mostrar valor” y ser visibles siempre que sea posible. Desafortunadamente pueden compartir más información de la necesaria en su respuesta a un correo electrónico. Se adelantan a responder a una solicitud cuando alguien más calificado debería hacerlo o comienzan comunicaciones sobre temas sin el tacto o la sutileza necesarios. Publicarán sin pensarlo en los medios sociales sobre temas delicados como los resultados trimestrales que aún no se han anunciado oficialmente. Algunos sabelotodo buscarán a propósito robar o manipular información confidencial por diversión, curiosidad o para demostrar que pueden hacerlo.
- Los intocables creen que esas “historias de terror” no les pueden pasar a ellos. Han ganado acceso privilegiado y están mostrando una actitud arrogante al respecto. Constantemente el personal de TI utiliza sus credenciales de “súper usuarios” a su conveniencia, por ejemplo, solo para provocar que un servidor de misión crítica sea infectado por malware cuando abren un correo electrónico que contiene phishing. Los auditores, los ejecutivos financieros, los desarrolladores y otros ejecutivos con privilegios podrían retener demasiada información almacenada localmente después perder su computadora portátil, o dejarla a vista de todos, lo que un ladrón podría aprovechar para huir con ella.
- Los facultados están convencidos de que tienen el derecho a tener acceso a ciertos tipos de datos o hacer cosas a su propio modo. Ignoran los procesos y las políticas. Han llegado a la conclusión de que “son dueños” de los datos, incluyendo listas de clientes, los códigos fuente, la investigación científica y la documentación o plantillas de procesos. Y si bien normalmente asociamos este comportamiento con los altos ejecutivos que creen que las reglas no les aplican, cualquiera puede desarrollar esta actitud en todos los niveles de la compañía.
- Los traidores son empleados maliciosos. A veces traen entre manos un plan cuando se les está contratando. Sin embargo, con frecuencia tienen buenas intenciones en su primer día de trabajo pero pierden su brújula moral después de endeudarse o de que su descontento ha aumentado debido a no recibir un nuevo nombramiento o un incremento de salario. Internalizan un descontento destructivo debido a las diferencias con colegas, jefes inmediatos o con la propia organización.
- Infiltrados secretos que no deberían estar dentro de la compañía en primera instancia. Pero están ahí donde han ejecutado efectivamente la primera etapa de un ataque externo: Lograr internarse en la red. Si bien en las últimas décadas nos hemos enfocado en las “defensas” contra dichos ataques, la realidad es que en algún punto una brecha tendrá éxito. En esta etapa, los infiltrados secretos tienen acceso a la red y para tener seguridad es necesario adoptar las medidas para “detectar” tal brecha. Pero a diferencia de los seis perfiles de alto riesgo antes mencionados, éstos son hackers profesionales quienes son expertos y tienen fuertes motivaciones, además de que dominan el acceso y los privilegios de un infiltrado.
Para bien o para mal, las opciones de seguridad han evolucionado de los nombres de usuario y contraseñas, firewalls y antivirus (AV) de escritorio a las docenas de soluciones que funcionan conjuntamente para proteger la red, los datos y a los usuarios. Un programa de amenazas internas debe integrar muchas de estas soluciones, como los controles de acceso y las herramientas para la prevención de pérdida de datos (DLP) junto con procesos bien definidos (y aplicados) así como tecnologías más recientes como la Analítica para el Comportamiento de los usuarios (UBA)
En resumen: educar a los usuarios no es algo nuevo pero con frecuencia se pasa por alto como una solución potencial debido a la mentalidad que se desarrolló cuando la mayoría de nosotros no sabía cómo ajustar los relojes de nuestras VCRs (videograbadoras) y que nunca nos molestamos en aprender (felicidades si no hubo necesidad de buscar en Google “VCR” o “videograbadora” para comprender la frase). No obstante los empleados de hoy crecieron con Nintendo, la Internet y los teléfonos inteligentes, se sienten orgullosos de conocer las aplicaciones más recientes y cada función de sus dispositivos móviles. Esto significa que las organizaciones pueden apelar al “orgullo técnico” de esta generación, educarla sobre cómo los “hábitos profesionales” recomendados pueden elevarlos a posiciones de confianza.
En otras palabras, los usuarios son más capaces de reconocer los riesgos – y el valor de las medidas preventivas y los procesos – si tan solo hacemos que se involucren.