Categorías
¿Cómo identifica un oficial de seguridad a un insider mediante el sistema DLP?
23
9 min
Cualquier organización puede sufrir fugas de datos por las acciones de los insiders.
Hoy en día, el control de la seguridad de la información no es una cuestión de confianza en los empleados, sino una necesidad estratégica, sobre todo si tenemos en cuenta el creciente número de fugas de información provocadas por usuarios internos. Por ejemplo, los ataques de insiders aumentaron un 25% en 2024, y cerca del 35% de todos los incidentes de seguridad de la información estuvieron relacionados de alguna manera con el factor humano.
El endurecimiento de la legislación en materia de protección de la información, el importante aumento de las multas regulatorias y la introducción de responsabilidad penal por infracciones relacionadas con los datos personales de los ciudadanos también plantean la necesidad de crear un sistema de protección de la información fiable y sostenible.
En este artículo analizaremos quién es responsable de proteger los datos corporativos, cómo identificar posibles amenazas y qué herramientas pueden ayudar a prevenir eficazmente las fugas causadas por la acción de los insiders.
¿Qué hace un oficial de seguridad?
El oficial de seguridad desempeña un papel clave en la creación de un sistema fiable de protección de datos dentro de la organización:
- participa en el desarrollo e implementación de las políticas de seguridad de la información dentro de la organización;
- supervisa el cumplimiento de las políticas de seguridad adoptadas;
- gestiona los incidentes de seguridad de la información;
- fomenta la concienciación de los empleados en materia de ciberseguridad, es decir, la formación del personal en seguridad;
- identifica a los insiders y el comportamiento sospechoso de los empleados.
Para hacer frente a estos retos, los oficiales de seguridad cuentan con varias herramientas, entre ellas los sistemas DLP. A continuación, veremos cómo nuestro DLP puede utilizarse para identificar insiders.
¿Cómo identificar a un insider mediante el sistema DLP?
Configuración de las políticas de seguridad
El oficial de seguridad activa las políticas de seguridad preinstaladas en el sistema, las edita conforme a las necesidades de la organización o crea otras nuevas.
En el sistema ya hay configuradas más de 180 políticas de seguridad. Para mayor comodidad, las hemos agrupado en categorías como "Actividad sospechosa", "Fuga de datos bancarios", "Fuga de inicio de sesión y contraseña", "Fuga de información", entre otras.
Cuando se activa la política, el oficial de seguridad u otro empleado autorizado recibe una notificación.
Gestión de incidentes de seguridad
Cuando se activa una regla que indica un intento de robar información protegida o transferirla a un tercero, el oficial de seguridad puede:
- realizar un análisis retrospectivo del empleado, es decir, evaluar qué infracciones ha cometido anteriormente, si existen cómplices y qué papel desempeñó cada persona en el incidente;
- supervisar la actividad actual del empleado durante la jornada laboral: qué operaciones realiza con los archivos (incluidos los confidenciales) y con qué contactos se comunica;
- si es necesario, tomar capturas de pantalla del escritorio del empleado con la frecuencia que se desee, así como activar el micrófono o tomar fotos con la cámara web para analizar lo que ocurre cerca del puesto de trabajo.
¡Importante! Si es necesario, puede configurar el bloqueo de operaciones no deseadas, incluido el envío de documentos confidenciales por correo electrónico y la copia a medios externos.
Veamos cómo identificar a un insider con un ejemplo real. Una empresa cliente sufría fugas de información importante, por lo que se decidió instalar el sistema DLP.
Se tomaron huellas digitales de los documentos importantes, se configuraron las políticas de seguridad correspondientes y se establecieron reglas de bloqueo.
Un empleado de la organización copió un fragmento de información confidencial en medio de un documento de varias páginas con un título neutro y, a continuación, intentó enviarlo por correo electrónico a un contacto externo.
La situación no parecía sospechosa. Era un correo típico y rutinario, de los que puede haber cientos en una sola jornada laboral, incluso en una empresa pequeña.
Sin embargo, la regla de huella digital funcionó — el sistema interceptó el documento, lo analizó en busca de información confidencial, identificó la coincidencia con una huella digital tomada previamente y bloqueó la transacción.
El oficial de seguridad recibió una notificación al instante y se evitó la fuga.
El insider fue descubierto.
Apertura de un expediente
Todos los detalles del incidente pueden añadirse al expediente, entre ellos:
- documentos de los resultados de búsqueda, del módulo de actividad del usuario, otros archivos del sistema y archivos externos;
- fichas de las personas sospechosas de estar implicadas en el incidente;
- comentarios del oficial de seguridad que puedan ser útiles para llevar a cabo la investigación.
Elaboración de informes para la dirección
Los datos reunidos en un expediente pueden recopilarse en un informe práctico, aceptado por la organización, que el oficial de seguridad puede presentar a la dirección.
Los informes detallados de incidentes pueden utilizarse para analizar y eliminar vulnerabilidades en el sistema de información, así como para imponer medidas de responsabilidad al infractor: desde instrucción sobre técnicas de seguridad de la información en caso de infracciones leves hasta el despido con indemnización por daños y perjuicios.
En conclusión
Minimizar los riesgos asociados a las amenazas internas (insiders) es una parte importante de la estrategia de seguridad de la información de una organización. Los sistemas DLP ayudan a los equipos de seguridad a detectar rápidamente posibles amenazas, gestionar el acceso a los datos confidenciales y evitar su distribución no autorizada.
