Insider

Un insider es cualquier persona cuyo acceso es legítimo. Incluye a empleados actuales, contratistas, consultores, personal temporal y socios o proveedores a los que se les dio cuenta, acceso VPN o entrada al edificio. Los exempleados cuyas cuentas nunca se eliminaron por completo también suelen contar.

Lo que define a un insider es el acceso autorizado, no la intención ni el comportamiento. La misma persona puede ser un colega de confianza un día y una preocupación de seguridad al siguiente, por eso el término describe un rol, no una etiqueta. La visión más amplia de ese rol está en el riesgo de insiders.

La práctica de seguridad separa a los insiders según la intención y según quién está realmente detrás de la cuenta. Las acciones descuidadas suelen causar tanto daño como el abuso deliberado, así que la intención por sí sola es una mala referencia.

Para las herramientas de seguridad, una cuenta comprometida parece autorizada, porque técnicamente lo está.

Muchos de estos hábitos quedan dentro del shadow IT: herramientas que nadie aprobó y nadie controla. Estos hábitos no dejan ticket ni registro de licencia, así que los controles habituales nunca los ven.

La visibilidad regresa mediante el descubrimiento automatizado, que muestra lo que está instalado y en uso, y mediante un registro actualizado de quién tiene qué acceso.

Los casos más comunes siguen unos pocos patrones:

• Una cuenta personal para compartir archivos usada con archivos de clientes
• Un correo personal usado para enviar una lista de precios
• Una memoria USB copiada con la base de datos de clientes antes de renunciar
• Una impresión olvidada en la bandeja de una impresora compartida

En la consola cliente, el gestor de categorías de riesgo define cómo se agrupan los eventos. Las categorías integradas, como Internal Threat, ya tienen un nivel de riesgo predeterminado, así que la actividad de alto riesgo aparece sin escribir reglas de detección desde cero. La página de detección de amenazas internas muestra cómo esas puntuaciones llegan a las investigaciones.

Los administradores también etiquetan a los usuarios con etiquetas del sistema, como Suspicious, Special control y Offboarding, para que la revisión pueda seguir a la persona y no solo a un evento.

1 / 2

• 
• 

Un atacante externo primero debe romper el perímetro: cortafuegos, autenticación y protección de endpoints. Un insider empieza detrás de todo eso. Ya tiene credenciales válidas, sabe dónde están los datos valiosos y conoce bien cómo es la actividad normal.

Por eso separar la actividad de un insider del trabajo legítimo es más difícil que detectar un ataque externo. El análisis de comportamiento de usuarios y entidades (UEBA) lo resuelve comparando a cada persona con su propio patrón.

“Insider” describe un rol, no una etiqueta de amenaza, y la gran mayoría de los insiders nunca causa daño. Aun así, cada insider representa un riesgo que la seguridad perimetral no puede ver: uso indebido deliberado, errores costosos o toma de control de cuentas.

Gestionar ese riesgo es el trabajo de la gestión del riesgo de insiders. Se reduce a cuatro pasos:

1. 1

   Conozca el acceso

   Identifique a qué sistemas, datos e instalaciones puede llegar cada insider.

2. 2

   Observe el uso

   Revise cómo se usa ese acceso en cada canal.

3. 3

   Compare con la línea base

   Mida la actividad de cada usuario frente a su patrón normal.

4. 4

   Actúe ante las infracciones

   Responda cuando un comportamiento o un contenido cruza los límites de la política.

Empiece por los datos que más dañarían si salieran y, después, por los canales que la gente realmente usa para moverlos. Las políticas escritas para todos los archivos a la vez terminan bloqueando el trabajo diario y acaban desactivadas.

Lectura recomendada: ¿Cómo reconocer a un insider en una empresa y prevenir sus actividades?; ¿Cómo identifica un oficial de seguridad a un insider mediante el sistema DLP?.