Riesgo de Insider

La distinción es más que semántica: determina cómo funcionan los programas de riesgo de insider.

Tratar a los insiders como una categoría binaria (amenaza o no amenaza) lleva a la sobrerreacción, sospechando de todos, o a la infrarreacción, ignorando las señales tempranas. Verlos como portadores de un riesgo medible permite priorizar, dosificar la respuesta e intervenir de forma adecuada.

El riesgo es una probabilidad, mientras que una amenaza interna es un peligro activo o inminente. Por eso, un programa de gestión del riesgo de insider actúa antes del incidente y no solo durante él.

El riesgo de insider procede de tres grandes grupos de personas con acceso. Cada grupo requiere controles distintos, por eso conviene diferenciarlos.

El riesgo no es estático: sube y baja según factores individuales y de contexto:

• Nivel de acceso: cuanto más acceso a datos y sistemas sensibles, mayor es el impacto potencial;
• Cambios de conducta: variaciones bruscas en el ritmo, el volumen de datos o los canales pueden indicar un riesgo creciente;
• Eventos de plantilla: renuncias, despidos, sanciones y cambios de puesto elevan el riesgo;
• Presiones externas: dificultades económicas, crisis personales u ofertas de la competencia pueden crear motivación;
• Huecos de control: monitorización insuficiente, privilegios excesivos o gobierno de accesos débil.

Los programas maduros no se guían por intuiciones ni por señales aisladas. Trabajan en cuatro etapas, con el análisis de comportamiento de usuarios y entidades (UEBA) como motor de la puntuación:

1. 1

   Recopilar conducta

   Patrones de acceso a datos, patrones horarios, uso de canales e incumplimientos de política.

2. 2

   Añadir contexto

   Eventos de RR. HH., como bajas y cambios de puesto, revisiones de accesos y cambios organizativos.

3. 3

   Puntuar a cada usuario

   Las señales se ponderan por gravedad y correlación. Una señal débil aislada indica riesgo bajo, y varias señales convergentes elevan la puntuación.

4. 4

   Seguir la tendencia

   Un riesgo creciente con el tiempo pesa más que uno estable o decreciente, incluso en el mismo nivel.

En la consola de cliente de Anexet, las categorías de riesgo definen cuánto pesa cada tipo de evento, y una regla de notificación se activa cuando la puntuación de un usuario supera un umbral definido. Los detalles están en la página de detección de amenazas internas.

1 / 2

• 
• 

La mitigación del riesgo y la detección de amenazas son complementarias. Un programa bien diseñado hace ambas cosas: reduce el riesgo de base, para que ocurran menos incidentes, y detecta rápido los que ocurren, para limitar su impacto. La detección se apoya en sistemas DLP y en las investigaciones. La monitorización que disuade el abuso oportunista también forma parte de la mitigación.

No todo riesgo de insider merece la misma respuesta. Un caso de alto riesgo, como un administrador privilegiado que accede a datos inusuales fuera de horario, requiere investigación inmediata. Un caso de bajo riesgo, como un empleado júnior con una única advertencia, requiere seguimiento, no intervención.

Los programas que tratan cada señal como una crisis generan acusaciones infundadas, erosionan la confianza de la plantilla y desperdician recursos. Los que ajustan la respuesta al nivel de riesgo son más eficaces y más defendibles.

Los programas de riesgo de insider operan dentro de límites legales. La monitorización de empleados está regulada en la mayoría de jurisdicciones, como el RGPD en la Unión Europea, la LGPD en Brasil, la CCPA y las leyes estatales en Estados Unidos, además del derecho laboral. Un programa debe contar con:

• una finalidad legítima: seguridad y cumplimiento, no vigilancia de personas;
• información a los empleados, que en la mayoría de jurisdicciones es obligatoria;
• proporcionalidad: el alcance de la monitorización corresponde al riesgo que se gestiona;
• controles de acceso: los datos de monitorización no son de libre consulta, y solo perfiles autorizados los consultan en condiciones definidas;
• garantías procedimentales: las medidas basadas en esos datos siguen a una investigación, no a alertas en bruto.

Empieza por los datos cuya fuga causaría más daño y, después, por los canales que realmente usan. Las puntuaciones construidas sobre todo a la vez generan ruido que nadie lee, y en ese ruido es donde se pierden las señales reales.

Lectura recomendada: ¿Cómo reconocer a un insider en una empresa y prevenir sus actividades?; ¿Cómo identifica un oficial de seguridad a un insider mediante el sistema DLP?.