Programa de Amenazas Internas

Un programa de amenazas internas es el plan permanente de la organización para gestionar los riesgos que provienen de personas que ya tienen acceso legítimo: empleados, contratistas y socios. Su objetivo es evitar el daño cuando sea posible, detectarlo a tiempo y responder de forma coherente. El riesgo en sí se describe en amenaza interna.

El programa abarca personas, no solo sistemas, por lo que necesita varias funciones a la vez. Seguridad, recursos humanos, jurídico y los responsables de negocio tienen cada uno un papel definido. La disciplina más amplia que el programa pone en práctica es la gestión de riesgos internos.

A pesar del nombre, un programa de amenazas internas es más amplio que la tecnología. Los programas maduros suelen combinar seis elementos:

Un error frecuente es creer que instalar un software de monitorización equivale a tener un programa. La herramienta genera alertas. El programa define qué se monitoriza, quién revisa los resultados, qué umbrales activan una acción, cómo avanzan las investigaciones y qué salvaguardas de privacidad se aplican.

La visibilidad técnica suele venir de la monitorización de la actividad de usuarios y de un software de detección de amenazas internas. Sin ella, el programa depende sobre todo de autodeclaraciones y auditorías periódicas, que suelen detectar los problemas tarde.

Una forma práctica de organizar el trabajo es un ciclo continuo de cuatro fases:

1. 1

   Preparar y evaluar

   Establezca la gobernanza, la política, la revisión legal y de privacidad, e identifique los activos y datos críticos.

2. 2

   Detectar e identificar

   Recopile datos de actividad de usuarios y correlaciónelos con indicadores de riesgo definidos.

3. 3

   Evaluar

   Haga triaje de los indicadores para separar anomalías inofensivas de conductas realmente preocupantes. Escale cuando corresponda.

4. 4

   Responder

   Investigue, intervenga y documente los resultados. Los resultados vuelven a las reglas de detección y a la capacitación.

Una política escrita necesita categorías de riesgo con nombre para poder aplicarse. Los indicadores de amenaza interna solo sirven cuando apuntan a una categoría que la organización ya decidió vigilar. En Anexet, las categorías se gestionan en el administrador de categorías de riesgo, donde cada una tiene un nivel de riesgo predeterminado.

La mayoría de los programas fallidos fracasan de la misma manera: empiezan por las herramientas en lugar de por una lista de lo que hay que proteger. Luego se acumulan las alertas, nadie es responsable de ellas y el personal aprende a ignorar el programa.

Los controles técnicos, como la prevención de pérdida de datos (DLP), bloquean transferencias concretas, pero no reemplazan los pasos de revisión y respuesta que hacen funcionar un programa.

• Monitorear a todos por igual, sin alcance definido ni revisión de privacidad
• Alertas sin responsable, de modo que los incidentes se cierran sin una decisión
• Sin pasos de respuesta escritos, así que cada caso se gestiona de forma distinta

Empiece por los activos y datos cuya filtración causaría más daño y después defina las pocas conductas que importan para ellos. Un programa acotado se puede probar y ajustar. Uno que intenta vigilarlo todo suele desactivarse.

La monitorización técnica es un insumo de este trabajo. Anexet DLP registra cada evento con el usuario, la fecha y hora, el canal y la acción tomada, lo que da a los revisores la evidencia que necesitan.

Lectura recomendada: ¿Cómo reconocer a un insider en una empresa y prevenir sus actividades?; Los 5 tipos de datos que los competidores intentan robar.