Una amenaza interna es un riesgo de seguridad que se origina dentro de una organización. Por lo general, involucra empleados, contratistas, proveedores o socios que tienen acceso a información confidencial o sistemas críticos. Esto es diferente a las amenazas externas, que provienen de piratas informáticos o ciberdelincuentes fuera de la organización. Las amenazas internas plantean un desafío de mitigación único, ya que son causadas por personas en las que se confía y tienen acceso legítimo a los recursos.
Es importante comprender la naturaleza y el alcance de las amenazas internas y aumentar la conciencia sobre ellas por varias razones.
- En primer lugar, el daño causado por una persona interna puede ser mucho más extenso debido a su profundo conocimiento de los sistemas y procesos de la organización y su acceso a una amplia variedad de recursos.
- En segundo lugar, las medidas de seguridad heredadas, como firewalls y software antivirus, a menudo son ineficaces contra las amenazas internas, ya que fueron diseñadas para mantener alejados a los atacantes, pero no abordan el caso de uso de los atacantes que vienen desde dentro.
- En tercer lugar, el costo de un ataque interno puede ser sustancial, no sólo en términos de pérdidas financieras sino también de daños a la reputación. Si se corre la voz de que un empleado interno provocó un ataque, esto podría provocar una pérdida de confianza en la empresa.
- Por último, las amenazas internas pueden ser difíciles de detectar y prevenir, ya que durante el ataque se utilizan recursos legítimos.
Por lo tanto, las organizaciones deben adoptar un enfoque de varios niveles para protegerse de las amenazas internas y gestionarlas. La estrategia debe incluir monitoreo, prevención y formación. En este artículo, brindamos más información sobre amenazas internas y soluciones para mitigar el riesgo de amenazas internas.
Definición de amenaza interna
Una amenaza interna es el riesgo de seguridad que se origina en los individuos dentro de una organización. Estos podrían ser empleados, contratistas, proveedores o socios. Las personas internas que representan una amenaza suelen tener acceso a datos confidenciales, sistemas críticos o cuentas privilegiadas.
Las amenazas internas se pueden clasificar en dos tipos principales: accidentales y maliciosas. Las amenazas accidentales ocurren cuando un empleado expone involuntariamente datos confidenciales. Por ejemplo, a través de un correo electrónico erróneo o procedimientos inadecuados de tratamiento de datos. Las amenazas maliciosas, por otro lado, son acciones intencionales llevadas a cabo por alguien interno que tienen como objetivo comprometer la ciberseguridad de la organización. Estos ocurren a menudo para beneficio personal o por despecho.
Ejemplos de amenazas internas que comprometen la ciberseguridad de una organización podrían incluir:
- Un empleado envía accidentalmente información confidencial a la persona equivocada por correo electrónico.
- Un contratista carga accidentalmente archivos confidenciales en una nube pública, exponiendo los datos a usuarios no autorizados.
- Empleados que utilizan sin querer contraseñas débiles.
- El personal de TI, sin saberlo, deja los servidores desprotegidos.
- Un empleado que filtra deliberadamente datos confidenciales de un cliente a un competidor.
- Un miembro del personal descontento que desactiva los protocolos de seguridad, lo que hace que el sistema sea vulnerable a ataques externos.
Estadísticas de amenazas internas
Las amenazas internas son una preocupación creciente en el panorama de la ciberseguridad. De acuerdo con la Verizon DBIR 2023, los actores internos representan el 19% de las infracciones. Sin embargo, a pesar del tropo común de un empleado descontento, el informe encuentra que los actores internos tienen el doble de probabilidades de ser responsables de acciones erróneas que de acciones intencionales.
Erróneo o malicioso, los costos de un incidente de amenaza interna son muy altos. De acuerdo con la Informe global sobre el costo de las amenazas internas de Ponemon de 2022, el costo promedio anualizado de la negligencia de empleados o contratistas es de $6.6 millones. Para un delincuente o un infiltrado malintencionado son 4.1 millones de dólares. El informe también encontró que las organizaciones necesitaron un promedio de 85 días para contener el incidente, y más de un tercio tardó más de 90 días.
Otras estadísticas notables sobre amenazas internas incluyen:
- El número de incidentes de amenazas internas ha aumentado un 44% en los últimos dos años.
- El 67% de las empresas experimentan entre 21 y 40+ incidentes de amenazas internas al año.
- El 56% de los incidentes de amenazas internas fueron causados por un empleado o contratista descuidado.
- El 56% de los incidentes de amenazas internas fueron causados por personas internas maliciosas o delictivas.
- Las industrias con mayores costes medios de actividad son los servicios financieros (21.25 millones de dólares y los servicios profesionales, 18.65 millones de dólares).
Estos son todos del Informe global sobre el costo de las amenazas internas de Ponemon de 2022.
Hay una serie de factores que pueden contribuir a las amenazas internas, entre ellos:
- Ganancia financiera: Algunos empleados están motivados a cometer amenazas internas para su beneficio personal. Esto podría implicar robar propiedad intelectual, vender datos de clientes o cometer fraude.
- Rencores: Los empleados descontentos pueden cometer amenazas internas como una forma de vengarse de su empleador. Esto podría implicar sabotear sistemas, eliminar datos o filtrar información confidencial.
- Accidentes: Sin embargo, la mayoría de las amenazas internas son causadas por accidentes. Por ejemplo, empleados descuidados o inocentes que exponen accidentalmente datos confidenciales o que son engañados para realizar ataques de phishing.
Detección y prevención de amenazas internas
Detectar y prevenir amenazas internas requiere una combinación de soluciones: plataformas tecnológicas, políticas y procesos organizacionales y capacitación de los empleados. A continuación se presentan varias formas en que las organizaciones pueden detectar y prevenir amenazas internas:
Formación y concienciación de los empleados
Los programas de formación y sensibilización de los empleados son una de las formas más importantes y eficaces de prevenir amenazas internas, y especialmente las accidentales. Al realizar talleres, simulacros y otras actividades educativas, los empleados pueden aprender y comprender los tipos de comportamientos que constituyen una amenaza interna y practicar cómo evitarlos. Equipados con este conocimiento, podrán abstenerse con mayor éxito de filtrar datos accidentalmente en el trabajo. Esto también ayudará a crear una vigilancia de la ciberseguridad más amplia y una cultura cautelosa.
Políticas de control de acceso
La implementación de estrictas medidas y políticas de control de acceso, basadas en el principio de privilegio mínimo, garantiza que los empleados solo tengan acceso a la información necesaria para sus funciones laborales. Esto significa que incluso si los empleados filtran datos de forma accidental o maliciosa, su alcance es limitado, lo que reduce el radio de explosión de un ataque. El control de acceso basado en roles (RBAC), por ejemplo, es un método eficaz para limitar el alcance del acceso.
LayerX se puede utilizar como factor de autorización obligatorio para ayudar a garantizar acceso seguro.
Monitoreo y Auditoría
El monitoreo continuo de la actividad de la red puede ayudar a detectar patrones inusuales que pueden indicar una amenaza interna. Por ejemplo, si un empleado inicia sesión a las 3 a.m. o descarga grandes volúmenes de datos a su dispositivo, esto podría ser motivo de preocupación.
- Herramientas como User and Entity Behavior Analytics (UEBA) pueden analizar el comportamiento del usuario y señalar anomalías.
- DLP Las soluciones pueden monitorear y controlar las transferencias de datos, evitando la fuga de datos no autorizada.
- EDR Las soluciones pueden monitorear las actividades de los terminales y detectar actividades sospechosas en dispositivos individuales, como transferencias de datos no autorizadas o el uso de aplicaciones no aprobadas, y pueden tomar acciones correctivas automáticamente.
- Navegador seguro extensiones como LayerX rastrear, monitorear y prevenir de manera efectiva acciones sospechosas de los usuarios, como cargar y pegar datos.
Como práctica recomendada, se recomienda realizar auditorías periódicas de los registros del sistema, las actividades de los usuarios y los controles de acceso. Estas auditorías pueden ayudar a identificar cualquier anomalía y también ayudar a identificar cualquier brecha o vulnerabilidad que deba abordarse. Por ejemplo, podría descubrir que sus empleados están utilizando ChatGPT pero no tienes control sobre qué datos se pegan allí.
Plan de respuesta a incidentes
Tener un plan de respuesta a incidentes bien definido permitirá actuar rápidamente si se detecta una amenaza interna. Este programa de amenazas internas debe describir los pasos a seguir, el personal involucrado y las estrategias de comunicación a emplear.
AI y ML
Los modelos y algoritmos avanzados de IA y ML se utilizan cada vez más para detectar patrones y anomalías complejos que podrían indicar amenazas potenciales. Estas tecnologías pueden examinar grandes cantidades de datos para identificar amenazas potenciales que podrían escapar de las herramientas de monitoreo tradicionales.
Conclusión
El riesgo de amenazas internas a menudo se pasa por alto en favor de amenazas externas. Sin embargo, puede ser igualmente dañino, si no más. Ya sea que la filtración de datos generada internamente sea maliciosa o involuntaria, el costo y el impacto podrían ser muy altos. Medidas proactivas como la capacitación de los empleados, controles de acceso sólidos y monitoreo continuo pueden ayudar a mitigar estos riesgos.
LayerX es una extensión de navegador segura que evita la exposición de datos internos a sitios web y aplicaciones no gobernados. Al monitorear de manera granular todas las acciones del usuario y seleccionar las actividades que introducen riesgos, LayerX puede alertar y prevenir actividades maliciosas, ya sean intencionales o accidentales.
LayerX evita la carga de datos a ubicaciones web riesgosas y no autorizadas, evita compartir datos confidenciales con aplicaciones web y SaaS personales, y garantiza que los datos confidenciales nunca se descarguen desde aplicaciones SaaS organizacionales a dispositivos no administrados o dispositivos administrados que no cumplan con los estándares de seguridad requeridos. Cuando se detectan tales acciones, LayerX las bloquea o alerta a los usuarios de que están a punto de realizar una interacción de datos insegura. Finalmente, LayerX proporciona visibilidad de los patrones de interacción de datos.