Cómo mitigar las amenazas internas: estrategias para pequeñas empresas

Cómo mitigar las amenazas internas: estrategias para pequeñas empresas

La mayoría de las conversaciones sobre ciberseguridad se centran en las amenazas externas: hackers y ciberdelincuentes que utilizan malware, ransomware y virus para irrumpir en la organización y robar datos o paralizar operaciones. Pero ¿qué pasa con los riesgos que se originan dentro de la empresa? ¿Cómo puedes proteger tu negocio de empleados o proveedores malintencionados que ya tienen acceso a tus sistemas y datos?

En esta entrada, analizaremos más de cerca las amenazas internas: qué son, cómo identificarlas y qué pasos puedes dar para proteger mejor tu negocio de esta grave amenaza.

¿Qué es una amenaza interna?

Una amenaza interna es un riesgo de ciberseguridad que proviene de una persona del interior de la organización. Puede ser un empleado actual o anterior, un proveedor, un contratista, un profesional autónomo o cualquier persona que tenga acceso a la red informática, los sistemas o los datos de la empresa.

Las amenazas internas pueden dividirse en dos categorías principales según la intención de la persona responsable:

1. Maliciosa: una amenaza en la que una persona intenta hacer daño a la empresa de manera activa y deliberada. Normalmente, estos ataques están motivados por ganancias económicas o venganza. Por ejemplo, un comercial que cree que no lo han tratado bien puede robar una lista de oportunidades comerciales y usar esa información personalmente en un nuevo puesto o venderla a la competencia.
2. Negligente: una amenaza en la que una persona crea involuntariamente un riesgo para la seguridad por negligencia o mal juicio. Entre los ejemplos comunes de amenazas internas negligentes se incluyen perder o extraviar un dispositivo de la empresa; ignorar notificaciones de actualizaciones de seguridad informática; acceder a datos confidenciales en lugares públicos o hablar sobre ellos, y no verificar la identidad de los visitantes a las instalaciones. Aunque estas acciones no son intencionadas, las consecuencias pueden ser tan graves como las de un actor malicioso.

¿Por qué es difícil detectar las amenazas internas?

Las amenazas internas están entre las más difíciles de detectar y prevenir en ciberseguridad. Esto se debe a dos razones principales:

1. La mayoría de las herramientas y soluciones de seguridad se centran en identificar y prevenir amenazas externas, pero no están diseñadas para detectar comportamientos sospechosos de usuarios legítimos.
2. Muchos atacantes internos conocen la configuración de red, las directivas de seguridad y los procedimientos de la organización, lo que hace que les resulte muy sencillo evitar ser detectados. También pueden conocer las vulnerabilidades, lagunas u otras carencias que puedan explotarse.

3 amenazas internas comunes para las pymes

Las amenazas internas pueden originarse en organizaciones de todos los tamaños. En esta sección analizamos más de cerca cómo pueden manifestarse las amenazas internas dentro de una empresa.

1. Empleados negligentes o desmotivados

El error humano es un denominador común en muchos ataques de ciberseguridad, incluidos los ataques internos.

Como hemos visto más arriba, una amenaza interna negligente es la que ocurre por un error humano, por falta de atención o por una manipulación incorrecta. Como estas amenazas no implican que haya personas que actúen de mala fe, prácticamente cualquiera (incluso los líderes de la empresa) puede ser la fuente de un ataque si, sin darse cuenta, comparte datos confidenciales, utiliza contraseñas poco seguras, instala aplicaciones no aprobadas, extravía material confidencial o es víctima de un ataque de ingeniería social.

Los incidentes internos negligentes suelen formar parte de un ciberataque más grande, que puede involucrar malware, ransomware o phishing. Muchos de estos ataques se aprovechan de las emociones humanas y transmiten sensación de urgencia y autoridad en las solicitudes para restablecer contraseñas o enviar archivos importantes para aumentar la probabilidad de que la persona responda. Aunque estas técnicas puedan parecer evidentes a posteriori, es importante recordar que los ciberdelincuentes son muy buenos en lo que hacen y muy persistentes. Trabajarán incansablemente hasta encontrar un eslabón débil que explotar.

2. Actividad maliciosa

Como se ha señalado antes, un ataque interno malicioso es un evento planificado que suele estar dirigido por un empleado descontento, ya sea actual o antiguo. En muchos casos, estos incidentes forman parte de actividades delictivas más amplias y profundas, como fraudes, espionaje o robo de datos. Aunque un usuario interno malicioso puede actuar solo, también puede ser una especie de víctima, ya que muchos son objeto de una campaña de chantaje o extorsión llevada a cabo por un grupo ciberterrorista, una agencia gubernamental extranjera u otra entidad hostil.

Las amenazas internas maliciosas suelen implicar:

• Compartir, vender, modificar o eliminar datos confidenciales o información sensible
• Usar o compartir indebidamente las credenciales de inicio de sesión o el acceso al sistema
• Modificar el entorno de TI para permitir que otros accedan o permanezcan dentro sin ser detectados

Aunque cualquier empresa puede ser víctima de un usuario interno malicioso, es algo menos común en el sector de las pequeñas empresas, ya que la plantilla suele ser más compacta y estar más integrada que en las organizaciones más grandes. Esto puede facilitar la identificación de señales de advertencia o actividades inusuales, como solicitudes no fundamentadas de acceso a ciertos sistemas o archivos, que pueden pasar desapercibidas en organizaciones más grandes, ya que muchos responsables de TI no conocen los roles y responsabilidades de cada empleado. Dicho esto, prevenir amenazas maliciosas es una consideración importante, especialmente si tu empresa gestiona datos de clientes, incluidos historiales médicos o información financiera, o posee secretos comerciales importantes o propiedad intelectual que requieran un alto nivel de protección.

3. Proveedores externos

Otro riesgo común para las pequeñas empresas radica en su red de terceros. Las empresas que externalizan tareas y funciones comunes, como contabilidad, administración, TI o incluso servicios de custodia, pueden introducir un nuevo nivel de riesgo sin darse cuenta, ya que esas personas tienen acceso a datos, redes y servicios de la empresa como parte de su trabajo.

Además, dado que contratistas, autónomos, proveedores o socios no suelen estar sujetos a los mismos programas de formación y desarrollo que les ayuden a identificar y prevenir riesgos, la posibilidad de un ataque negligente interno es aún mayor. Por último, las personas de la red ampliada de la organización pueden ser más propensas a actuar con mala intención si no están comprometidas con el éxito de la empresa o piensan que, al tener puestos más atípicos, sus esfuerzos pasarán desapercibidos.

¿Cómo se pueden mitigar las amenazas internas en las empresas pequeñas?

Proteger la empresa frente a amenazas internas es una parte importante de toda estrategia de ciberseguridad. Veamos algunos pasos concretos que pueden dar las empresas para reducir el riesgo de una amenaza interna.

Inculcar una cultura de conciencia y priorización de la ciberseguridad

Dado que, en las empresas pequeñas, muchas amenazas internas se producen en realidad por negligencia, una de las formas más eficaces de combatir este problema es crear una cultura de concienciación sobre ciberseguridad. Esto no solo ayuda a reducir la probabilidad de errores comunes e irresponsables de manera individual, sino que también permite identificar actividades maliciosas en el resto. Hay 4 formas de hacerlo:

1. Brindar formación integral en ciberseguridad para los empleados

El primer paso para crear una cultura de ciberseguridad es la educación. Las personas no pueden protegerse ni proteger el negocio si desconocen los riesgos. Para ello, las empresas deben desarrollar un programa de formación sólido que ayude a su plantilla a cumplir sus directivas de seguridad e identificar actividades de riesgo.

En el programa de formación en ciberseguridad se deben incluir los siguientes elementos:

• Comprender las amenazas comunes de ciberseguridad, como malware, phishing y otros ataques de ingeniería social.
• Prevenir ataques a contraseñas y robos de credenciales estableciendo contraseñas seguras y complejas, difíciles de adivinar o descifrar, y cambiarlas regularmente.
• Proteger los datos de la pérdida, el robo o el mal uso mediante cifrado y realizar copias de seguridad periódicas.
• Proteger los dispositivos móviles (incluidos los personales) mediante la instalación y actualización de las herramientas de seguridad proporcionadas por la organización.
• Establecer directrices de actividades aceptables en redes sociales para los dispositivos de la empresa y al utilizar redes corporativas. Esto ayuda a reducir el riesgo de que se produzcan ataques de ingeniería social, ya que muchos ciberdelincuentes recopilan información a través de las redes sociales para lanzar ataques estratégicos y personalizados.
• Desarrollar módulos de formación personalizables y lecciones adaptadas a destinatarios específicos, como gerentes, personal de TI, teletrabajadores, proveedores y contratistas.

2. Implementar directivas de ciberseguridad

Gran parte del programa de formación para empleados se basará en aquello que la organización considere un uso seguro y aceptable. Con ese fin, otro paso importante para crear una cultura de seguridad es implementar las directivas de ciberseguridad de la empresa. Algunos ejemplos de estas directivas pueden ser:

• Documentar el software, los programas y las fuentes de Internet cuyo uso está permitido o aprobado por parte de los empleados dentro de la organización.
• Desarrollar directrices claras sobre cómo, cuándo y dónde pueden utilizar los empleados y proveedores los dispositivos corporativos o las redes corporativas, así como los dispositivos personales en redes corporativas y con fines profesionales.
• Establecer protocolos claros sobre cómo gestionar y utilizar datos confidenciales, así como los pasos que deben seguirse al compartir dichos datos, incluso dentro de la organización.
• Detallar explícitamente las actividades que están estrictamente prohibidas. Por ejemplo, la empresa casi siempre debería tener una directiva contra la instalación de software o aplicaciones sin licencia o no aprobadas.
• Crear una directiva de teletrabajo que incluya los pasos que la persona debe seguir para proteger su red personal y todos los dispositivos personales usando la misma red, incluidos los que usan sus familiares y cualquier dispositivo doméstico que utilice tecnología de Internet de las Cosas (IoT).

3. Adoptar programas de incentivos para la concienciación sobre la ciberseguridad

Para algunas empresas, puede ser útil incentivar el cumplimiento de las políticas de ciberseguridad ofreciendo pequeñas recompensas por completar formaciones, superar cuestionarios, seguir protocolos adecuados en caso de un ataque simulado o comunicar comportamientos sospechosos. "Gamificar" la seguridad de esta manera ayuda a crear una cultura de seguridad más atractiva y también garantiza que la seguridad siga siendo una prioridad para los empleados.

4. Implementar un proceso estricto de desvinculación

Dado que muchas amenazas internas maliciosas provienen de antiguos empleados, es importante actuar rápidamente para desactivar las cuentas y el acceso de los empleados tan pronto como una persona abandone la empresa. De esta forma, debería reducirse significativamente cualquier riesgo que representen los empleados descontentos o que ya se hayan ido de la empresa.

Como parte del proceso de desvinculación, también puede ser prudente pedirles a otros integrantes de la organización que no hablen con esta persona sobre asuntos empresariales. Por ejemplo, un exempleado puede contactar con antiguos compañeros y pedirles que reactiven una cuenta para poder recopilar archivos o correos electrónicos que sirvan como muestras de trabajo o para recuperar archivos personales que se les hayan olvidado. Los empleados actuales no deben responder a estas solicitudes y deben remitirlas a un responsable o supervisor para que las resuelvan. No se debe restablecer o reactivar la cuenta de un antiguo empleado bajo ninguna circunstancia, ni siquiera a petición de un alto cargo.

Realizar una monitorización proactiva

Como ocurre con muchos ciberataques, es vital identificar las amenazas internas lo antes posible. Las herramientas de monitorización de alta tecnología, que utilizan inteligencia artificial (IA) y aprendizaje automático (ML), pueden ayudar a las empresas a detectar señales de alerta temprana de un ataque basadas en desviaciones respecto a los patrones de uso estándar.

Aunque las herramientas de monitorización pueden ser un gran recurso para las empresas, se requiere mucho tiempo y atención para configurarlas y calibrarlas correctamente. Por ello, es importante trabajar con un socio de ciberseguridad de confianza para identificar las herramientas y tecnologías óptimas según las necesidades de la empresa e implementarlas correctamente dentro del negocio.

1. Identificar y priorizar rápidamente los eventos

Tu socio de ciberseguridad también puede ayudarte a priorizar la respuesta a los incidentes. Aunque algunos indicadores (como iniciar sesión frecuentemente fuera del horario laboral) pueden ser señales de un usuario interno malicioso en el trabajo, también puede tratarse de un empleado que se está preparando para una reunión importante o que trabaja en horarios inusuales por circunstancias personales, como un hijo enfermo.

Por ello, algunos proveedores de ciberseguridad pueden ayudar a los clientes a crear puntuaciones de riesgo individuales para los empleados. Este enfoque tiene en cuenta una amplia gama de factores, como su puesto, su actividad online o su nivel de acceso, entre otros, para determinar cuánto riesgo supone cada persona para el negocio. Esto es extremadamente útil a la hora de priorizar la investigación y los esfuerzos de respuesta ante amenazas internas.

2. Prestar atención a los indicadores de amenazas internas

Una de las formas más eficaces de reducir el riesgo de que se produzcan ataques internos es monitorizar el comportamiento de los empleados en busca de indicadores de amenaza conocidos. Entre las señales de alerta se incluyen:

• Usar un dispositivo personal nuevo y no aprobado, como un teléfono o portátil, sin coordinarlo con el equipo de TI
• Enviar solicitudes para acceder a discos, documentos o aplicaciones que el empleado no necesitaba anteriormente
• Mostrar interés de manera repentina o inusual en las herramientas, directivas o procedimientos de seguridad de la empresa
• Trabajar en horarios extraños o inusuales, ya sea de forma remota o presencial
• Contribuir a picos en el tráfico de red que pueden indicar una descarga o transferencia de datos

Mantener una buena higiene informática

Por último, como ocurre con otros tipos de ataques, mantener una buena higiene informática ayuda mucho a proteger el negocio de amenazas internas y a disuadir a posibles actores malintencionados desde el principio.

1. Hacer copias de seguridad continuas de los datos

Dado que las brechas de datos pueden interrumpir significativamente las operaciones empresariales, es importante hacer copias de seguridad periódicas de todos los datos confidenciales y sistemas críticos para garantizar la continuidad en caso de un ataque.

Las organizaciones que disponen de repositorios de datos significativos pueden colaborar con su socio de ciberseguridad para desarrollar un programa personalizado de prevención de pérdida de datos (DLP). La DLP forma parte de la estrategia global de seguridad de la empresa que se centra en detectar y evitar la pérdida, las filtraciones o el uso indebido de datos por cualquier medio, incluido un usuario interno.

2. Limitar el acceso a datos sensibles

Los empleados solo deberían tener acceso a los datos y sistemas necesarios para desempeñar su trabajo. Como regla general, las organizaciones deberían proporcionar el nivel más bajo de acceso cuando alguien se incorpora y añadir privilegios solo cuando sea necesario. También es importante evaluar regularmente los derechos de acceso de un empleado y eliminar aquellos que ya no sean necesarios para su puesto. Esto no solo limita la capacidad de robar o usar los datos de manera indebida, sino que, en caso de una brecha o ataque, reduce el número de cuentas que hay que investigar.

3. Actualizar el software con frecuencia para evitar que los ciberdelincuentes exploten las vulnerabilidades

Otra forma muy eficaz de proteger a la organización frente a ciberataques de todo tipo es mantener actualizados todos los sistemas operativos y software. Esto no solo protege los dispositivos, sistemas y redes de forma directa, sino que también limita las vulnerabilidades que los ciberdelincuentes podrían intentar aprovechar en caso de brecha.

Aunque los equipos de TI deben seguir protocolos y calendarios específicos para actualizar y aplicar parches de software, esta información no debe compartirse con el personal general. De hecho, es recomendable comunicar los planes de actualización de la organización, así como sus medidas de seguridad, solo a los responsables de abordar esas tareas o cuestiones.

Priorizar la satisfacción de los empleados

Dado que muchas empresas pequeñas pueden no disponer del presupuesto necesario para invertir en herramientas y servicios específicos de detección de amenazas internas, una de las formas más importantes de proteger el negocio es fomentando un entorno laboral positivo y atractivo.

Cuando los empleados se sienten apoyados y respetados, es mucho menos probable que quieran perjudicar activamente a la empresa. Además, cuando se sienten implicados en el futuro de la empresa, es más probable que tomen medidas para impulsar el crecimiento de la empresa y protegerla de actividades maliciosas.

Aunque las empresas no pueden garantizar una experiencia positiva para todos, hay algunos pasos claros que pueden ayudar a crear un entorno laboral más justo y equitativo. Algunos de estos pasos son:

• Organizar una o más revisiones periódicas del desempeño
• Celebrar reuniones periódicas individuales entre todos los empleados y su superior para identificar problemas y crear una cultura de responsabilidad
• Establecer canales claros donde los empleados puedan expresar sus preocupaciones y problemas sin temor a represalias
• Animar a los empleados a tomarse días de vacaciones y festivos
• Trabajar con los empleados para ayudarles a establecer límites para conseguir un equilibrio saludable entre la vida laboral y la personal

¿Todo listo para probar CrowdStrike? Inicia una prueba gratuita de 15 días de Falcon Go y protege tu pequeña empresa frente a ransomware, malware y otros ciberataques sofisticados.

Probar gratis