Amenaza interna (Insider threat)

Tres perfiles, con mecanismos distintos y contramedidas distintas. El interno malicioso actúa a sabiendas, normalmente alrededor de una fecha de baja, de un agravio o de un incentivo externo, y se lleva datos que tiene derecho a ver. El interno negligente provoca el resultado sin intención: datos enviados al destinatario equivocado, una base de datos expuesta a internet, un recurso compartido abierto a todo el mundo para desatascar a un compañero. El interno comprometido es un atacante externo manejando la cuenta de un empleado real, que desde el punto de vista de la vigilancia es indistinguible en el momento de la autenticación.

Los tres comparten una propiedad que los hace difíciles: no se ha saltado nada. No hay exploit, ni autenticación anómala, ni frontera de privilegio cruzada, así que los controles construidos para bloquear acciones ilegítimas ni se enteran.

Las contramedidas son las de siempre, aplicadas. El mínimo privilegio limita a qué puede llegar una cuenta cualquiera, que es el único control que reduce los tres perfiles a la vez. La clasificación de datos decide qué merece la pena vigilar, porque vigilarlo todo produce alertas que no lee nadie. La prevención de pérdida de datos detecta el movimiento de lo que importa. Y registrar el acceso a los datos, y no solo la autenticación, es lo que hace posible reconstruir después lo ocurrido.

Lo que encontramos en cambio es acceso permanente y amplio, y ningún registro. Todo el mundo en un departamento puede leer el recurso compartido entero porque los permisos se pusieron una vez y fueron creciendo, y no hay auditoría de lecturas, así que a la pregunta de qué se llevó un empleado que se va no se le puede responder en absoluto. Eso no es un fallo de control de amenaza interna; es un fallo de control de acceso que solo se hace visible cuando alguien se marcha.

El otro hueco recurrente es el proceso de baja, que se ocupa de la cuenta de correo y se deja la sincronización del almacenamiento cloud personal, la aplicación de terceros que sigue con el consentimiento dado, y las credenciales dentro de un repositorio. Mira identidad no humana para la parte que no da de baja nadie.

En una due diligence esto es una revisión de documentación y de configuración y no una intrusión: qué roles llegan a qué datos, cómo se procesan las altas y las bajas, si el acceso a los datos se registra y se conserva, y qué podría demostrar la empresa objetivo sobre una salida que ya ha ocurrido. Un proyecto de brecha asumida responde a la pregunta técnica emparentada, que es a qué llega de verdad la cuenta de un empleado corriente, y la respuesta es de forma rutinaria mucho más de lo que nadie esperaba. Esto forma parte de cómo se evalúa el riesgo interno en una due diligence.