La gestión de riesgos internos es el proceso de identificar, monitorear y frenar los riesgos que generan las personas dentro de tu organización, sin importar la causa: intención maliciosa o error humano accidental. Esto incluye a empleados, contratistas, proveedores y cualquier otra persona con acceso a tus sistemas, datos o conocimiento organizacional. 

Las amenazas internas se dividen en tres categorías principales:

• Insiders maliciosos: empleados o contratistas que roban datos, sabotean sistemas o filtran información confidencial a propósito para obtener un beneficio personal

• Insiders negligentes: no son intencionales, pero igual causan daño. Son personas que cometen errores o ignoran las pautas de seguridad y generan incidentes de seguridad. 

• Insiders comprometidos: usuarios internos cuyas credenciales fueron robadas por atacantes, lo que los convierte en cómplices involuntarios.

Estos dos términos se mencionan juntos con frecuencia. Aunque se superponen, no son exactamente lo mismo dentro de tu estrategia de ciberseguridad. Vamos a desglosarlo. 

Data Loss Prevention (DLP), o prevención de pérdida de datos, se enfoca específicamente en evitar que información sensible, como la información de identificación personal (PII), se pierda, se robe, se comparta de forma incorrecta o sea accedida por usuarios no autorizados. Las herramientas de DLP monitorean y controlan los datos en movimiento a través de una red (correo electrónico, web y transferencias de archivos), en reposo (en bases de datos o almacenamiento en la cloud) y en uso (en los endpoints). Entonces, si un insider malicioso intenta enviar un archivo con números de tarjetas de crédito de clientes a su cuenta personal de Gmail, DLP interviene y lo bloquea.

La gestión de riesgos internos, en cambio, adopta un enfoque más amplio. No se trata solo de evitar que los datos desaparezcan, sino de entender el porqué detrás de la actividad. La gestión de riesgos internos se centra en el comportamiento de los usuarios, los patrones de acceso y las señales contextuales para detectar posibles amenazas antes de que causen daño.

Piénsalo así: DLP es como instalar cerraduras en tus puertas y ventanas. Te protege cuando algo sospechoso ya está ocurriendo. Pero la gestión de riesgos internos es como tener un sistema de seguridad que te avisa cuando alguien se mueve entre las sombras antes de intentar entrar. 

Sin duda, tanto DLP como la gestión de riesgos internos son importantes para la ciberseguridad frente a riesgos internos. Pero DLP protege tus datos en el perímetro, mientras que un marco de gestión de riesgos internos te ayuda a entender y gestionar el riesgo humano detrás de todo.

Conoce a Sarah: ha sido una empleada sólida en su empresa durante tres años, pero acaba de enterarse de que no obtuvo el ascenso. Está frustrada y empieza a buscar trabajo. No es gran cosa, ¿verdad? Pasa todo el tiempo.

Pero entonces las cosas se complican. Sarah empieza a acceder a archivos con los que normalmente no trabaja, como informes financieros, listas de clientes e investigación de propiedad exclusiva. Descarga grandes cantidades de datos a una unidad USB y envía documentos confidenciales por correo electrónico a su cuenta personal. 

Este es un ejemplo clásico de comportamiento de riesgo interno, y es exactamente el tipo de patrón que las herramientas de detección de riesgos internos están diseñadas para señalar.

Aquí hay otros ejemplos comunes de riesgos internos:

• (malicioso) Un administrador de TI con privilegios elevados que abusa de su acceso para ver archivos confidenciales de recursos humanos

• (negligente) Un contratista que sube accidentalmente documentos sensibles a una carpeta pública en la cloud

• (comprometido) Un empleado cuyas credenciales de inicio de sesión son robadas en un ataque de phishing y usadas por un atacante externo para robar datos de propiedad exclusiva

• (malicioso) Un empleado que intenta copiar toda la base de datos de clientes antes de su último día en la empresa, con la intención de llevársela a una empresa competidora

Aquí está lo complicado: no todos estos comportamientos son maliciosos. Muchos son solo descuidos o errores torpes. Pero sin las soluciones adecuadas de gestión de riesgos internos, no sabrás la diferencia hasta que sea demasiado tarde y te golpee el daño de una filtración de datos.

Un analista (o equipo) de gestión de riesgos internos es el detective de ciberseguridad encargado de monitorear la actividad de los usuarios, investigar comportamientos sospechosos y trabajar de forma interdepartamental para reducir los riesgos derivados de amenazas internas. Es una navaja suiza detrás de escena: parte analista de datos, parte investigador y parte psicólogo, siempre tratando de entender no solo qué hacen los usuarios, sino por qué.

Esto es parte de lo que manejan:

Revisión de alertas: las herramientas de gestión de riesgos internos envían alertas ante comportamientos sospechosos de los usuarios. El analista revisa estas alertas para separar las amenazas reales de los falsos positivos.

Investigación de incidentes: si el comportamiento de alguien levanta sospechas, el analista profundiza en registros de acceso, actividad de correo electrónico y transferencias de archivos para armar el rompecabezas.

Colaboración con recursos humanos y legal: lidiar con amenazas internas es un área sensible de la ciberseguridad. El analista trabaja de cerca con los equipos de recursos humanos y legal para asegurarse de que las investigaciones se manejen correctamente y conforme a las leyes de privacidad.

Ajuste de reglas de detección: con el tiempo, el analista ajusta el marco de riesgo interno para enfocarse en encontrar amenazas reales y reducir los falsos positivos. Esto puede implicar ajustar umbrales, agregar nuevos patrones de comportamiento a monitorear o incorporar fuentes de datos adicionales.

Generación de informes y documentación: cuando ocurre un incidente, el analista documenta todo en caso de que en el futuro surjan acciones legales, auditorías de cumplimiento o revisiones internas.

Es un rol desafiante que requiere una combinación de habilidades técnicas, pensamiento crítico e inteligencia emocional. Al final, no solo estás lidiando con datos, estás lidiando con personas.

¿Cómo empiezas con la gestión de riesgo interno en tu propia organización? Aquí tienes algunos pasos clave:

1. Identifica tus joyas de la corona
   Mapea los datos y sistemas más críticos para tu negocio. No puedes proteger todo por igual, así que enfoca tus esfuerzos en los activos que causarían más daño si se vieran comprometidos.
2. Establece un comportamiento base
   Usa herramientas de detección de riesgo interno para monitorear la actividad normal de los usuarios. Una vez que entiendas cómo se ve lo "normal", es más fácil detectar anomalías.
3. Establece políticas claras
   Asegúrate de que los empleados sepan qué se espera de ellos. Las políticas claras sobre manejo de datos, uso aceptable y controles de acceso reducen el riesgo de amenazas internas accidentales.
4. Invierte en las herramientas correctas
   Busca soluciones de gestión de riesgo interno que ofrezcan análisis de comportamiento, alertas en tiempo real e integración con tu stack de seguridad existente.
5. Capacita a tu equipo
   Enseña a los empleados sobre riesgos internos y cómo reportar actividad sospechosa sin miedo a represalias o venganza. 
6. Planifica para el cuándo (no el si)
   Ten un plan listo para cuando detectes una amenaza interna: quién está involucrado, los pasos a seguir y cómo minimizar el daño. 

La gestión de riesgo interno no se trata de espiar ni de asumir que todos quieren hacerte daño. Se trata de una cultura de seguridad donde los riesgos se reconocen, monitorean y gestionan de forma proactiva.

Con el marco de riesgo interno adecuado implementado en tu organización, puedes protegerte sin sofocar la confianza ni la productividad.

Así que échale un buen vistazo a quién tiene acceso a qué. Mantente atento a comportamientos inusuales. Y recuerda: la mejor forma de detener una amenaza interna es detectarla antes de que se convierta en un titular en tu feed de LinkedIn.