Un insider no es solo un empleado de tiempo completo. Es cualquier persona con acceso autorizado a tus sistemas, incluyendo:

• Empleados actuales y anteriores
• Contratistas y personal temporal
• Socios comerciales y proveedores
• Proveedores de servicios externos
• Proveedores de servicios en la cloud
• Consultores y freelancers

Lo que hace riesgosas a estas personas no es la mala intención, es el acceso. Entienden cómo funciona tu negocio, dónde están los datos confidenciales y cómo operan tus controles de seguridad, lo que significa que a menudo pueden moverse sin activar ninguna alarma.

La mayoría de las herramientas de ciberseguridad están diseñadas para vigilar el perímetro, detectar malware, bloquear inicios de sesión no autorizados y marcar tráfico externo. Los insiders se saltan todo eso. Inician sesión con credenciales reales, así que las herramientas diseñadas para detectar a actores externos nunca se activan. Además, suelen saber qué sistemas contienen los datos valiosos y dónde el monitoreo es más débil, por lo que el daño puede acumularse mucho antes de que alguien lo note.

Los equipos de ciberseguridad generalmente agrupan las amenazas internas en tres categorías, y cada una necesita una respuesta diferente.

Insiders maliciosos

Los insiders maliciosos usan mal su acceso de forma intencional para dañar a la organización o beneficiarse a sí mismos. Esto suele reducirse a uno de estos motivos:

• Dinero: vender datos confidenciales, propiedad intelectual o secretos comerciales a competidores o en mercados clandestinos
• Venganza: un empleado descontento que actúa después de una terminación, una sanción disciplinaria o una ofensa percibida
• Espionaje: alguien que trabaja a nombre de un competidor, un grupo criminal o un gobierno extranjero para robar información valiosa

Los insiders maliciosos suelen mostrar señales de advertencia antes de actuar: acceder a sistemas que no necesitan, descargar cantidades inusuales de datos o dejar en claro que están descontentos.

Insiders negligentes

Los insiders negligentes no buscan causar daño. Provocan daños por descuido o por simple falta de conciencia en seguridad. Algunos ejemplos comunes incluyen:

• Caer en un correo de phishing y entregar credenciales
• Reutilizar contraseñas débiles o compartir inicios de sesión
• Enviar datos confidenciales a la persona equivocada
• Conectar dispositivos de la empresa a redes wifi no seguras
• Instalar software no aprobado
• Configurar mal los sistemas u omitir listas de verificación de seguridad
• Ingresar información de la empresa en herramientas públicas de IA como ChatGPT, Claude o Perplexity

Los insiders negligentes no tienen mala intención, pero el daño es igual de real, y estos errores suelen ser la puerta por la que entra un atacante externo.

Insiders comprometidos

Los insiders comprometidos son cuentas legítimas que un actor de amenazas externo ha tomado, generalmente mediante credenciales robadas, phishing o secuestro de sesión. Desde el punto de vista de una herramienta de seguridad, el inicio de sesión se ve completamente normal, lo que hace que esta categoría sea tan peligrosa. El "insider" que actúa de forma maliciosa no es una persona dentro de la empresa, es un atacante que usa la identidad de otra persona.

Las herramientas de seguridad basadas únicamente en reglas no detectarán la mayoría de la actividad interna. Las organizaciones deben crear una línea base de comportamiento normal para que las anomalías resalten.

Señales de advertencia de comportamiento:

• Acceso en horarios inusuales, desde ubicaciones inesperadas o a datos fuera de la función laboral de alguien
• Descargar o copiar cantidades inusualmente grandes de datos
• Intentos repetidos de acceder a áreas restringidas o deshabilitar controles de seguridad
• Picos en el tráfico de red o contacto con entidades externas sospechosas

Señales de advertencia técnicas:

• Puertas traseras no autorizadas o herramientas de acceso remoto
• Software o hardware no aprobado en la red
• Herramientas de seguridad o registro desactivados manualmente
• Consultas de bases de datos o patrones de acceso a archivos inusuales
• Intentos de escalar privilegios o acceder a funciones de administrador

NIST recomienda correlacionar estas señales técnicas con los patrones de comportamiento en lugar de tratarlos de forma aislada; esa combinación es lo que convierte un montón de alertas en una detección real de amenazas internas.

Hay un riesgo interno más reciente para el que la mayoría de las organizaciones aún no ha creado defensas: los empleados que pegan datos confidenciales de la empresa, código, registros de clientes, detalles financieros o credenciales en chatbots de IA y modelos de lenguaje extenso para obtener ayuda rápida con una tarea. No se necesita intención maliciosa; los datos salen de tu control en el momento en que se escriben, y la mayoría de las empresas no tiene visibilidad de que esto esté sucediendo.

Cualquier organización enfrenta el riesgo de amenazas internas, pero algunas industrias tienen más exposición:

• Los servicios financieros manejan grandes cantidades de datos financieros confidenciales bajo un fuerte escrutinio regulatorio
• Las organizaciones de salud gestionan información de salud protegida (PHI) bajo estrictas reglas de HIPAA
• Las agencias gubernamentales manejan información clasificada vinculada a la seguridad nacional
• Las empresas manufactureras poseen propiedad intelectual y secretos comerciales valiosos
• Las empresas de tecnología manejan código fuente, datos de clientes y algoritmos propietarios

Protegerse contra las amenazas internas requiere un enfoque por capas, ya que los insiders maliciosos, negligentes y comprometidos exigen defensas diferentes.

Para reducir el riesgo por negligencia:

• Realiza capacitaciones de concientización en seguridad atractivas y regulares para que los empleados puedan detectar el phishing y manejar los datos correctamente
• Mantén las políticas de seguridad claras y fáciles de seguir
• Mantente al día con los parches y las actualizaciones del sistema
• Usa detección y respuesta de endpoints (EDR) respaldada por un SOC liderado por humanos, disponible 24/7
• Usa la gestión de postura de seguridad en la cloud (CSPM) para detectar configuraciones incorrectas antes de que se conviertan en un problema

Para reducir el riesgo malicioso y por compromiso:

• Usa la gestión de identidad y acceso (IAM) para que las personas solo tengan acceso a lo que su rol realmente necesita
• Usa análisis de comportamiento para establecer una línea base de actividad normal y marcar lo que no encaje
• Usa la prevención de pérdida de datos (DLP) para controlar cómo se mueven los datos sensibles
• Realiza revisiones de acceso regulares para eliminar los permisos que las personas ya no necesitan

La Detección y Respuesta a Amenazas de Identidad (ITDR) se ha convertido en una forma esencial de detectar amenazas internas, especialmente las comprometidas y maliciosas. La Identity Defined Security Alliance descubrió que el 67% de las organizaciones vieron un aumento en los incidentes relacionados con identidades el año pasado, lo que hace que una protección de identidad sólida sea indispensable.

Las soluciones ITDR, como Huntress Managed ITDR, están diseñadas para ayudar a detectar las formas específicas en que las personas internas y los atacantes abusan de la identidad, tales como:

• Detección de robo de tokens y credenciales: detecta tokens de autenticación o credenciales robadas que están siendo usadas por alguien distinto al usuario legítimo
• Detección de secuestro de sesión: marca cuando un atacante toma el control de una sesión activa y legítima para actuar como ese usuario
• Detección de uso indebido de privilegios: establece una línea base del comportamiento normal para usuarios privilegiados y cuentas de servicio, y luego marca la actividad que se sale de ella

Las amenazas internas seguirán evolucionando a medida que las empresas adopten nuevas herramientas y nuevas formas de trabajar, incluyendo la IA. Las organizaciones que se mantienen a la vanguardia son las que combinan protección de identidad, análisis de comportamiento y monitoreo continuo con una concientización en seguridad que realmente perdura.