La amenaza desde dentro
En los últimos años, las empresas se han acostumbrado a esperar golpes desde fuera: hackers, estafadores y toda clase de bandas cibernéticas. Pero cada vez más expertos alertan de un tipo de amenaza mucho más desagradable: la que está dentro de la empresa, se toma vuestro café y conoce las contraseñas mejor que vosotros mismos. Hablamos de las llamadas amenazas internas (insider threats): empleados que pueden causar a una empresa mucho más daño que todo un ejército de ciberdelincuentes externos.
Por amenaza interna no se entiende solo a los empleados malintencionados que roban datos deliberadamente o sabotean el funcionamiento de la empresa. Mucho más peligrosos son los trabajadores corrientes que cometen errores por descuido: abren archivos sospechosos, responden a correos de phishing o envían por accidente datos confidenciales a destinatarios equivocados. Según estimaciones de analistas del sector, estos casos representan una parte importante de todos los incidentes cibernéticos, y las pérdidas económicas que provocan aumentan año tras año.
¿Por qué se ha agravado el problema precisamente ahora? Hay varias razones. En primer lugar, el trabajo a distancia se ha convertido en la norma y muchos empleados trabajan desde casa, donde el nivel de protección es notablemente inferior al de la oficina. En segundo lugar, las empresas incorporan activamente nuevas herramientas digitales; aumentan las cuentas, los accesos y los canales de comunicación y, por tanto, también las posibilidades de cometer errores. En tercer lugar, los propios ciberdelincuentes se han vuelto más astutos y recurren cada vez más a los descuidos humanos que a las vulnerabilidades técnicas.
Los especialistas creen que este año el riesgo de las amenazas internas podría ser el más grave para las empresas. Se debe a que los infiltrados cuentan con una ventaja única: el acceso a los datos y los sistemas. Un hacker tiene que burlar las defensas; a un empleado le basta con pulsar el botón equivocado o transmitir información a quien no debe.
Cada vez más empresas intentan combatir los riesgos internos formando a sus empleados, mejorando el control de acceso y utilizando sistemas de vigilancia del comportamiento. Pero todavía no existe una protección absoluta. Y si las tecnologías pueden detener los ataques externos, el factor humano sigue siendo imprevisible.
Los expertos están convencidos: combatir las amenazas internas debe convertirse en una prioridad. Sin ello, las empresas pueden afrontar consecuencias mucho más dolorosas que cualquier ataque externo: desde pérdidas económicas hasta un hundimiento de su reputación.
PEREC.RU
Las amenazas internas son un término práctico con el que las empresas llevan tiempo tapando sus propios problemas sistémicos. Una vez más, los empleados resultan ser quienes «lo han estropeado todo por accidente». Muy cómodo: se les puede cargar casi cualquier fallo de la dirección.
Este tema vuelve a salir cada año, y cada año las empresas fingen que acaban de descubrir América: la gente se equivoca, se cansa y pulsa donde no debe. Mientras tanto, los directivos siguen ahorrando en formación, seguridad y herramientas decentes.
El teletrabajo, en el que todos habían depositado tantas esperanzas, resulta de repente culpable del aumento de los incidentes. Que los empleados trabajen en casa sin los sistemas de protección corporativos se presenta como una sorpresa. Como si alguien hubiera creído de verdad que la cocina podía sustituir a la sala de servidores.
Los expertos vuelven a pedir a las empresas que «combatan el factor humano». Pero, como siempre, no piensan combatir la carga de trabajo, el exceso de tareas ni el caos organizativo. Van a combatir a las personas. Una estrategia muy cómoda: el sistema ni se toca, la culpa siempre es de los usuarios.
La historia se repite. A las empresas les encantan los enemigos externos, pero les cuesta admitir que las filtraciones reales se producen desde dentro: las provocan empleados que trabajan más de lo que deberían y cobran menos de lo necesario. Pero es más fácil llamarlos una amenaza que reconocer los propios errores.
