Una amenaza interna es un riesgo de seguridad que se origina en su organización, normalmente implicando a un empleado, contratista o partner de confianza que hace un uso indebido de su acceso para causar daños, ya sea de forma intencionada o no.
Índice
Definición de amenazas internas
Aunque la mayoría de las defensas de ciberseguridad se centran en mantener las amenazas alejadas, las amenazas internas emergen desde dentro, de forma silenciosa y a menudo sin signos inmediatos. Estas amenazas implican a personas que ya tienen acceso legítimo a los sistemas, datos o instalaciones de una organización, lo que las convierte en una posición única para causar daños, ya sea de forma intencionada o accidental.
Las amenazas internas son especialmente peligrosas porque operan bajo una capa de confianza. A diferencia de los hackers externos que deben penetrar en firewalls y sistemas de detección de intrusiones, los expertos pueden navegar por redes internas sin ser detectados, a menudo utilizando herramientas y permisos otorgados como parte de sus funciones diarias.
En muchas organizaciones, especialmente aquellas que operan modelos de trabajo híbridos o infraestructuras digitales complejas, la visibilidad de la actividad interna del usuario es limitada. Esta falta de visibilidad crea un punto ciego en el que las amenazas internas pueden prosperar, exponiendo los sistemas críticos y la información confidencial al uso indebido.
El desafío no es solo técnico, sino también cultural. Las empresas deben fomentar un entorno de trabajo que fomente la responsabilidad, la vigilancia y la concienciación sobre ciberseguridad en todos los niveles. Sin esto, incluso los empleados bien intencionados pueden convertirse en riesgos no intencionados.
¿Quién califica como Insider?
Las personas con información privilegiada pueden incluir:
Empleados actuales (TI, RR. HH., finanzas, etc.)
Antiguos empleados con acceso persistente
Contratistas externos
Proveedores o socios comerciales
Becarios o personal temporal
Tipos de amenazas internas
Pueden asumir varias formas en función del motivo, los privilegios y las actividades de la persona. Conocer estos formularios es esencial para identificar y contrarrestar amenazas probables incluso cuando surgen.
Personas con información privilegiada maliciosa
Son personas con información privilegiada que deliberadamente intentan dañar a la organización. Sus razones pueden ser venganza, ideología, beneficio personal o trabajar para un rival. Estas personas con información privilegiada tan dañinas normalmente también saben cómo pasar desapercibidas, por lo que su amenaza es aún mayor.
Pueden tener la capacidad de robar información secreta, falsificar registros, interrumpir el negocio o implantar malware. En otros casos, incluso pueden relajarse durante meses antes de atacar, manteniendo el acceso durante un periodo de tiempo prolongado.
Personas con información privilegiada negligentes
Las personas con información privilegiada negligentes son empleados o contratistas bien intencionados que infringen la seguridad de forma involuntaria. Esto podría implicar hacer clic accidentalmente enmensajes de phishing, seleccionar contraseñas incorrectas, manipular de forma incorrecta datos confidenciales o ignorar controles de seguridad.
La mayoría de los ataques con información privilegiada se deben a negligencia, la mayor parte del tiempo debido a falta de familiaridad o ausencia de formación, en lugar de malas intenciones.. Lamentablemente, el efecto puede ser tan significativo como el de los ataques planificados.
Personas con información privilegiada comprometidas
Una persona con información privilegiada comprometida es donde una parte externa roba o asume credenciales de un usuario legítimas, más comúnmente a través de phishing, malware oingeniería social. El tercero procede a acceder a los recursos internos como usuario de confianza.
Este es un tipo de amenaza extremadamente difícil de detectar, ya que el uso parece provenir de una fuente autorizada. A menudo se necesitan análisis de comportamiento avanzados para detectar anomalías en los patrones de uso.
Amenazas colusorias
La colusión es la situación en la que una persona con información privilegiada trabaja junto con un grupo delictivo o externo. Esta amenaza normalmente está motivada por una ganancia financiera o un chantaje y combina información privilegiada y recursos externos. Las amenazas colusorias son las más problemáticas porque unen el amplio acceso de las personas con información privilegiada con la habilidad y los recursos de las personas con información externa, lo que resulta en ataques muy dirigidos y destructivos.
Por qué las amenazas internas son tan peligrosas
Las personas con información privilegiada tienen acceso legítimo. Conocen los sistemas, las políticas y las debilidades, lo que hace que sean difíciles de detectar.
Según el informe del Ponemon Institute de 2023, el coste medio de una amenaza interna es de 9,4 millones de libras por incidente en el Reino Unido, con más del 63 % causado por negligencia.
Costes financieros y pérdida de datos
Tipo
Impacto
Ejemplo
Persona con información privilegiada negligente
Pérdida media de 9,4 millones de libras
El empleado comparte archivos confidenciales en la nube pública
Persona con información privilegiada maliciosa
Robo de IP, multas
El ingeniero roba el código fuente antes de abandonar
Persona con información privilegiada comprometida
Implementación
La víctima de phishing da acceso al atacante
Casos reales de amenazas internas
Varios casos de alto perfil fuera del Reino Unido muestran qué tipo de daño pueden causar las amenazas internas en todos los sectores:
Robo de intrusos en el Museo Británico (2023)
Un empleado supuestamente había robado y roto artefactos antiguos del museo. Los empleados habían aprovechado gradualmente su respetada posición y poderes, identificando puntos débiles para auditorías de stock y acceso interior.
Descanso de prisión Daniel Khalife (2023)
Un ex soldado del ejército británico empleó información privilegiada sobre regímenes de prisión y procesos de prisión dentro de la prisión de Wandsworth para liberarse de la custodia de la prisión. Supone la amenaza que introducen aquellos que tienen acceso institucional, así como formación especializada.
Uso indebido del acceso al sector energético
El NCSC también señaló las amenazas internas como amenazas de seguridad para la infraestructura crítica del Reino Unido. En una situación, el antiguo contratista de una empresa energética intentó interrumpir los procesos empresariales después de no ser efectivamente desvinculado, destacando la importancia de una gestión adecuada del acceso una vez que un empleado abandona.
Adopte marcos nacionales e internacionales
Las organizaciones deben alinearse con estos estándares clave:
Marco de mitigación de amenazas internas del NIST: Este modelo basado en EE. UU. tiene una amplia referencia a nivel mundial y ofrece un enfoque estructurado para crear un programa de riesgo interno.
ISO/IEC 27001: El estándar de referencia internacional para sistemas de gestión de seguridad de la información (ISMS), incluidos los controles para el riesgo interno y la preparación para auditorías.
NPSA (anteriormente CPNI) Insider Risk Mitigation Guidance: La National Protective Security Authority del Reino Unido proporciona recursos detallados sobre la identificación y reducción de amenazas internas, especialmente en sectores críticos.
Cyber Essentials y Cyber Essentials Plus: Esquemas respaldados por el gobierno que promueven las mejores prácticas en control de acceso, supervisión y endurecimiento del sistema.
Política y prácticas recomendadas culturales
Más allá del cumplimiento, las prácticas internas sólidas son esenciales:
Establezca políticas claras sobre amenazas internas: defina qué constituye una amenaza interna, cómo se notifican los incidentes y las consecuencias de las filtraciones de políticas.
Pruebe y actualice controles regularmente: Utilice equipos rojos, auditorías y simulaciones de incidentes para evaluar el rendimiento de sus defensas en escenarios realistas.
Fomentar la colaboración entre departamentos: Implicar a RR. HH., el departamento jurídico, TI y el cumplimiento en la creación de un enfoque completo del riesgo interno.
Priorice la seguridad psicológica y la cultura de denuncia: Los empleados deben sentirse empoderados para hablar sobre comportamientos sospechosos sin miedo a represalias.
Signos e indicadores de amenazas internas
Las amenazas internas pueden ser difíciles de detectar con precisión porque provienen de usuarios de confianza. Pero incluso los cambios sutiles en el comportamiento o el uso del sistema pueden indicar un problema más profundo.
El acceso inesperado a sistemas sensibles, especialmente fuera del horario normal, es a menudo una de las primeras pistas. Los empleados que acceden a datos no relacionados con su función o que transfieren grandes cantidades de información a unidades externas o almacenamiento en la nube pueden estar preparándose para el robo de datos, ya sea de forma intencionada o inconsciente.
Otros signos incluyen desactivar las herramientas de seguridad, incumplir repetidamente la política o mostrar un comportamiento inusual, especialmente después de eventos negativos en el lugar de trabajo como una degradación o un aviso de renuncia. En algunos casos, las personas con información privilegiada pueden solicitar acceso elevado sin una razón válida o intentar entrar en áreas restringidas.
Reconocer estos patrones de forma temprana, especialmente cuando están respaldados por análisis de comportamiento, es clave para detectar amenazas internas antes de que causen un daño duradero.
Medidas preventivas y de mitigación
Para minimizar las amenazas internas, comience otorgando acceso al mínimo absoluto. Este es el enfoque de menor privilegio que permite una exposición mínima, y también hay productos como User Behavior Analytics (UEBA) y Privileged Access Management (PAM) que pueden detectar de forma efectiva el uso indebido virtualmente de forma inmediata en tiempo real.
Es esencial una salida adecuada: el acceso debe desactivarse en el momento en que un empleado abandona la organización. Los ataques suelen tener lugar después de que se omite el sencillo paso.
También se requiere formación continua de los empleados. Los empleados que han recibido formación sobre la naturaleza de las amenazas internas y a los que deben prestar atención también pueden convertirse en una extensión de la defensa. Los entornos de trabajo que fomentan la franqueza y la responsabilidad también fomentan la notificación temprana de comportamientos sospechosos.
Y, por último, al incorporar tecnología de supervisión como SIEM junto con información de comportamiento, las organizaciones obtienen la información que necesitan para responder inmediatamente y frustrar las amenazas.
¿Dónde puedo obtener ayuda para gestionar amenazas internas?
Comprender las amenazas internas es solo el principio: la protección frente a ellas requiere la tecnología adecuada. Trend Vision One™ ofrece la visibilidad y los análisis necesarios para detectar comportamientos de riesgo por parte de los usuarios antes de que provoquen daños.
Al correlacionar la actividad en endpoints, nube, email y capas de identidad, Trend Vision One ayuda a descubrir riesgos internos que las herramientas tradicionales pasan por alto. Tanto si la amenaza es negligente, maliciosa o está comprometida, obtiene la información necesaria para responder de forma rápida y eficaz.
A medida que las amenazas internas se vuelven más complejas, Trend Vision One proporciona a su equipo la inteligencia y la automatización necesarias para mantenerse a la vanguardia.
Scott Sargeant, Vice President of Product Management, es un líder tecnológico con más de 25 años de experiencia en la prestación de soluciones de clase empresarial en el ámbito de la ciberseguridad y las tecnologías de la información.
Preguntas frecuentes (FAQ)
¿Qué es una amenaza interna en términos sencillos?
Una amenaza interna es una amenaza de seguridad que proviene del interior de una organización, por ejemplo, un empleado o contratista.
¿Cuáles son los tipos de amenazas internas?
Maliciosas, negligentes, comprometidas y colusorias.
¿Cómo identificar una amenaza interna?
Presta atención a accesos inusuales, transferencias grandes de datos o comportamientos sospechosos. Usa herramientas de monitoreo y registros de acceso para detectar riesgos
¿Cómo prevenir una amenaza interna?
Limita el acceso, supervisa la actividad, capacita a los empleados y aplica políticas de seguridad.
¿Qué tan comunes son las amenazas internas?
Representan una parte significativa de los incidentes de seguridad, a menudo entre el 20 y el 30%.