Página de inicio de OpenText.
Temas técnicos

¿Qué es una amenaza interna?

Póngase en contacto con nosotros
Ilustración de elementos informáticos centrados en un signo de interrogación

Descripción general

Una amenaza interna se refiere a un riesgo de ciberseguridad que se origina dentro de una organización. Suele ocurrir cuando un empleado, contratista, proveedor o socio actual o anterior con credenciales de usuario legítimas hace un uso indebido de su acceso en detrimento de las redes, los sistemas y los datos de la organización. Una amenaza interna puede ejecutarse de forma intencionada o no intencionada. Independientemente de la intención, el resultado final es la puesta en peligro de la confidencialidad, disponibilidad y/o integridad de los sistemas y datos de la empresa.

Las amenazas internas son la causa de la mayoría de las violaciones de datos. Las estrategias, políticas, procedimientos y sistemas tradicionales de ciberseguridad suelen centrarse en las amenazas externas, dejando a la organización vulnerable a los ataques desde dentro. Como la persona infiltrada ya tiene autorización válida para acceder a datos y sistemas, es difícil para los profesionales de la seguridad y las aplicaciones distinguir entre actividad normal y dañina.

Los intrusos maliciosos tienen una clara ventaja sobre otras categorías de atacantes maliciosos debido a su familiaridad con los sistemas, procesos, procedimientos, políticas y usuarios de la empresa. Conocen muy bien las versiones de los sistemas y las vulnerabilidades que contienen. Por tanto, las organizaciones deben hacer frente a las amenazas internas con el mismo rigor que a las externas.

Tipos de amenazas internas

Amenazas internas maliciosas

También denominadas "turn-cloak", entre los principales objetivos de las amenazas internas maliciosas figuran el espionaje, el fraude, el robo de propiedad intelectual y el sabotaje. Abusan intencionadamente de su acceso privilegiado para robar información o degradar los sistemas por motivos financieros, personales y/o malintencionados. Por ejemplo, un empleado que vende datos confidenciales a un competidor o un antiguo contratista descontento que introduce malware debilitador en la red de la organización.

Las amenazas internas maliciosas pueden ser colaboradores o lobos solitarios.

Colaborador

Los colaboradores son usuarios autorizados que trabajan con un tercero para perjudicar intencionadamente a la organización. El tercero puede ser un competidor, un Estado-nación, una red de delincuencia organizada o un particular. La acción del colaborador provocaría la filtración de información confidencial o la interrupción de las operaciones comerciales.

Lobo solitario

Los lobos solitarios operan de forma totalmente independiente y actúan sin manipulaciones ni influencias externas. Pueden ser especialmente peligrosos porque a menudo tienen acceso privilegiado al sistema, como los administradores de bases de datos.

Amenazas internas por descuido

Las amenazas de seguridad internas por descuido se producen de forma inadvertida. A menudo son el resultado de errores humanos, falta de juicio, complicidad involuntaria, conveniencia, phishing (y otras tácticas de ingeniería social), malware y credenciales robadas. La persona implicada expone sin saberlo los sistemas de la empresa a ataques externos.

Las amenazas internas descuidadas pueden ser peones o pifias.

Empeño

Los peones son usuarios autorizados que han sido manipulados para actuar maliciosamente de forma involuntaria, a menudo mediante técnicas de ingeniería social como el spear phishing. Estos actos involuntarios podrían incluir la descarga de malware en su ordenador o la revelación de información confidencial a un impostor.

Goof

Los Goofs realizan deliberadamente acciones potencialmente dañinas pero no albergan ninguna intención maliciosa. Son usuarios arrogantes, ignorantes y/o incompetentes que no reconocen la necesidad de seguir las políticas y procedimientos de seguridad. Una metedura de pata puede ser un usuario que almacena información confidencial de un cliente en su dispositivo personal, aun sabiendo que va en contra de la política de la organización.

Un topo

Un topo es una persona ajena a la organización, pero que ha obtenido acceso interno a sus sistemas. Pueden hacerse pasar por un proveedor, socio, contratista o empleado, obteniendo así una autorización privilegiada a la que de otro modo no tendrían derecho.

Cómo detectar una amenaza interna

La mayoría de las herramientas de inteligencia sobre amenazas se centran en el análisis de los datos de la red, los ordenadores y las aplicaciones, prestando escasa atención a las acciones de las personas autorizadas que podrían hacer un uso indebido de su acceso privilegiado. Para una ciberdefensa segura contra una amenaza interna, hay que vigilar las conductas y actividades digitales anómalas.

Indicadores de comportamiento

Hay diferentes indicadores de una amenaza interna a los que hay que prestar atención, entre ellos:

  • Un empleado, contratista, proveedor o socio insatisfecho o descontento.
  • Intentos de burlar la seguridad.
  • Trabajar regularmente fuera del horario laboral.
  • Muestra resentimiento hacia sus compañeros de trabajo.
  • Violación sistemática de las políticas de la organización.
  • Contemplar la dimisión o discutir nuevas oportunidades.

Indicadores digitales

  • Inicio de sesión en aplicaciones y redes empresariales a horas inusuales. Por ejemplo, un empleado que se conecta a la red a las 3 de la madrugada sin que nadie se lo pida puede ser motivo de preocupación.
  • Aumento del volumen de tráfico en la red. Si alguien está intentando copiar grandes cantidades de datos a través de la red, verá picos inusuales en el tráfico de la red.
  • Acceder a recursos a los que normalmente no acceden o a los que no están autorizados.
  • Acceder a datos que no son relevantes para su función laboral.
  • Solicitudes reiteradas de acceso a recursos del sistema no pertinentes para su función laboral.
  • Utilizar dispositivos no autorizados, como unidades USB.
  • Rastreo de la red y búsqueda deliberada de información sensible.
  • Envío de información sensible por correo electrónico fuera de la organización.

Cómo protegerse contra los ataques internos

Puede proteger los activos digitales de su organización frente a una amenaza interna. He aquí cómo.

Proteger los activos críticos

Identifique los activos lógicos y físicos críticos de su organización. Se trata de redes, sistemas, datos confidenciales (como información sobre clientes, datos de empleados, esquemas y planes estratégicos detallados), instalaciones y personas. Comprender cada activo crítico, clasificar los activos por orden de prioridad y determinar el estado actual de la protección de cada activo. Naturalmente, los activos de mayor prioridad deben recibir el mayor nivel de protección frente a las amenazas internas.

Crear una base de referencia del comportamiento normal de los usuarios y los dispositivos

Hay muchos sistemas de software diferentes que pueden rastrear las amenazas internas. Estos sistemas funcionan centralizando en primer lugar la información sobre la actividad de los usuarios a partir de los registros de acceso, autenticación, cambios de cuenta, puntos finales y redes privadas virtuales (VPN). Utilice estos datos para modelar y asignar puntuaciones de riesgo al comportamiento de los usuarios vinculado a eventos específicos, como la descarga de datos confidenciales a soportes extraíbles o el inicio de sesión de un usuario desde una ubicación inusual. Cree una línea base de comportamiento normal para cada usuario y dispositivo individual, así como para la función y el cargo del puesto. Con esta base de referencia, las desviaciones pueden señalarse e investigarse.

Aumentar la visibilidad

Es importante desplegar herramientas que supervisen continuamente la actividad de los usuarios, así como agregar y correlacionar información sobre la actividad procedente de múltiples fuentes. Por ejemplo, podría utilizar soluciones de engaño cibernético que establezcan trampas para atraer a los intrusos malintencionados, seguir sus acciones y comprender sus intenciones. Esta información se incorporaría a otras soluciones de seguridad de la empresa para identificar o prevenir ataques actuales o futuros.

Aplicar las políticas

Definir, documentar y difundir las políticas de seguridad de la organización. De este modo se evita la ambigüedad y se sientan las bases adecuadas para su aplicación. Ningún empleado, contratista, proveedor o socio debe tener dudas sobre cuál es el comportamiento aceptable en relación con la postura de seguridad de su organización. Deben reconocer su responsabilidad de no divulgar información privilegiada a partes no autorizadas.

Promover cambios culturales

Aunque la detección de amenazas internas es importante, es más prudente y menos costoso disuadir a los usuarios de comportamientos caprichosos. Promover un cambio de cultura consciente de la seguridad y la transformación digital es clave en este sentido. Inculcar las creencias y actitudes adecuadas puede ayudar a combatir la negligencia y abordar las raíces del comportamiento malintencionado. Los empleados y otras partes interesadas deben participar periódicamente en actividades de formación y concienciación que les eduquen en materia de seguridad, que deben ir acompañadas de la medición y mejora continuas de la satisfacción de los empleados para detectar señales tempranas de descontento.

Soluciones de detección de amenazas internas

Las amenazas internas son más difíciles de identificar y prevenir que los ataques externos. A menudo quedan fuera del radar de las soluciones de ciberseguridad convencionales, como cortafuegos, sistemas de detección de intrusos y software antimalware. Si un atacante se conecta a través de un identificador de usuario, una contraseña, una dirección IP y un dispositivo autorizados, es poco probable que active ninguna alarma de seguridad. Para proteger eficazmente sus activos digitales, necesita un software y una estrategia de detección de amenazas internas que combinen múltiples herramientas para supervisar el comportamiento interno y minimizar al mismo tiempo el número de falsos positivos.

Amenaza interna

Empiece hoy mismo.

Más información

Productos relacionados

OpenText™ Core Behavioral Signals

Detecte de forma proactiva los riesgos internos, los ataques novedosos y las amenazas persistentes avanzadas

OpenText™ Cybersecurity Cloud

Defiende con precisión, asegura con confianza

OpenText™ Core Adversary Signals

Vea cómo se llevan a cabo los ataques y cuál es su objetivo

Ver todos los productos relacionados

¿Cómo podemos ayudar?

Notas al pie