Los ataques informáticos no siempre comienzan fuera de las empresas. La extracción de bases de datos, documentos confidenciales o información estratégica también puede originarse dentro de la organización, ya sea por una conducta deliberada del trabajador o por desconocimiento de los protocolos de seguridad.
En este contexto, Guillermo Larrea, socio en compliance y ciberseguridad en Hogan Lovells Cadwalader, explicó en entrevista con IDC que los empleados desempeñan un papel clave en la prevención de incidentes, debido al acceso que pueden tener a sistemas y archivos críticos de la corporación.
“La gran mayoría de las exfiltraciones de datos personales y de información relevante de las compañías se sigue gestando desde el interior de la organización”, señaló Guillermo Larrea.
Entre los escenarios más frecuentes se encuentran el robo de información por trabajadores inconformes, la descarga de archivos antes de una separación laboral y la asignación de permisos innecesarios. El riesgo aumenta cuando la empresa no controla los puertos utilizados para extraer datos ni segmenta la información conforme a las funciones de cada puesto.
ÚNETE A IDC en nuestro canal de Whatsapp
¿Qué medidas debe implementar una empresa?
La estrategia no debe limitarse a instalar programas de seguridad. Larrea recomendó elaborar un inventario de los datos personales y de la información crítica que posee la compañía, así como identificar quién necesita consultarlos para realizar su trabajo.
A partir de ese diagnóstico, las empresas deberían implementar:
- protocolos internos de ciberseguridad
- accesos restringidos según las funciones del trabajador
- bloqueos en puertos y medios para extraer información
- capacitación continua para identificar amenazas
- procedimientos de respuesta frente a incidentes
- simulaciones de crisis o ejercicios conocidos como tabletops
El contrato laboral también debe hacer referencia a las políticas de ciberseguridad aplicables y a las posibles consecuencias de incumplirlas. Asimismo, el reglamento interior de trabajo debe actualizarse para incorporar las conductas prohibidas, responsabilidades y medidas disciplinarias correspondientes.
“La capacitación es clave, sobre todo en hacer un entrenamiento adecuado sobre qué hacer cuando las cosas no van bien. Es decir, cuando hay una exfiltración interna, un ataque externo, o vulneraciones vía phishing o ingeniería social. El gran problema es que las empresas no saben qué hacer; todos van con el de TI y quieren que lo resuelva todo. Si tienes un ransomware (secuestro de datos) y nadie puede acceder a los archivos, ni el de TI podrá hacer nada”, puntualizó Larrea.
Accede a herramientas premium y lleva tu actualización profesional al siguiente nivel. [Conoce todo lo que incluye nuestra membresía y únete hoy].
Ciberseguridad no es responsabilidad exclusiva del área de sistemas
Uno de los principales errores consiste en trasladar toda la responsabilidad al personal de tecnologías de la información. Aunque esta área administra accesos y controles técnicos, la respuesta requiere la participación coordinada de recursos humanos, el área jurídica, protección de datos y la dirección.
Recursos humanos debe comunicar las obligaciones a los empleados y aplicar las medidas procedentes ante un incumplimiento. El equipo jurídico, por su parte, debe revisar los contratos celebrados con proveedores tecnológicos y verificar que estos hayan pasado por un proceso básico de debida diligencia.
En compañías con estructuras más complejas también pueden intervenir el responsable de seguridad de la información, las áreas de innovación y los equipos de comunicación o marketing.
Esta coordinación resulta indispensable frente a ataques de ransomware, filtraciones internas, correos de phishing o engaños mediante ingeniería social. El protocolo debe determinar quién investiga, quién controla la crisis y quién comunica el incidente dentro y fuera de la organización.
¿Qué hacer cuando un trabajador deja la empresa?
Cuando termina una relación laboral, la compañía debe recuperar formalmente sus dispositivos y cancelar inmediatamente las contraseñas, cuentas y privilegios de acceso remoto del trabajador.
El procedimiento es más complejo cuando se permite utilizar equipos personales bajo el esquema Bring Your Own Device (Trae tu propio dispositivo, por sus siglas en inglés). En estos casos, deben restablecerse los accesos y levantarse un acta que documente las acciones realizadas.
Además, la organización necesita aplicaciones administradas por la compañía y el consentimiento del empleado para establecer controles sobre la información corporativa y, cuando corresponda, efectuar revisiones forenses.
“La recomendación general es que trabajen con dispositivos de la compañía, para que esta tenga control total. Es muy difícil resguardar la confidencialidad en el dispositivo personal de un empleado”, advirtió Larrea.
Si una investigación forense permite identificar que un trabajador o exempleado extrajo información deliberadamente, la empresa puede comenzar con una reclamación contractual y, dependiendo de la gravedad y la existencia de dolo, evaluar acciones civiles o penales. Es por ello, que ignorar el incidente también puede generar responsabilidades para la organización frente a las personas cuyos datos fueron comprometidos.
