abc Radio


42% cuenta con los controles para prevenir ataques internos

Según la firma de seguridad informática, Forcepoint, solo el
42 por ciento de las organizaciones en México cuenta con los
controles adecuados para prevenir ataques internos y casi tres
cuartas partes de éstas son vulnerables a este tipo de
amenazas.

Al respecto, Dan Velez, director de Operaciones sobre Amenazas
Internas en Forcepoint, señaló que deberíamos mejorar nuestra
actitud cuando “nos hacemos el propósito” de enfrentar la alta
presencia de amenazas internas, pues solo una cuarta parte de las
organizaciones lo hace.

“He descubierto que normalmente las organizaciones no logran
establecer estos controles debido a que se sienten abrumados por la
complejidad del problema, algo que se le conoce como el
“Síndrome de ¿Por dónde comenzamos?” Así que recomienda
afrontarlo con tres pasos sencillos y que tienen gran impacto.

El primero es sentar las bases de su programa para la gestión
de riesgos, con una estrategia que gira completamente alrededor de
la tecnología, dejando a los componentes del negocio y de “la
gente” fuera de la ecuación.

Lo que se necesita, es la participación de los líderes en la
gestión de riesgos, para nosotros poder alinear todo lo que
estamos haciendo con el negocio en cuestión. A través del
análisis óptimo de la gestión de riesgos, determinamos lo que es
importante respecto a nuestra organización, y de qué manera las
amenazas pueden evitar que cumplamos con los objetivos
estratégicos.

Como parte de esto, se puede realizar un inventario para
identificar las “joyas de la corona” que están dentro de los
datos,  ¿cuáles son y dónde se encuentran?, y desarrollar un
plan de gestión de riesgos para proteger a cada una. El plan debe
cubrir no solamente a las soluciones técnicas, sino también al
elemento humano.

Asimismo, recomienda poner a alguien a cargo, porque la
iniciativa no irá a ninguna parte si no logra designar a una
persona que no tenga las habilidades necesarias para encabezarla.
Una vez más, el director no progresa con remedios estrictamente
“técnicos”. Tener una visión de gestión de riesgos con una
técnica para generar valor y una respuesta perdurable a las
amenazas internas, que sea consistente cuando se aplica a una
sección representativa de los departamentos en toda la
empresa.

Por último, si se incorpora una visión de gestión de riesgos,
la organización tiene que llevar su programa y su mensaje a
quienes representan a ese factor decisivo en términos del éxito
del futuro que son los empleados que requieren capacitación
constante en la definición de la amenaza interna.

Las amenazas internas tienen muchos matices. Son los empleados
maliciosos que roban datos intencionalmente, sabotean los sistemas,
porque no fueron tomados en cuenta para recibir un ascenso, un
aumento o porque odian a sus jefes o sus trabajos.

Además, son infiltrados “accidentales” que no le tienen
mala voluntad a sus organizaciones, pero que siguen siendo un
peligro debido a que tienen comportamientos de riesgo. También
están los terceros, contratistas y socios cuyo nivel de riesgo se
convierte en nuestro nivel de riesgo debido a las asociaciones e
interdependencias de los sistemas, las aplicaciones, las
herramientas de comunicación. Debe lograr que los empleados
entiendan todas las formas de amenazas internas.

Ilustrar cómo es la actividad de las amenazas internas. Aquí
es donde se educa al personal sobre qué buscar y qué hacer. Para
abordar los escenarios de amenazas internas accidentales, se debe
elevar el conocimiento sobre los peligros de compartir
contraseñas, y la necesidad de cambiarlas con frecuencia al tiempo
de evitar usar contraseñas sencillas y predecibles.

Los empleados también deben estar al día con las técnicas de
“phishing” (suplantación de identidad) más recientes. En
cuanto a los empleados internos con intenciones maliciosas, el
personal deber saber cómo reconocerlos.

Asimismo, explicar por qué esto es importante. Infórmeles
sobre el potencial que tienen las amenazas internas de interrumpir
la productividad, detener los sistemas, provocar pérdidas, dañar
a la reputación y afectar la estrategia, lo que podría tener
consecuencias devastadoras que afectan prácticamente a todos.

El costo de los incidentes provocados por las amenazas internas
es de 4.3 millones de dólares en promedio, según la
investigación del Ponemon Institute.

También se debe anunciar lo que está haciendo la
organización. Mediante presentaciones, materiales impresos y
recursos en línea, explique al personal las acciones inmediatas y
de largo plazo, lo que incluye controles técnicos y de
auditoría.