Una amenaza interna es una amenaza percibida para una organización que proviene de personas dentro de la organización, como empleados, ex empleados, contratistas o socios comerciales, que tienen información privilegiada sobre las prácticas de seguridad, los datos y los sistemas informáticos de la organización. La amenaza puede implicar fraude, robo de información confidencial o comercialmente valiosa, robo de propiedad intelectual o sabotaje de sistemas informáticos.
Los miembros de la organización pueden tener cuentas que les den acceso legítimo a los sistemas informáticos, acceso que originalmente se les dio para que cumplieran con sus funciones; estos permisos podrían usarse de forma abusiva para perjudicar a la organización. Los miembros de la organización suelen estar familiarizados con los datos y la propiedad intelectual de la organización, así como con los métodos que se han establecido para protegerlos. Esto hace que les resulte más fácil eludir los controles de seguridad de los que son conscientes. La proximidad física a los datos significa que el miembro de la organización no necesita piratear la red de la organización a través del perímetro exterior atravesando cortafuegos; en cambio, ya se encuentra en el edificio, a menudo con acceso directo a la red interna de la organización. Las amenazas internas son más difíciles de defender que los ataques de personas externas, ya que el miembro de la organización ya tiene acceso legítimo a la información y los activos de la organización. [1]
Un infiltrado puede intentar robar propiedad o información para beneficio personal o para beneficiar a otra organización o país. [1] La amenaza a la organización también podría ser a través de software malicioso que los antiguos empleados dejan funcionando en sus sistemas informáticos, una llamada bomba lógica .
Las amenazas internas son un área activa de investigación en el ámbito académico y gubernamental.
El Centro de Coordinación CERT de la Universidad Carnegie-Mellon mantiene el Centro de Amenazas Internas del CERT, que incluye una base de datos de más de 850 casos de amenazas internas, incluidos casos de fraude, robo y sabotaje; la base de datos se utiliza para investigación y análisis. [2] El Equipo de Amenazas Internas del CERT también mantiene un blog informativo para ayudar a las organizaciones y empresas a defenderse contra los delitos internos. [3]
El Laboratorio de Amenazas y el Centro de Investigación de Seguridad y Personal de Defensa (DOD PERSEREC) también han surgido recientemente como recursos nacionales dentro de los Estados Unidos de América. El Laboratorio de Amenazas organiza una conferencia anual, la Cumbre SBS. [4] También mantienen un sitio web que contiene recursos de esta conferencia. Para complementar estos esfuerzos, se creó un podcast complementario, Voices from the SBS Summit. [5] En 2022, el Laboratorio de Amenazas creó una revista interdisciplinaria, Counter Insider Threat Research and Practice (CITRAP), que publica investigaciones sobre la detección de amenazas internas. [ cita requerida ]
En el Informe de investigaciones de violaciones de datos de 2022 (DBIR), Verizon descubrió que el 82 % de las violaciones involucraban al elemento humano y señaló que los empleados continúan desempeñando un papel principal en los incidentes y violaciones de ciberseguridad. [6]
Según la Oficina del Comisionado de Información del Reino Unido, el 90 % de todas las infracciones que se le comunicaron en 2019 fueron resultado de errores cometidos por los usuarios finales, frente al 61 % y el 87 % de los dos años anteriores. [7]
Un informe técnico de 2018 [8] informó que el 53 % de las empresas encuestadas habían confirmado ataques internos contra su organización en los 12 meses anteriores, y el 27 % afirmó que los ataques internos se han vuelto más frecuentes. [9]
En un informe publicado en julio de 2012 sobre las amenazas internas en el sector financiero de Estados Unidos [10] se ofrecen algunas estadísticas sobre los incidentes de amenazas internas: el 80% de los actos maliciosos se cometieron en el trabajo durante el horario laboral; el 81% de los autores planearon sus acciones de antemano; el 33% de los autores fueron descritos como "difíciles" y el 17% como "descontentos". En el 74% de los casos se identificó al infiltrado. En el 81% de los casos el motivo fue el beneficio económico, en el 23% la venganza y el 27% de las personas que llevaron a cabo actos maliciosos se encontraban en dificultades económicas en ese momento.
El Centro de Investigación de Seguridad Personal del Departamento de Defensa de los Estados Unidos publicó un informe [11] que describe los métodos para detectar amenazas internas. Anteriormente, publicó diez estudios de casos de ataques internos por parte de profesionales de la tecnología de la información . [12]
Los expertos en ciberseguridad creen que el 38% de los insiders negligentes son víctimas de un ataque de phishing , en el que reciben un correo electrónico que parece proceder de una fuente legítima, como una empresa. Estos correos electrónicos normalmente contienen malware en forma de hipervínculos . [13]
Se han propuesto múltiples sistemas de clasificación y ontologías para clasificar las amenazas internas. [14]
Los modelos tradicionales de amenazas internas identifican tres grandes categorías:
La investigación sobre amenazas internas ha sido criticada. [15]
Los investigadores, que adoptan enfoques sociotécnicos, también han defendido la necesidad de considerar las amenazas internas desde la perspectiva de los sistemas sociales. Jordan Schoenherr [17] afirmó que "la vigilancia requiere una comprensión de cómo se estructuran los sistemas de sanciones, cómo responderán los empleados a la vigilancia, qué normas laborales se consideran relevantes y qué significa 'desviación', por ejemplo, desviación de una norma justificada de la organización o incumplimiento de una norma organizacional que entra en conflicto con los valores sociales generales". Al tratar a todos los empleados como amenazas internas potenciales, las organizaciones pueden crear condiciones que conduzcan a amenazas internas.