Las amenazas internas y la rotación de empleados: Lo que debe saber

Hay muchas razones por las que debería esforzarse en retener a los empleados siempre que sean razonablemente productivos y contribuyan a los resultados financieros. La razón principal es que resulta muy costoso, tanto en tiempo como en dinero, reemplazar a los empleados que se van.

Esto es algo que saben todos los dueños de empresas, al igual que saben que, sin importar cuánto intenten retener a las personas, siempre habrá algo de rotación. Pero hay demasiados dueños de empresas que descuidan el alto riesgo de amenazas internas relacionadas con la rotación de empleados. Y con demasiada frecuencia se vuelven más vulnerables de lo necesario a estos riesgos.

¿Qué son las amenazas internas?

Las amenazas internas son una categoría de amenazas bastante amplia, como discutimos en esta publicación. Pero aquí nos centraremos únicamente en las amenazas internas que surgen cuando las personas que hay dentro de una organización hacen un uso indebido de sus privilegios de acceso de una manera que causa daños. La rotación amplifica estos riesgos, ya que los privilegios de acceso y los conocimientos confidenciales pueden irse por la puerta o, lo que es peor, utilizarse de un modo indebido antes de que alguien se vaya oficialmente.

Ejemplos del mundo real

Veamos algunos casos impactantes que ponen de manifiesto estos riesgos:

• La filtración de datos de Tesla (2018): Un exempleado descontento supuestamente exportó datos confidenciales a personas ajenas y saboteó los sistemas tras ser despedido. El incidente interrumpió la fabricación y le costó millones a la empresa.
• Anthony Levandowski en Google: Antes de unirse a la competencia, Levandowski descargó miles de archivos protegidos relacionados con la tecnología de los coches autónomos. Esto llevó a un pleito de gran repercusión entre Waymo (la unidad de coches autónomos de Google) y Uber.
• La violación de datos de Coca-Cola (2018): Un ex-contratista conservó un disco duro que contenía los datos personales de más de 8. 000 empleados. Esta violación no se descubrió hasta meses después de que el contratista se fuera, poniendo en riesgo a miles de personas.

En cada uno de estos casos, el denominador común fueron empleados de confianza cuya marcha se convirtió en un desencadenante de un posible desastre. Para un análisis más detallado de otro ejemplo, consulte esta publicación.

Por qué genera riesgos la rotación

Los empleados que se van conocen sus sistemas, procesos y flujos de datos mejor que casi nadie. Y es posible que aún tengan acceso a cuentas críticas durante horas, días o semanas después de anunciar que se van. En algunos casos, pueden albergar resentimientos o simplemente pasar por alto los protocolos, lo que lleva a fugas de datos accidentales o intencionales.

Cómo minimizar las amenazas internas

Pero hay algunos pasos prácticos que toda organización puede seguir. A continuación, le indicamos cómo reducir el riesgo cuando los empleados se van:

• Revocar inmediatamente el acceso al sistema una vez que se confirme la salida de un empleado. Los sistemas modernos de control de acceso de confianza cero, como los incorporados en los componentes de protección de red de Barracuda, aseguran que no se pase nada por alto.
• Los sistemas XDR modernos que incluyen la supervisión del SOC, como Barracuda Managed XDR, pueden detectar actividades sospechosas (como descargas masivas o transferencias de datos no autorizadas) antes, durante y después del período de preaviso.
• Proteja los datos confidenciales escaneando regularmente su red para identificar y corregir cualquier caso en el que los archivos que los contengan se almacenen de forma insegura, mediante una herramienta como Barracuda Data Inspector.
• Realice auditorías de acceso rutinarias para detectar cuentas inactivas o privilegios excesivos. El principio de mínimo privilegio garantiza que los empleados solo tengan el acceso que necesitan.
• Realice una formación periódica en concienciación sobre seguridad para garantizar que el personal comprenda los riesgos de ciberseguridad, haciendo hincapié en las políticas sobre la gestión de datos, la notificación de actividades sospechosas y que se respeten los procedimientos de baja. Los productos de formación como la formación en concienciación sobre seguridad de Barracuda se lo ponen fácil (e incluso es divertido).

La prevención es clave

Despedirse de un empleado nunca debe significar decir adiós a la seguridad de sus datos. Piense en las amenazas internas como lo hacen los detectives sobre el crimen: todo se reduce a los medios, el motivo y la oportunidad. Si puede minimizar estos tres aspectos, también mantendrá al mínimo los riesgos de incidentes relacionados con la rotación de personal.