Riesgo interno: reduzca las oportunidades y mejore la respuesta

El riesgo interno incluye el uso indebido deliberado, los errores y la actividad realizada a través de una cuenta legítima comprometida. Pueden estar implicados empleados, contratistas, proveedores y antiguos trabajadores que conservan accesos residuales. El punto de partida útil no es una lista de personas supuestamente peligrosas, sino los accesos y las acciones que podrían causar daños.

Para un CTO, la tarea consiste en reducir las oportunidades de uso indebido sin entorpecer el trabajo legítimo y, después, hacer que la actividad sospechosa pueda investigarse. Eso requiere controles de identidad, reglas de tratamiento de datos, una telemetría útil y un proceso de respuesta que distinga un accidente de un compromiso de cuenta o de una acción deliberada. Entre las posibles consecuencias figuran el fraude, la pérdida de propiedad intelectual, la exposición de datos personales y la interrupción de las operaciones. Ninguna de ellas requiere que un atacante explote una vulnerabilidad de software si los permisos existentes ya permiten la acción.

Identifique las vías de alto impacto

Empiece por un proceso de negocio importante y trace cómo alguien podría causar un daño significativo utilizando un acceso legítimo. Incluya las aplicaciones, las interfaces de administración, las API, los dispositivos finales y los proveedores externos. Un ejercicio de modelado de amenazas centrado en los accesos puede ayudar a identificar vías que atraviesan varios sistemas.

Pregúntese qué puede leer, modificar, exportar, eliminar o aprobar una persona, no simplemente si tiene una cuenta.

Para cada vía, registre el responsable del activo, los roles autorizados, la finalidad prevista, el control preventivo, la fuente de detección y quién responde. Priorice en función del impacto potencial, la facilidad de ejecución y la capacidad de recuperación. Una acción sensible que una sola persona puede realizar sin comprobaciones independientes merece especial atención.

El entregable es un breve registro de vías de acceso. Debe identificar exactamente qué acción necesita segregación de funciones, una aprobación adicional o una monitorización más estrecha.

Elimine la autoridad innecesaria antes de añadir vigilancia

El mínimo privilegio significa ajustar los permisos al trabajo actual. Parta de los derechos reales, incluidos los grupos anidados, los roles específicos de cada aplicación, los accesos delegados, las cuentas de servicio, los tokens de API y las credenciales compartidas. Una lista ordenada de roles en el directorio puede ocultar permisos excesivos dentro de aplicaciones concretas.

Pida a los responsables de negocio que validen por qué se necesita cada derecho sensible. Cuando sea viable, separe las cuentas de uso diario de las identidades administrativas y sustituya el acceso administrativo permanente por una elevación aprobada y limitada en el tiempo. Utilice la autenticación multifactor, preferiblemente con métodos resistentes al phishing cuando estén disponibles, para reducir la exposición al compromiso de credenciales. La autenticación no impide que una persona autorizada haga un uso indebido de sus permisos.

La segregación de funciones debe existir en el sistema, no solo en la política. Quien modifica los datos de pago de un proveedor no debe aprobar también el pago resultante. Las anulaciones de emergencia necesitan un motivo registrado, una caducidad definida y una revisión posterior por parte de alguien independiente de la acción.

Integre los cambios de acceso en los flujos de trabajo de personal y de proveedores:

• Incorporación: asigne un rol definido en lugar de copiar los permisos acumulados por un compañero.
• Cambio de puesto: retire los accesos obsoletos además de añadir las nuevas responsabilidades.
• Baja: coordine la desactivación de la cuenta, el cierre de las sesiones, la revocación de los tokens, la gestión de los dispositivos y la retirada de los accesos de proveedores.
• Trabajo temporal: asigne un responsable y una caducidad a los accesos elevados o específicos de un proyecto.

Revise las cuentas de servicio por separado. Documente su finalidad, sus dependencias, dónde se almacenan sus credenciales y su responsable. Evite el uso interactivo cuando no sea necesario. Si todavía no puede eliminarse una credencial compartida, registre la excepción y los controles compensatorios; no suponga que los registros identificarán de forma fiable al usuario concreto.

Proteja los datos y las vías de salida

La protección de los datos empieza por saber qué información importa y por dónde circula. Clasifique los conjuntos de datos sensibles, identifique los destinos aprobados y defina cuándo son legítimas las exportaciones o el uso compartido externo. Ofrezca a los usuarios una vía aprobada que sea practicable; de lo contrario, los controles pueden empujar la actividad hacia canales no gestionados.

La prevención de pérdida de datos puede advertir, bloquear o exigir una justificación para determinadas transferencias. Pruebe las políticas en un piloto con flujos de trabajo representativos antes de aplicarlas de forma generalizada. Pruebe, cuando sean pertinentes para el riesgo, los enlaces compartidos en la nube, las subidas desde el navegador, los clientes de sincronización, los soportes extraíbles y la impresión. La cobertura varía según la plataforma y el canal; una prueba satisfactoria en un dispositivo final no acredita la protección de la API de una aplicación.

El cifrado en reposo y en tránsito protege determinadas vías de exposición, pero un usuario autorizado puede seguir obteniendo el texto en claro. Combine el cifrado con límites de acceso, restricciones de exportación y un uso compartido controlado. Proteja también las copias de seguridad y la administración de la recuperación: un uso indebido destructivo es más difícil de revertir cuando la misma identidad puede alterar la producción y borrar sus copias de seguridad.

Haga que la detección sea proporcionada y explicable

Recopile señales vinculadas a las vías de alto impacto, en lugar de todo lo que hace una persona. Entre los eventos útiles pueden figurar exportaciones inusualmente grandes, nuevos usos compartidos externos, cambios de privilegios, registros desactivados, denegaciones de acceso repetidas o accesos a repositorios sensibles al margen de los patrones de trabajo establecidos.

Utilice los registros de auditoría de las aplicaciones junto con los eventos de identidad, de los dispositivos finales y de la nube. Un sistema de gestión de información y eventos de seguridad (SIEM) puede correlacionar estas fuentes; el análisis del comportamiento de usuarios y entidades puede ayudar a identificar desviaciones respecto de una línea base. Ninguno de los dos acredita la intención. Una migración, una respuesta a incidentes aprobada o un cambio de puesto pueden explicar una actividad inusual.

Para cada regla de detección, especifique:

• La acción de riesgo y los sistemas cubiertos.
• Los campos de registro necesarios, como el actor, la marca de tiempo, el objeto, la acción, el resultado y el destino.
• Las excepciones legítimas esperadas y cómo las comprueban quienes responden.
• El responsable de la respuesta, la vía de escalado y las condiciones para una contención urgente.
• Cómo probará el equipo la regla y medirá su utilidad.

Proteja los registros frente a modificaciones no autorizadas, sincronice las marcas de tiempo y compruebe que los fallos de ingesta son visibles. Pruebe las alertas con actividad aprobada en un entorno seguro. Trate la telemetría que falta y los falsos positivos como defectos de ingeniería, no solo como carga de trabajo de los analistas.

Establezca primero las garantías de la monitorización

Antes de recopilar datos sobre la actividad de los empleados, determine la base jurídica, la finalidad, las garantías de privacidad, los controles de acceso y la conservación. Implique a los representantes adecuados de privacidad, jurídico, RR. HH. y de los trabajadores; las obligaciones de consulta dependen de la jurisdicción y del contexto.

Cuando se aplica el RGPD, sus artículos 5, 6, 13 y 14, y 32 abordan los principios, la licitud del tratamiento, la transparencia y la seguridad. El artículo 35 exige una evaluación de impacto relativa a la protección de datos cuando sea probable que el tratamiento entrañe un alto riesgo. Los objetivos de seguridad no eliminan esos requisitos.

Como recomendación práctica, prefiera metadatos de eventos de alcance limitado frente a una recopilación intrusiva de contenidos cuando aquellos respondan a la pregunta de la investigación. Restrinja el acceso a los expedientes, documente las decisiones de conservación y no trate las circunstancias personales ni los desacuerdos en el trabajo como prueba de una conducta indebida. Las puntuaciones automatizadas requieren validación humana.

Ayude a las personas a notificar los errores cuanto antes

Ofrezca una vía de notificación evidente para el uso compartido accidental, la pérdida de dispositivos, las solicitudes sospechosas y la actividad inesperada en las cuentas. Explique qué hay que comunicar: el sistema, la hora aproximada, la información afectada, los destinatarios y las acciones ya realizadas. El personal no debería tener que clasificar el incidente antes de pedir ayuda.

Adapte la formación al trabajo concreto. Los equipos de finanzas necesitan escenarios de verificación de cambios en los pagos; los desarrolladores, ejemplos sobre repositorios y gestión de secretos; el personal de soporte, orientación sobre exportaciones de datos de clientes e intentos de suplantación. Incluya a los contratistas y a los administradores con privilegios.

Responda de forma constructiva a las notificaciones rápidas. Indique a quien notifica si debe dejar de utilizar un dispositivo, conservar un mensaje o abstenerse de contactar con un destinatario hasta que el equipo de respuesta le dé instrucciones. Unas instrucciones claras evitan que una limpieza bienintencionada destruya evidencias o amplíe la exposición.

Responda a los hechos, no a las etiquetas

Una alerta es una pista que investigar, no una prueba de conducta indebida. Establezca el contexto y proteja la confidencialidad de todas las personas implicadas. Una acción aparentemente válida en una cuenta puede deberse a un error, a una automatización, a una sesión robada o a un uso indebido deliberado; las necesidades de contención pueden solaparse, aunque las implicaciones laborales sean distintas.

Un manual de respuesta utilizable debe abarcar cinco decisiones:

1. Clasificación inicial: confirme el evento, los activos afectados, la sensibilidad, la autorización y si el daño continúa. Compruebe los cambios aprobados y contacte con el responsable del proceso a través de un canal de confianza.
2. Conservación: conserve, cuando proceda, los registros pertinentes, los eventos de identidad, los registros de uso compartido y los archivos originales. Registre la hora de obtención, la fuente, el investigador y el tratamiento. Limite el acceso al material del expediente.
3. Contención: elija medidas proporcionadas, como revocar sesiones, restringir exportaciones, desactivar el uso compartido o retirar la elevación de privilegios. Tenga en cuenta las dependencias de los servicios antes de desactivar una cuenta, sin retrasar una protección urgente.
4. Coordinación: implique a seguridad, al responsable del sistema, a privacidad, a jurídico y a RR. HH. en función de los hechos. Las medidas laborales y las denuncias ante las fuerzas de seguridad requieren la autoridad adecuada, no un umbral de alerta automatizado.
5. Recuperación: restablezca los accesos y las configuraciones aprobados, rote las credenciales afectadas, valide la integridad de los datos y vigile si el problema se repite.

Defina quién puede autorizar una contención urgente y un contacto alternativo por si está implicado un administrador con privilegios o la persona que habitualmente toma las decisiones.

Evalúe por separado las obligaciones de notificación. Con arreglo a los artículos 33 y 34 del RGPD, los responsables del tratamiento evalúan la notificación a la autoridad de control sin dilación indebida y, de ser posible, a más tardar 72 horas después de haber tenido constancia, salvo que sea improbable que la violación constituya un riesgo para los derechos y libertades de las personas. Los encargados notifican a los responsables sin dilación indebida. Un alto riesgo puede exigir la comunicación a las personas afectadas, sin perjuicio de las excepciones del artículo 34. Registre el razonamiento cuando no se notifique y compruebe otras obligaciones contractuales o legales aplicables.

Ejemplo práctico: una exportación inusual de datos de clientes

Supuestos ilustrativos: una aplicación de soporte contiene datos de contacto de clientes; los supervisores pueden exportar un número limitado de registros para casos aprobados; una identidad de integración independiente genera informes programados.

Una alerta indica que un supervisor ha exportado un número de registros sustancialmente superior a su carga de trabajo habitual. El analista comprueba el alcance de la exportación, su destino, los eventos de identidad y la referencia del caso aprobado. Un nuevo contexto de inicio de sesión aumenta la preocupación, pero no acredita quién actuó.

El equipo de respuesta conserva los registros de la aplicación y de identidad, revoca la sesión sospechosa y retira temporalmente el permiso de exportación del usuario. Comprueba que la integración programada no se ve afectada antes de modificar accesos más amplios. A través de un contacto de confianza, el supervisor confirma que no solicitó la exportación.

La hipótesis de trabajo pasa a ser el compromiso de la cuenta. Los investigadores examinan la exposición de las credenciales y las sesiones, identifican cuando es posible los destinatarios o los destinos y evalúan las obligaciones de notificación de la violación de seguridad. La recuperación incluye proteger la cuenta y validar los permisos.

La revisión de los controles concluye que el trabajo rutinario de soporte no requería derechos de exportación amplios. La acción correctiva es un rol más restringido, la aprobación de las exportaciones de mayor tamaño y una alerta probada. Las evidencias incluyen los registros de configuración, una prueba controlada y la aprobación del revisor, no la afirmación de que se impedirá cualquier exportación futura.

Conserve evidencias que demuestren que los controles funcionan

Tras un caso o un ejercicio, recoja los hechos, la respuesta, el impacto y las mejoras. Examine si contribuyeron permisos excesivos, aprobaciones que faltaban, instrucciones poco claras o una telemetría incompleta. Asigne a cada acción correctiva un responsable, una fecha límite y un método de verificación.

Entre las evidencias de aseguramiento útiles figuran las revisiones de derechos con registros de retirada, los historiales de elevación de privilegios, las pruebas de bajas, las pruebas de las reglas de detección, las comprobaciones de cobertura de los registros y los ejercicios que demuestran la vía de escalado. Mida los resultados de los controles, como los accesos caducados que se han retirado y las alertas con contexto suficiente, en lugar de contar únicamente las formaciones completadas.

Secani conecta los riesgos, la implantación de los controles y las evidencias en un contexto gobernado. Para una vía de acceso, los equipos pueden modelar los sistemas pertinentes, adjuntar las exportaciones de revisiones y los registros de pruebas, asignar tareas de resolución de brechas y conservar las decisiones de revisión humana. La documentación sobre permisos y acceso a la API describe el rol de la API de OSCAL limitado a la validación, un ejemplo concreto de cómo dar a unas credenciales una capacidad acotada a la tarea prevista. Incorpore a este registro de control conectado las exportaciones de revisiones de accesos, los hallazgos de la monitorización y las decisiones de respuesta aprobadas.

Empiece probando una vía de acceso de alto impacto y la vía de escalado en caso de uso indebido. Confirme que se ha eliminado la autoridad innecesaria, que un evento relevante es visible y que una persona autorizada puede actuar con suficientes evidencias y contexto.