Esto se remonta al 15 septiembre, pero la noticia ha sido apenas emitida: dos empleados del coloso IT Shopify han sido acusado del robo de datos desde casi 100 negocios virtuales, posiblemente comprometiendo también las informaciones personales de todos los clientes que han hecho compras en estos e-commerce interesados desde la violacion de datos. La sociedad, especializada en la realización de e-commerce – que cuenta con clientes del calibre de Tesla – ha contestado a la noticia despidiendo a dos empleados y cooperando activamente con la FBI para investigar el accaduto.

Han también precisado que esta violación de datos no ha sido fruto de una vulnerabilidad de los sistemas y que la mayor parte de sus clientes no ha sido afectada.

Un comunicado de prensa estándar, pero permanece el hecho que para los que han sido afectados en la extracción ilegal de datos por parte de los datos, permanece la duda que hayan sido comprometidos los datos de los consumidores, incluidos las direcciones email, los nombres, las direcciones y otras informaciones pertinentes.

Shopify también ha precisado que las informaciones sobre las tarjetas de créditos y otras informaciones financieras personales sensibles no han sido parte del bundle de datos incriminados.

Este caso, por cuanto es relevante, es la enésima demostración que para defenderse desde la amenaza de las violaciones de datos tenemos observar frecuentemente dentro de nuestra organización. Estamos hablando de Insider Threat, las amenazas internas.

¿Error o dolo?

Cierto, no todas son intencionales, como en el caso de Shopify, muchos empleados que ponen en peligro los datos empresariales no tienen la conciencia de hacerlo, pero son más frecuentes en cuanto los empleados confían en aplicaciones cloud no autorizadas y acceden a los datos empresariales desde una amplia variedad de redes.

De verdad están algunos factores que están exasperando la situación y aumentando increíblemente el riesgo. Si pensamos solamente en el aumento en el uso de instrumentos de cooperación y compartición como Slack, Teams, OneDrive y Dropbox; que han visto un verdadero aumento en su uso durante la pandemia.

Los datos estadísticos nos dicen que los tools más populares para la compartición de file son los mails (34%). Microsoft SharePoint (26%), Onedrive (23%) y Google Drive (19%).

Mientras que las plataformas no autorizadas más utilizadas para la compartición de files con los colegas son WhatsApp (34%), Google Drive (30%), Facebook (29%) y las email personales (29%).

Para contextualizar estos datos, casi el 40% de los empleados usa cotidianamente aplicaciones no autorizadas – y el 26% las usas cada semana – para compartir files con los colegas.

Otro factor ha sido seguramente la expansión de la fuerza laboral en Smart Working. El Covid-19 ha obligado a muchos empleados a trabajar en oficinas de fortunas, pero frecuentemente trabajan también desde café, restaurantes y espacios abiertos.

A agudizar el problema es la tendencia de los empleados, sobretodos los más joven, a están en una organización por mucho menos tiempo. Los trabajadores que no prevén permanecer en una empresa por un largo plazo de tiempo no son tan leales y no lo piensen dos veces en llevar los datos sensibles fuera de la red empresarial.

No debería sorprenderce como una encuesta desarrollada de la sociedad Code42 había relevado que el 63% de los empleados que admiten haber llevado los datos de un previo trabajo en uno nuevo sean reincidentes. Y estos son solo los que han admitido el hecho.

Frecuentemente las personas que se apropian de datos sensibles no creen de estar equivocados y no actúan con intención “criminal”. Porque Insider Threats son de verdad “nefastas”.

Algunos de ellos creen simplemente de tener el poseso de “derecho” de su trabajo desarrollado en una particular organización – sino también en realidad es parte de su empresario – y ex filtran las informaciones con el objetivo de llevarlas fuera sintiéndose autorizados a hacerlo.

Es necesario un marco completo de la actividad de los empleados para determinar si cualquiera de ellos es de verdad un insider malintencionado, pero están algunos señales claros que pueden indicar al team de seguridad actividades sospechosas.

Una táctica común es aquella de modificar las extensiones de los files para que aparezca un file como una imagen o una canción, en el intento de evitar la revelación por parte de sistemas de seguridad y transferir los documentos empresariales a un account personal.

La exfiltración de files en diferentes formatos, o sobre todo en grandes cantidades, podría indicar un insider threat.

También aquellas personas que trabajan fuera del horario laboral son históricamente indicadas como claro indicador de actividad de insider. Paradigma que sigue vigente, desde un cierto punto de vista.

¿El indicador de riesgo 1?
Cuando alguien da el preaviso. Una persona que renuncia solitamente ha dejado los datos que quería una semana antes.

Y una vez que deja su puesto, la mayor parte de su ex empresarios no lo alcanzan más.

Los datos de Code42 muestran que el 87% de los empleados dicen que las empresas no han verificado si habían tomado los datos cuando han dejado la empresa.

Cómo contener el fenómeno – contener el fenómeno así complejo podría ser complejo también , dada la naturaleza tecnológica, pero sobre todo humana del problema. Estos son los steps para asegurarse la máxima resilience:

Risk Assessment periódicos – es fuertemente aconsejado llevar a cabo una profunda actividad de risks assessment: incluido vulnerability assessment, penetration test y network scan.

Security awareness formación para todos los empleados – Todos los empleados de una organización tienen que comprender que las políticas y las proceduras de seguridad existen y que es una buena razón por la cual existen. Tienen que ser aplicadas y que pueden llevar a graves consecuencias si se violan.

Control de comportamientos y acciones potencialmente sospechosas – Además de controlar las acciones en línea, las organizaciones tendrían que controlar atentamente otros comportamientos sospechosos o de molestia por parte de los empleados en el puesto de trabajo. Políticas y proceduras tendrían que estar en vigor para que los empleados puedan señalar comportamientos cuando los observan en los colegas, con el necesario follow-up por parte de la dirección.

Terminar inmediatamente cada acceso cuando se cierra una relación laboral – Cuando se termina una relación laboral, que las circunstancias sean favorables o no, es importante que la organización disponga de una estricta procedura de cesación de la relación laboral que desactiva todos los puntos de acceso del empleado a las sedes físicas, las redes, los sistemas, las aplicaciones y a los datos de la organización.

Recoger y salvar los datos para el uso en las investigaciones – En caso de ataque por parte de un insider, es importante que la organización tenga en mano las pruebas para identificar el insider, que tienen que ser recogidas en la normativa sobre la protección de datos personales.

Como siempre el lema sigue siendo: ¡No bajemos la guardia! FUENTE: FEDERPRIVACY