Abordar las amenazas de terceros

En el entorno empresarial actual, no es raro que las organizaciones subcontraten algunas o todas sus capacidades de TI a contratistas externos. Es cierto que esto tiene muchos beneficios, la subcontratación puede ahorrar dinero que las organizaciones normalmente gastarían en empleados de tiempo completo, por lo que no es de extrañar que esta práctica esté tan extendida.
Sin embargo, a menudo se pasan por alto como una amenaza potencial, a pesar de que se les concede acceso a una gran proporción de los sistemas críticos y datos confidenciales de su empleador. Al contratar empleados temporales, está confiando implícitamente a una parte externa con información confidencial, que estaría fuera del alcance de la mayoría de los empleados permanentes.
A raíz de las recientes violaciones de datos de terceros de alto perfil, como la Incumplimiento de la Agencia de Transporte de Suecia y la violación de Time Warner Cable, terceros están comenzando a implementar tecnología de monitoreo de usuarios para monitorear sus propias actividades. Con el aumento de empleados externos, las organizaciones también están implementando estas herramientas para monitorear la actividad en sus redes. Estas herramientas facilitan una mayor visibilidad y transparencia para determinar en tiempo real quién accede a qué archivos, lo que le da al empleador la capacidad de monitorear exactamente lo que está sucediendo dentro de su red.
Conozca los riesgos.
Las organizaciones de todas las verticales se enfrentan al problema de las «amenazas internas». Al otorgar acceso y responsabilidad a los contratistas de TI externos, las empresas posiblemente se expongan a un mayor riesgo, ya que esto puede comprometer los controles de protección y aumentar el número de terceros con los mismos privilegios y derechos de acceso que los empleados.
Las cuentas y contraseñas administrativas compartidas también pueden plantear grandes riesgos. A menudo ocurre que los empleados de TI de terceros comparten una cuenta genérica de autónomo. Esto da como resultado que las organizaciones no puedan decir quién es responsable de qué dentro de su sistema.
Además, las cuentas privilegiadas utilizadas por contratistas externos a menudo pueden resultar un objetivo mucho más lucrativo para los ciberdelincuentes, en comparación con los empleados a tiempo completo. Esta tendencia no muestra signos de desaceleración, ya que algunas de las infracciones más graves en los últimos años se han producido a través de proveedores externos. A principios de septiembre de este año, se supo que los hackers habían comprometido a miles de archivos que contienen la información personal y la experiencia de los estadounidenses con autorizaciones de seguridad clasificados y hasta de alto secreto. Los registros fueron expuestos por un servidor de Amazon no seguro supuestamente por una empresa de procesamiento de solicitudes de empleo de terceros.
Otra vulnerabilidad son los propios empleados. Si bien la mayoría de los empleados son completamente confiables, solo uno tiene que decidir ser deshonesto para comprometer a toda una organización. Todas las organizaciones tienen datos que tienen valor monetario, ya sea un nuevo diseño de producto o las credenciales del cliente, este tipo de datos puede generar ganancias en la web oscura. Un ejemplo reciente de esto es el brecha en la tienda de juegos del Reino Unido, CEX, que vio a los piratas informáticos robar datos de clientes y luego venderlos en la web oscura.
La amenaza interna no siempre es maliciosa. A veces, es simplemente el caso de que el personal no está lo suficientemente capacitado para comprender los riesgos que surgen en su función diaria. Un administrador de sistema sin experiencia o distraído puede cometer un error de configuración que puede resultar en interrupciones del servicio o pérdida de datos, lo que lleva a la pérdida de ingresos y mayores costos.
Combatir las amenazas a la seguridad
Con amenazas que provienen tanto de fuentes maliciosas como no intencionales, puede parecer imposible que una organización proteja sus datos confidenciales de cualquier compromiso. Para aliviar estos riesgos, las empresas deben desarrollar salvaguardas, así como integrar soluciones de monitoreo de actividad para realizar un seguimiento de las actividades realizadas por contratistas externos. Cuando una amenaza interna ya está dentro del perímetro, ya no es suficiente tener instalados firewalls y aplicaciones estándar para proteger una organización.
La adopción de un enfoque holístico de la seguridad de TI puede reducir el riesgo de comprometer los datos. Una forma en que las organizaciones están haciendo esto es mediante la implementación de herramientas de monitoreo de seguridad que permiten examinar los patrones de comportamiento de los usuarios. La huella tecnológica de un usuario se puede crear analizando cómo interactúan con los sistemas de TI. Entonces, cuando un usuario inicia sesión en sus aplicaciones, realiza sus tareas diarias y accede a datos similares, se puede crear un perfil para él. Estos perfiles se «aprenden» y luego se pueden comparar con las actividades en tiempo real de un usuario para detectar irregularidades y anomalías. Una vez que se han detectado, se pueden tomar medidas para remediar la actividad maliciosa o para investigar un evento específico con más detalle.
El comportamiento interno malicioso es fácil de detectar en comparación con el comportamiento normal de los empleados. Por ejemplo, si un contratista que renunció planea robar datos de la empresa, las herramientas de monitoreo en tiempo real pueden ayudar a la organización a detectar rápidamente la actividad anormal. La tecnología alertará automáticamente al equipo de seguridad para que pueda comenzar la investigación del incidente. Esto le permite a TI enfocar sus recursos de seguridad y priorizar los eventos más urgentes, así como reemplazar los controles para facilitar la eficiencia empresarial.
No se limita a identificar la actividad maliciosa en un sistema, una organización debe estar preparada para reaccionar ante la actividad maliciosa, a fin de reducir el tiempo que tiene un atacante antes de que se implementen las medidas de reparación. Antes de que tenga lugar un ataque importante, normalmente hay un período de exploración del objetivo y la fuerza de sus operaciones de seguridad. La rapidez de detección y respuesta a esta etapa de un ataque es fundamental para evitar que ocurra un ataque a gran escala.
Dado que el uso de contratistas externos no muestra signos de desaceleración, las amenazas planteadas por personas internas malintencionadas también seguirán aumentando. Con el software de seguridad adecuado para monitorear de manera efectiva la actividad de terceros, no tiene por qué ser así. Con estas herramientas, es posible mitigar los riesgos de permitir el acceso a datos sensibles a terceros, así como cumplir con las regulaciones que requieren un monitoreo preciso del acceso a los datos.

Por Csaba Krasznay, evangelista de seguridad, Balabit.