Una historia de fantasmas: la inquietante presencia de un ex empleado

Desde la contratación de los empleados más talentosos hasta garantizar que las cuentas estén en orden y proporcionar al personal las últimas innovaciones tecnológicas, las empresas de todo el mundo trabajan incansablemente todos los días para luchar por el éxito. Sin embargo, al acecho detrás de cada política, mejor práctica y directriz, hay un mundo que a menudo se descuida. ¿Qué pasa cuando alguien deja la empresa? Por supuesto, en un mundo ideal, las empresas contratan a un sustituto capaz, atan los cabos sueltos de un proyecto en el que estaban trabajando anteriormente y, por supuesto, organizan una fiesta de despedida para asegurarse de que tanto el empleado como la empresa puedan separarse de la mejor manera posible. condiciones. Lamentablemente, no vivimos en un mundo ideal y, en ocasiones, la partida de un empleado no es tan clara y puede causar problemas meses después de haber dejado la empresa. Esto plantea la pregunta: ¿las organizaciones están haciendo todo lo posible para asegurarse de que un futuro ex (empleado) no salga por la puerta con acceso a todo lo que la empresa aprecia?
Los ex empleados no siempre son tus amigos
Todos hemos visto las acciones enormemente dañinas que los ex empleados pueden infligir a las empresas. Un ejemplo de ello es una enorme violación de datos experimentada por OFCOM^[1], cuando descubrieron que un antiguo empleado había descargado y compartido datos de más de seis años con su nuevo empleador, que resultó ser una importante emisora. Afortunadamente para OFCOM, la emisora ​​en cuestión decidió no explotar los datos y alertó a OFCOM sobre la información robada. Sorprendentemente, la última investigación de OneLogin muestra que a pesar de la amenaza de los ex empleados, más de la mitad (58 por ciento) todavía tiene acceso a la red corporativa una vez que han dejado una organización y casi una cuarta parte de las empresas (24 por ciento) experimentan datos incumplimientos debidos a la actuación de ex-empleados. La violación de datos de OFCOM podría haber sido catastrófica si hubiera sido utilizada por un competidor, sin mencionar el daño potencial a la reputación de la marca. De manera similar, las empresas también deben considerar que cuando el Reglamento General de Protección de Datos (GDPR) de la Unión Europea entre en vigencia en 2018, las empresas del Reino Unido podrían enfrentar una multa de hasta el 2% de sus ingresos mundiales anuales, o 10 millones de euros, lo que sea mayor.^[2], suficiente para dejar una organización con dificultades financieras. Por supuesto, hay escenarios en los que las organizaciones no han tenido tanta suerte como OFCOM.
De hecho, Marriott Hotels experimentó toda la fuerza de un ex empleado descontento en 2016. Según documentos judiciales^[3], un ex empleado de Marriott fue despedido de la empresa en agosto de 2016 y se le dijo que no tuviera acceso a los sistemas internos de la empresa. Sin embargo, a pesar de esta advertencia, el ex empleado accedió al sistema de reservaciones de Marriott desde la comodidad de su hogar, reduciendo drásticamente las tarifas de las habitaciones de $ 159- $ 499 a $ 12- $ 59. Esta infracción en particular le costó a Marriott $ 50,000. Sin embargo, Mariott no es la única organización que se ha dejado abierta a ex empleados descontentos. De hecho, el 28 por ciento de las cuentas de antiguos empleados permanecen activas durante más de un mes.
RR.HH. y TI deben colaborar y asumir la responsabilidad
La palabra de un ex empleado no es suficiente. RR.HH. y TI deben trabajar juntos para evitar situaciones como esta y no tiene por qué ser difícil ni requiere mucho tiempo. Los procesos automatizados se pueden utilizar para desaprovisionar todo el acceso a las cuentas corporativas en cuestión de minutos después de que se rescinda el contrato de un empleado para proteger datos corporativos valiosos. Hay herramientas disponibles para garantizar que una vez que un empleado haya cerrado la sesión por última vez, quede bloqueado a partir de ese momento. La investigación de OneLogin reveló que solo la mitad de las empresas del Reino Unido utilizan tecnología de desaprovisionamiento automatizado para garantizar que esto suceda. Además, el 45 por ciento de las empresas no utilizan un administrador de seguridad e información (SIEM) para verificar el uso de aplicaciones por parte de ex empleados, lo que deja los datos corporativos vitales expuestos a posibles fugas. Las empresas revocan los medios de los ex empleados para ingresar físicamente a la oficina, por lo que es esencial que su acceso digital también se revoque a la salida.
Apégate a la solución
Es fundamental que las empresas se despierten y reconozcan que los ex empleados que explotan el acceso corporativo es un problema y sí, le puede pasar a cualquier empresa. Claramente, no es suficiente confiar en la buena voluntad de los ex empleados, por muy confiables que parezcan. Con tanto en juego, ¿están las organizaciones realmente dispuestas a dejar en sus manos la clave de los activos más preciados de la empresa? Francamente, no hay razón para hacerlo.
Algunos empleados que abandonan una organización no tienen mucha lealtad con su empleador anterior, sin importar cuán amigable haya sido su partida, lo que significa que los riesgos de seguridad son muy probables. Por lo tanto, es imperativo que desaprovisionar el acceso corporativo de los empleados en su último día sea una prioridad absoluta. Las empresas deben utilizar las herramientas adecuadas para garantizar que esto suceda. Éstos incluyen:

• Sincronización automatizada de directorios de recursos humanos como Workday, UltiPro y Namely, que son la fuente de la verdad sobre el estado de los empleados, y directorios de TI como Active Directory y LDAP, que a menudo controlan el acceso a las aplicaciones.
• Desaprovisionamiento automatizado de empleados de aplicaciones que tienen una interfaz de programación de aplicaciones (API) para la gestión de usuarios. La mayoría de las aplicaciones de «derecho de nacimiento» que se utilizan ampliamente en empresas, como Office365 y G Suite, tienen estas API.
• Generación automática de listas de verificación para administradores de TI, para garantizar que desaprovisionen manualmente a todos los ex empleados de todas las aplicaciones. La mayoría de las aplicaciones aún no tienen una API de desaprovisionamiento automatizada y requieren la intervención manual de TI.
• Se envían eventos de acceso a aplicaciones a los sistemas SIEM para verificar que ningún ex empleado esté accediendo a las aplicaciones.

TI y RR.HH. pueden trabajar en colaboración para desaprovisionar completamente a todos los empleados. Si estos pasos se llevan a cabo correctamente, una empresa puede estar segura sabiendo que se han tomado medidas de precaución para proteger los datos confidenciales de un empleado que se va.

^{Alvaro Hoyos, CISO de OneLogin}