Las amenazas internas y el desafío que plantea el trabajo remoto

A casi dos años después de comenzada la pandemia de COVID-19, muchos empleados continúan trabajando en forma remota. Si bien trabajar desde casa trae aparejados muchos aspectos positivos, también deben considerarse algunos aspectos negativos en juego, ya que algunas herramientas y conexiones que los empleados usan en sus entornos de trabajo virtual pueden convertirse en una amenaza interna.

Es sabido que, las amenazas internas, un riesgo de seguridad que proviene del seno de la organización, plantea un problema importante para las empresas. Esto se debe en parte al uso generalizado de las redes sociales, las plataformas de comunicación encriptadas y otras herramientas. Ahora más que nunca las amenazas internas necesitan ser prevenidas, identificadas y neutralizadas.

Cuando las políticas y protocolos de distanciamiento social comenzaron a mantener a las personas separadas, muchos recurrieron a las redes sociales para mantenerse conectados. Si bien como herramienta las redes sociales son altamente útiles para que las personas se sientan más conectadas, estas plataformas también se han convertido en un punto de acceso hacia adentro de la organización porque permiten propagar información confidencial como así también fomentar la desinformación.

Un ejemplo de potencial amenaza interna puede estar dado por el caso de un empleado, activo en las redes sociales, con acceso a información confidencial, que carece de supervisión en su trabajo diario y que trabaja en forma remota. 

Una razón por la cual determinados empleados pueden actuar en contra de su propia organización está dada por la aparición de apremios financieros, comunes en el marco de la pandemia. Otra razón podría ser el descontento: ciertos empleados con acceso a información privilegiada pueden guardar rencor porque no obtuvieron un ascenso laboral, no se les aplicó una calificación de desempeño satisfactoria o pueden estar próximos a jubilarse. Si bien uno solo de estos factores no debería obrar como desencadenante de una situación irregular, cualquier combinación de estos junto con un cambio en la conducta del empleado debería servir como una “red flag” para estar atentos.

Otro desafío se relaciona directamente con la supervisión algo limitada de los empleados que trabajan de forma remota. En esta situación, identificar a personas con información privilegiada potencialmente maliciosa es más difícil, en gran parte porque las interacciones cara a cara son limitadas. 

La empresa debería asegurarse entonces que sus empleados sean conscientes de los riesgos a partir de:

• Garantizar que sus dispositivos, tanto los de propiedad de la compañía como los personales usados con fines laborales, estén seguros en todo momento.
• Comprender que enviar información confidencial a una ubicación no segura en la nube expone a la organización a riesgos serios de seguridad.
• Cumplir con las políticas de seguridad, y evitar infringirlas con la excusa de simplificar las tareas.
• Asegurarse que sus dispositivos estén actualizados con los últimos parches de seguridad.

Una falla en cualquiera de estas áreas puede producir un entorno propicio para la actividad interna maliciosa.

La amenaza interna es una amenaza organizacional y, por lo tanto, debe abordarse desde una perspectiva holística. Un equipo de trabajo multidisciplinario (donde participen las áreas de Legales, Recursos Humanos, Comunicaciones, Sistemas, Compliance, etc.) puede servir para abordar tales amenazas. Una alternativa es realizar una evaluación de riesgos de los procesos de seguridad de la empresa o una evaluación de amenazas para las personas o activos de la empresa. Toda organización posee algún nivel de vulnerabilidad, por lo cual resulta primordial identificar los activos, la información y los sistemas más críticos, identificar a las personas que tienen acceso a ellos e implementar controles a ese entorno para proporcionar mayor seguridad.  

Por otro lado, un programa de capacitación actualizado puede ayudar al personal y la alta gerencia a identificar patrones de conducta anómalos. También se debería contar con una línea de denuncias anónima y confidencial que permita que los empleados reporten inconductas o acciones irregulares por parte de otro colega. Esa información se manejará discretamente -para proteger al denunciante y evitar posibles represalias- y, de ser necesario, se actuará en consecuencia para investigar el asunto.

Es importante comprender los desafíos que plantea el trabajo remoto. El trabajo virtual nos expone a un entorno de riesgos de seguridad para las empresas en el cual los empleados que normalmente no participarían en amenazas internas se vuelven más vulnerables a ellas. A través de las nuevas tecnologías, aquellos que buscan dañar a una organización o sacar provecho de la misma están buscando nuevas oportunidades para atacar.

Es responsabilidad de la alta gerencia tomar medidas proactivas para garantizar que los empleados sean conscientes de la posibilidad de amenazas internas y de la seriedad con la cual la alta gerencia observa el asunto. Y es responsabilidad de todos los actores de una organización permanecer alertas.

En G5 Integritas podemos ayudarle a confeccionar una evaluación de riesgos de los procesos de seguridad de la empresa –a la medida de sus necesidades– que incluya un análisis de potenciales amenazas para las personas o activos de la misma. Para más información, nos pueden contactar a: www.g5integritasLatam.com