Las amenazas internas en seguridad provocadas de forma intencionada son la principal prioridad de las empresas, que olvidan que los incidentes involuntarios son más frecuentes y causan mayores daños económicos en las organizaciones.
Esto es lo que se desprende de un nuevo estudio de IDC patrocinado por RSA, la división de seguridad de EMC, donde también se destaca el desconocimiento de los asuntos relativos a la seguridad empresarial por gran parte de los directores de las compañías.
Según el estudio, los directivos suelen priorizar el protegerse contra los ataques internos malintencionados en vez de invertir para prevenir los cada vez más frecuentes y dañinos incidentes internos fortuitos que afectan a la seguridad de la compañía.
El nuevo documento de investigación de IDC, «Insider Risk Management: A Framework Approach to Internal Security» , subraya las potenciales amenazas a las que una organización está expuesta por sus trabajadores, al tener éstos acceso tanto a los sistemas críticos como a la información privilegiada. Mientras los empleados originan riesgos en la seguridad de la información dentro de su compañía, las amenazas externas a menudo eclipsan la importancia de protegerse contra los riesgos internos.
Este nuevo estudio revela, por tanto, una descoordinación de los máximos responsables en materia de seguridad frente al cada vez mayor número de infracciones internas y la amenaza que representa para el centro neurálgico de una compañía las rupturas fortuitas en seguridad, el acceso inapropiado a los datos y el mal uso de la información por parte de los empleados.
Entre los responsables de TI de Europa y Estados Unidos que participaron en el estudio, la mayoría indicó que no tenían claro las fuentes y las intenciones de estos riesgos internos y que estaban luchando por cuantificar las posibles consecuencias financieras. El 52% de las organizaciones encuestadas calificaba sus amenazas internas en seguridad como accidentales, sólo el 19% cree que son intencionadas y el 26% restante piensa que pueden darse ambos casos, mientras que un 3% se mostraban indecisos. Sin embargo, ante la pregunta de que clasificaran sus principales amenazas, casi el 82% de los encuestados dudaban si los incidentes en el área de seguridad provenientes de su personal eran accidentales o intencionados.
Los directivos confían en sus trabajadores
«Los responsables ven su relación con sus trabajadores como una unión de confianza y reconocen que su plantilla es su mayor activo«, afirmó Chris Christiansen, program VP, security products de IDC. «Pero la enorme naturaleza de la infraestructura de una organización junto con empleados dispersos por todo el mundo y una mezcla compleja de trabajadores internos, consultores, partners y personal subcontratado, provocan que los riesgos originados por este personal interno sean actualmente el mayor reto en materia de seguridad al que se enfrenta una compañía. Independientemente de si el riesgo es intencionado o no, el riesgo es real«, añadió.
Este estudio también indica el volumen de los incidentes internos que las organizaciones están experimentando. En los pasados 12 meses, los 400 directores que respondieron al estudio admitieron 6.330 incidentes de pérdida de datos involuntaria mediante negligencias de los propios trabajadores, 5.907 ataques de malware/spyware dentro de la empresa, y 5.831 incidentes creados por privilegios excesivos y/o derechos de control de accesos. En total, el número de incidentes fue de 58.097 en un año.
