Recursos Humanos RRHH Press. No hay nada que dé más miedo a un Chief Information Security Officer (CISO), o director de seguridad de la información, que mencionar la temida 'amenaza interna'. En parte, se debe a que gestionar riesgos de manera efectiva en este área es complejo y supone una estrecha cooperación con departamentos adyacentes, como Recursos Humanos.
Y aun así, no hay nada que detenga a un empleado con malas intenciones. Bueno, los eventos de la contrata Wipro en el gigante de las telecomunicaciones TalkTalk nos han enseñado hace poco que hay algo más que añadir a esto: 'la amenaza de empleados maliciosos subcontratados'.
Fue el proveedor de servicios del Reino Unido quien fue descubierto en esta ocasión, cuando una auditoría de seguridad descubrió que tres empleados de Wipro habían estado robando información de clientes, a los que se estaba estafando. Pero existe tan poca visibilidad en la seguridad de terceros que esto podría ser solo la punta del iceberg.
Propios y externos
Hemos estado hablando de las amenazas internas y de cómo combatirlas durante años. Pero, ¿cuántos CISO ponen en marcha los mismos controles para minimizar el riesgo de los empleados subcontratados? Muchos todavía dependen de contratos que pueden haber sido elaborados por sus predecesores, o, al menos, no han sido revisados durante meses o años, y confían en que, por la 'relación' que tienen con sus proveedores, nada va a salir mal. Es fundamental un enfoque más riguroso y sistemático.
¿Por qué? En parte se debe a que los empleados que trabajan para los proveedores de outsourcing no comparten los mismos lazos emocionales o culturales con la empresa que podría hacerles pensar dos veces ante una situación de robo de datos confidenciales.
Otro riesgo es que los externos malintencionados utilizan servicios de terceros como una manera de infiltrarse en la empresa, la clásica técnica de saltar de 'isla en isla', que es, quizá, más familiar cuando se habla de malware. La idea es encontrar el punto débil de una empresa.
Así fue como el distribuidor estadounidense, Target, fue hackeado, no directamente, sino a través de contratos de terceros con nivel de seguridad muy inferior, por lo que los externos pudieron sobornar a los empleados en las empresas de outsourcing, o, incluso, contratar a su propio personal.
Si los controles de seguridad e investigación del proveedor de personal son demasiado fuertes, pueden encontrar otro que no lo sea tanto.
La responsabilidad no es mía
Entonces, ¿cómo bloquear el riesgo de terceros? Con toda seguridad, no existe la fórmula mágica, aunque se debería empezar por los responsables de TI, quienes deben sentarse con sus homólogos de contratación y legal para asegurarse de que seleccionan al proveedor de outsourcing más adecuado.
También recomendamos revisar los contratos una vez al año, a menos que haya cambios importantes, tales como fusiones y adquisiciones entre los proveedores.
En cuanto a los contratos existentes, es importante dar prioridad a terceros basándose en el riesgo; por ejemplo, ¿a qué tipo de datos pueden acceder?, ¿para qué y en qué volumen? A continuación, se debe evaluar su situación de seguridad. ¿Qué tecnologías y políticas aplican? Por supuesto, las amenazas internas nunca pueden ser totalmente neutralizadas por la tecnología, pero sin duda se puede reducir su riesgo.
Observe cómo sus proveedores tratan a su personal. ¿Existe una buena cultura empresarial? ¿Está el personal informado periódicamente de la importancia de la seguridad de los datos y las repercusiones en caso de que se produzca una manipulación o robo de información sensible? ¿Tienen buenos salarios y condiciones? ¿Hay factores que pueden hacer que el robo de datos sea más probable?
Entre las cosas que usted podría obligar se incluyen el comportamiento del personal y la supervisión del rendimiento. Mediante la elaboración de una guía de comportamiento 'normal' -por ejemplo, acceder y modificar 100 registros de clientes por día-, los administradores pueden detectar más fácilmente las anomalías que podrían indicar una violación.
La verdad es que es su responsabilidad. Nadie va a recordar el nombre de la empresa de outsourcing cuyos empleados robaron los datos de sus clientes. Y con el Reglamento General de Protección de Datos de la Unión Europea (GDPR UE), habrá aún más presión sobre usted para gestionar ese riesgo con eficacia. No hacerlo podría significar una multa de hasta el 4% de la facturación anual.
Así que, asegúrese de que sus contratos establecen claramente lo que usted espera que sus proveedores hagan para minimizar el riesgo de una violación producida por un trabajador subcontratado. Y lo más importante, comuníqueles claramente lo que les sucederá si no se acatan sus medidas.
Sin una notificación de brecha de datos obligatoria -otro cambio positivo que pronto se espera en la GDPR UE-, no podemos conocer la magnitud de la amenaza interna. De hecho, lo más probable es que los proveedores ni siquiera lo sepan, o, incluso, sean cómplices de mantener la situación actual.
Pero, a medida que el marco regulatorio evolucione, no habrá lugar para esconderse. Así que empiece a tomar medidas para revisar sus relaciones con los proveedores, convirtiendo esto en una prioridad.
Raimund Genes, CTO de Trend Micro
