Panorama#
Los dos capítulos anteriores establecieron la gobernanza en abstracto: el marco de resultados y la función que fija apetito, política y autoridad. Este capítulo la lleva al terreno donde deja de ser abstracta y se vuelve el único control que queda: la amenaza interna (insider threat). Es el caso elegido para cerrar la Parte no por exótico sino por lo contrario —es el que mejor demuestra la tesis del capítulo que abrió P7: que la seguridad, en el límite, es un problema de organización antes que de tecnología—.
La razón es estructural. Todo el aparato defensivo que las Partes anteriores construyeron —perímetro, detección de intrusión, hardening, control de acceso— presupone un adversario que está afuera y quiere entrar. El insider invierte esa presunción: ya tiene acceso legítimo. Sus credenciales son válidas, su equipo está administrado, sus horarios son los normales, y los datos que toca son los que su rol le permite tocar. No hay una puerta que forzar porque tiene la llave. Contra ese adversario, casi ninguna de las técnicas de detección basadas en firmas o en anomalías de intrusión sirve, porque no hay intrusión: hay un uso legítimo de un acceso legítimo que en algún momento se tuerce hacia un fin que la organización no autorizó. La detección del insider —lo desarrolló la Parte 5— es por eso el escenario que no tiene indicadores de compromiso y descansa enteramente sobre el comportamiento. Este capítulo no rehace esa detección técnica; toma el problema desde arriba, desde la pregunta de gobernanza que la hace posible: ¿cómo se gestiona un riesgo que no se puede eliminar y que además nace de la propia gente en la que la organización tiene que confiar para funcionar?
La respuesta del CERT —el equipo del Software Engineering Institute de Carnegie Mellon que publica la guía de referencia sobre el tema— es que no se elimina, se gestiona con un programa. Y un programa, no un producto ni un equipo: una estructura deliberada, multidisciplinaria y basada en evidencia. La tesis del capítulo se sigue de la naturaleza del adversario: como el insider no se frena en un perímetro que ya cruzó legítimamente, los dos controles que de verdad rinden son el least privilege —limitar lo que cada acceso legítimo alcanza, de modo que un abuso llegue lo menos lejos posible— y la correlación de señales entre dominios que ninguna área ve completa sola. El área de IT ve una descarga masiva pero no sabe que ese empleado presentó su renuncia ayer; recursos humanos sabe de la renuncia pero no ve la descarga; legal conoce una disputa salarial que a ninguno de los dos le consta. La señal de riesgo solo existe cuando esos fragmentos se juntan, y juntarlos es una función organizativa, no técnica.
Los seis arquetipos y el ciclo de vida como eje temporal#
El CERT clasifica los incidentes de amenaza interna en seis arquetipos, y conocerlos importa porque cada uno tiene un perfil de motivación, de activo objetivo y de momento distinto:
- Sabotaje de IT (IT sabotage): un empleado con credenciales técnicas borra, altera o interrumpe sistemas vitales, casi siempre como venganza por un agravio percibido. Es el arquetipo del administrador o desarrollador descontento —el que cifra el código fuente y borra la copia base antes de irse—.
- Robo de propiedad intelectual (theft of IP): la sustracción de código propietario, secretos industriales o datos de investigación, típicamente para llevárselos a un competidor o a un emprendimiento propio. El investigador que descarga quince mil documentos en las semanas previas a renunciar es el caso testigo.
- Fraude: el uso de un acceso legítimo —contable, financiero, administrativo— para el beneficio económico personal, manipulando registros para ocultarlo.
- Espionaje: la exfiltración de información en beneficio de un tercero, con frecuencia un estado o un competidor, a veces con el insider reclutado o coaccionado desde afuera.
- Amenaza no intencional (unintentional insider threat): la exposición de información sin dolo, por negligencia o error —el empleado que cae en un phishing, que envía datos al destinatario equivocado, que deja un repositorio abierto—. No hay malicia, pero el daño es real, y es el arquetipo más frecuente de todos.
- Uso indebido: el abuso de recursos o accesos fuera de lo autorizado sin encajar limpiamente en las categorías anteriores.
El dato empírico que ordena la respuesta a todos ellos es que los desencadenantes más frecuentes de los incidentes maliciosos son el despido y la renuncia. El empleado que va a irse —o que acaba de enterarse de que lo van a echar— es el que sabotea, el que roba la propiedad intelectual, el que cobra la última factura de un resentimiento. Eso convierte el ciclo de vida del empleado en el eje temporal del programa: el riesgo no es constante, se concentra en momentos identificables —la contratación (¿qué trae esta persona?), el empleo (¿cómo evoluciona su relación con la organización?) y sobre todo la terminación (el momento de máximo riesgo empírico)—. Un programa que trata a todos los empleados igual todo el tiempo malgasta atención; uno que la concentra donde el ciclo de vida la concentra es el que llega a tiempo. Ese eje temporal atraviesa toda la Parte y se cierra en 7.4 con los controles de deprovisionamiento.
flowchart TB IT["IT / Seguridad\ndescarga masiva, acceso a repositorio inusual,\nlogin fuera de horario"] HR["Recursos Humanos\nrenuncia presentada, evaluación negativa,\ncambio en la situación laboral"] LG["Legal\ndisputa salarial, acuerdo de confidencialidad,\nrestricción por investigación"] FIS["Seguridad Física\nacceso al edificio fuera de horario,\nintento de sacar material"] IT --> IRMP HR --> IRMP LG --> IRMP FIS --> IRMP IRMP["IRMP — comité multidisciplinario\ncorrelaciona lo que ninguna área ve sola\n(evalúa el riesgo, protege la privacidad del investigado)"] IRMP --> RIESGO["señal de riesgo\n= la suma, no cualquier fragmento aislado"]
IRMP: gestión de riesgo, no vigilancia#
El nombre que el CERT da al programa es deliberado: Insider Risk Management Program (IRMP), no «programa de amenaza interna». La diferencia de palabra marca una diferencia de enfoque que es central. Un «programa de amenaza interna» sugiere vigilancia —tratar a cada empleado como un sospechoso— y ese encuadre es a la vez éticamente problemático y operativamente contraproducente: un entorno donde el personal se siente vigilado es un entorno de desconfianza, y la desconfianza es precisamente uno de los factores que eleva el riesgo que se pretende reducir. Un programa de gestión de riesgo interno, en cambio, trata al insider como se trata cualquier otro riesgo empresarial: se evalúa su probabilidad y su impacto, se decide cuánto se tolera, se implementan controles proporcionados y se aceptan con dueño los residuos. Es el mismo lenguaje de riesgo que la función GOVERN de 7.2 aplica a todo lo demás, aplicado ahora a las personas.
Esa distinción tiene una consecuencia práctica inmediata: como es gestión de riesgo, el objetivo no es la prevención total —el CERT es explícito en que la amenaza interna no se puede prevenir al cien por ciento— sino alcanzar un nivel de riesgo aceptable y mantener la resiliencia operativa para el caso en que un incidente se materialice. Un programa que se vende como capaz de eliminar el riesgo del insider está prometiendo lo imposible, y prometer lo imposible es la forma más rápida de perder el mandato cuando el incidente inevitable ocurra. El programa maduro no promete que no pasará; promete que si pasa se verá, se contendrá y se aprenderá.
BP1 — Los activos críticos primero: no se protege lo que no se inventarió#
La primera práctica del CERT es la más básica y la que más se salta: conocer y priorizar los activos críticos. La función más elemental de un IRMP, dice la guía, es proteger los activos que le dan a la organización su ventaja competitiva, y no se puede proteger lo que no se sabe que se tiene. El inventario abarca más que sistemas: personas, información, infraestructura física y plataformas tecnológicas, priorizadas según su impacto operativo y su costo de recuperación. Es exactamente el mismo inventario que la gestión de exposición de 6.5 construye para la superficie de ataque externa, aplicado ahora a una pregunta distinta: no «qué atacaría alguien de afuera» sino «qué se llevaría, sabotearía o defraudaría alguien de adentro». Las dos preguntas seleccionan activos en parte distintos —el insider apunta a la propiedad intelectual, a los registros financieros, a los sistemas cuya interrupción paraliza el negocio, no necesariamente a lo que un escáner externo marca como vulnerable—, y por eso el inventario del IRMP no es un subconjunto del de exposición sino una relectura de la misma base desde otra amenaza.
La guía señala un punto ciego recurrente: la propiedad intelectual recibe atención insuficiente frente a la exfiltración por usuarios con permisos válidos, precisamente porque los controles pensados para el atacante externo no la contemplan como objetivo. El código, los diseños, las fórmulas, las carteras de clientes son los activos que un competidor pagaría por tener y que un empleado que se va a esa competencia puede llevarse legítimamente accediendo, uno por uno, a cosas que su rol le permite ver. Inventariarlos y saber quién accede a ellos es la condición previa de cualquier control posterior.
BP2 — El programa formal: la estructura multidisciplinaria es el control#
La segunda práctica es establecer un programa formal, y es el punto de gobernanza más puro del capítulo. Un IRMP no es una responsabilidad que se le agrega al equipo de seguridad; es una estructura con patrocinio de la alta dirección —sin el cual carece de la autoridad para cruzar las fronteras departamentales que su trabajo exige— y con representación de múltiples dominios: IT y seguridad para las señales técnicas, recursos humanos para el contexto laboral, legal para el encuadre normativo, y con frecuencia seguridad física. Esa composición no es un adorno organizativo: es el control. La tesis del capítulo —que la señal de riesgo solo existe cuando se correlacionan fragmentos que ninguna área ve completa sola— se materializa en un comité que reúne a quienes tienen cada fragmento.
El diseño de ese comité tiene una tensión que hay que resolver explícitamente y que distingue un programa legítimo de uno abusivo: el comité analiza alertas de comportamiento protegiendo la privacidad del investigado. Las anomalías se evalúan de forma estrictamente confidencial, la reputación profesional de la persona bajo análisis se preserva mientras no haya una conclusión, y la inclusión obligatoria del asesor legal existe justamente para garantizar que el monitoreo respete la normativa de privacidad vigente. Un IRMP que no cuida esto no solo comete un abuso; se autodestruye jurídicamente, porque la evidencia recogida fuera de un marco legal defendible no sirve para sostener ninguna acción posterior. Es el mismo hueco que el ejercicio de crisis de 6.4 encontró en caliente —un caso de insider mal encuadrado en lo legal es un caso que no se puede sostener—, ahora resuelto en frío, como diseño del programa, que es donde corresponde resolverlo.
BP3 — Los controles administrativos: la consistencia es preventiva y es prueba#
La tercera práctica es definir los controles administrativos sin ambigüedad y aplicarlos con consistencia. Los controles administrativos son las reglas escritas que dictan el comportamiento permitido; su valor depende por completo de dos cosas que suelen fallar: que estén comunicados y comprendidos, y que se apliquen igual para todos.
La guía es contundente sobre lo que ocurre cuando esa consistencia falla, y el mecanismo es psicológico antes que técnico. Controles mal entendidos, no comunicados o aplicados de forma inconsistente generan resentimiento, y el resentimiento es uno de los principales motores del acto interno malicioso. El trato preferencial —la regla que se hace cumplir estrictamente a los subordinados y se pasa por alto para los favorecidos— produce una percepción de injusticia sistémica, y esa percepción de injusticia es lo que empuja a un empleado agraviado a cobrarse la cuenta saboteando la red o exfiltrando datos. Aplicar la política de forma pareja no es entonces solo una cuestión de equidad: es un control de seguridad preventivo, porque neutraliza uno de los factores que fabrican al insider malicioso en primer lugar. Es el eco exacto, en el plano de las personas, del principio que 7.2 enunció para la política en general —una política que no se aplica de forma consistente no gobierna nada—, con un agravante propio de este terreno.
La cultura como variable de control#
Los tres controles anteriores convergen en una idea que el resto del manual, centrado en lo técnico, no podía formular: la cultura organizacional es una variable de seguridad. Un ambiente laboral deteriorado —injusticia percibida, gestión errática, agravios sin resolver— eleva de forma medible el riesgo interno, porque la mayoría de los arquetipos maliciosos nacen de un agravio antes que de un plan. Esto tiene una implicación que invierte la intuición defensiva habitual: el control más temprano y más barato contra la amenaza interna no es un sensor ni una regla de UEBA, es un entorno laboral justo. Actúa antes de que haya nada técnico que detectar, en el terreno de la motivación y no en el del comportamiento ya desviado.
Esa observación es el puente a 7.4, que desarrolla los tres planos de control —humano, técnico y de ciclo de vida— y sostiene que el plano que el resto del manual no cubrió, el humano, es el que más rinde precisamente porque opera aguas arriba de todos los demás. Este capítulo dejó montado el programa —sus activos, su estructura, sus reglas—; el siguiente lo llena de controles concretos.
Cierre#
La amenaza interna es el examen final de la gobernanza porque es el problema que ningún control técnico resuelve solo. El adversario ya está adentro, con acceso legítimo, y las únicas defensas que rinden son organizativas: limitar lo que cada acceso alcanza, correlacionar señales que viven en departamentos distintos, aplicar las reglas de forma pareja, y cuidar la cultura que fabrica —o desactiva— el resentimiento del que nace el acto. Nada de eso se compra; todo eso se gobierna. El IRMP es la forma que la gobernanza toma cuando el riesgo es la propia gente: un programa que no promete eliminar la amenaza sino gestionarla con estructura, evidencia y proporcionalidad, cuidando en el mismo movimiento la privacidad y los derechos de las personas a las que vigila, porque un programa que descuida eso se cae por su propio peso jurídico antes de servir de nada.
El capítulo 7.4 cierra la Parte bajando de este marco a las veintidós prácticas concretas del CERT, organizadas en los tres planos de control, y remitiendo su dimensión técnica a la Parte 5 —la detección de exfiltración— y a la Parte 4 —el control de cuentas privilegiadas— sin rehacerlas, porque el aporte de la gobernanza no es la técnica sino la política que la ordena.
Referencias#
blue-dfir/cert-insider-threats/cap-01— CERT Common Sense Guide to Mitigating Insider Threats (Software Engineering Institute, Carnegie Mellon): el paradigma sociotécnico y la definición de insider threat como el potencial de un individuo con acceso autorizado a los activos críticos para afectar negativamente a la organización, maliciosa o involuntariamente; la taxonomía de seis arquetipos (sabotaje de IT, robo de propiedad intelectual, fraude, espionaje, amenaza no intencional, uso indebido); el concepto de Insider Risk Management Program (IRMP) como gestión de riesgo y no vigilancia, con el principio de que la amenaza no se previene al cien por ciento; la Best Practice 1 (inventariar y priorizar los activos críticos), la Best Practice 2 (programa formal multidisciplinario con patrocinio de la dirección y protección de la privacidad del investigado) y la Best Practice 3 (controles administrativos documentados y aplicados con consistencia, y el resentimiento como motor del acto interno). Los cuatro casos de la guía —el sabotaje del sistema de climatización hospitalario, el fraude contable de los setenta cheques, la exfiltración de los quince mil documentos y el cifrado vengativo del código fuente— ilustran los arquetipos.- El ciclo de vida del empleado como eje temporal del riesgo con la terminación como momento de máximo riesgo empírico, la lectura de la estructura multidisciplinaria como el control en sí y no como un adorno, y el encuadre de la cultura organizacional como variable de seguridad son enriquecimiento propio. La detección técnica del insider se remite a 5.9 (UEBA, exfiltración, preservación de evidencia), la crisis jurídica y de recursos humanos a 6.4, el inventario de activos a 6.5, y el encuadre de riesgo y política a 7.1 y 7.2. Los controles concretos por plano se desarrollan en 7.4.