El 67% de los empleados españoles pone en riesgo a sus empresas de forma consciente

Según el equipo de investigación de amenazas de Proofpoint, las personas recién incorporadas a una organización pueden conllevar un alto riesgo inicial. Concretamente, los primeros 90 días de un profesional en una empresa pueden verse como un periodo de prueba, no sólo laboralmente, sino también desde el punto de vista de la ciberseguridad.

Para los expertos en ciberseguridad, tener un sano escepticismo ante nuevas contrataciones es bueno. Una de las principales cuestiones que se debe evaluar en estos profesionales es su comportamiento en cuanto a información privilegiada, preguntándose si podrían robar estos datos o causar algún daño a la organización. No han sido pocos los incidentes en los que personas malintencionadas se han abierto paso en una empresa con esos propósitos a través de un proceso de contratación.

Riesgos internos más habituales

En un momento en el que han aumentado las amenazas internas y la pérdida de datos provocada por las personas, más CISO que nunca (86%) ven el riesgo humano como una preocupación clave en materia de ciberseguridad en los próximos dos años. Según el informe Data Loss Landscape de Proofpoint, el 17% de los encuestados en España afirmó que detrás de incidentes de pérdidas de datos en organizaciones había personas con información privilegiada, como empleados, proveedores o personas con malas intenciones. Pero muchas de ellas son amenazas internas: más de dos tercios (67%) de los empleados españoles ponen en riesgo a sus organizaciones de forma consciente.

En los entornos de trabajo actuales, con escasez de personal, los recién contratados suelen trabajar de inmediato. Reciben formación cuando han pasado de dos a cuatro semanas y ya tienen acceso a datos potencialmente sensibles. Por tanto, no es de extrañar que la pérdida accidental de datos y el sabotaje del sistema sean dos de los riesgos internos más comunes en este período.

Otra fuente de riesgo está relacionada con el cumplimiento de expectativas diferentes sobre cómo tratar los datos. Puede que el usuario en su organización anterior no haya tenido los mismos requisitos de privacidad y cumplimiento que los que ahora debe cumplir, o que los patrones de comportamiento de los recién contratados sean contrarios a la naturaleza de su actual empresa. Ha habido casos importantes de filtración de datos, porque los contratados venían de trabajos en los que las políticas y los procedimientos eran mucho menos estrictos o controlados.

“Los primeros 90 días deben ser un período durante el cual el equipo de ciberseguridad de la empresa debe utilizar una mayor visibilidad y supervisión para asegurarse de que el empleado recién llegado no se comporta de forma arriesgada o maliciosa, ayudando a mitigar el riesgo de amenazas internas”, explica el equipo de investigación de amenazas de Proofpoint. “También resulta muy fácil para los trabajadores volver a caer en patrones de comportamiento habituales de manipulación, gestión y control de datos cuando se trasladan de una empresa a otra; y, por eso, es tan importante contar con un programa de amenazas internas eficaz".