El estado de Human Risk: pérdida de datos y riesgo interno

La necesidad de abordar el riesgo humano dentro de las organizaciones actuales es la principal prioridad abrumadora para los equipos de ciberseguridad en 2025. También es el tema principal del noveno informe anual de Mimecast sobre el estado de la industria, publicado recientemente, que este año se titula acertadamente El estado del Human Risk 2025              .

Cada año, Mimecast realiza una encuesta entre los CISO y otros profesionales de la ciberseguridad para conocer los problemas a los que se enfrentan y las cuestiones que constituyen su prioridad para el próximo año. Para el informe de 2025, hemos encuestado a 1.100 responsables de la seguridad informática y de la toma de decisiones informáticas de Estados Unidos, Reino Unido, Francia, Alemania, Sudáfrica y Australia. Se cubrieron diversos sectores privados y públicos, como la sanidad, el comercio minorista, las finanzas, la industria manufacturera y los servicios públicos.

Gestión de la pérdida de datos y de los riesgos internos

Aunque no se debe restar importancia a los riesgos externos para las organizaciones, los equipos de seguridad deben asegurarse de que están igual de atentos cuando se trata de abordar los riesgos tanto intencionados como no intencionados procedentes del interior de la organización.

¿Qué pueden hacer las organizaciones cuando un usuario que creen que es un miembro valioso de su equipo corporativo -uno que creen que está intentando de verdad hacer un buen trabajo y hacer lo correcto para su empleador- resulta ser en cambio un actor malicioso? Esto puede ocurrir cuando un empleado decide abandonar la empresa o se entera de que pronto le van a despedir. También puede ocurrir cuando un empleado es abordado por un ciberdelincuente y se le ofrece algo de valor para que le eche una mano en la intrusión en la empresa en la que trabaja.

¿Y qué ocurre cuando el empleado es en realidad un topo colocado por un competidor para violar la seguridad de una organización con el fin de recopilar secretos comerciales y otra información privilegiada? Aunque la mayoría de los equipos de seguridad verían esto como algo imposible, algo que nunca ocurriría en el transcurso de la protección de su organización, Mimecast destacó recientemente un caso así.

Tanto si se trata de un empleado descontento que exfiltra IP sensible o ayuda a malos actores externos proporcionándoles acceso a sistemas críticos, como de un usuario negligente que está demasiado repartido y fatigado, un usuario comprometido que ha dado inadvertidamente sus credenciales a un mal actor o un usuario objetivo que ha caído presa de los ciberdelincuentes que utilizan la ingeniería social para acceder a los sistemas mediante la suplantación de identidad, las organizaciones deben prepararse para ser comprometidas por usuarios desde dentro.

Resultados de la encuesta sobre pérdida de datos y riesgos internos

Durante nuestra encuesta, preguntamos acerca de los usuarios negligentes, comprometidos y dirigidos, y 43% de los encuestados dijeron que han visto un aumento de las amenazas internas o fugas de datos en los últimos 12 meses, y 66% dijeron que esperan ver un aumento de la pérdida de datos en su organización en los próximos 12 meses. Los responsables de la toma de decisiones de seguridad de estas organizaciones informaron de que un suceso de fuga y robo de datos provocado por información privilegiada costaría una media de 13,9 millones de dólares.

Centro de inteligencia sobre amenazas de Mimecast

Los profesionales de la seguridad, los ejecutivos e incluso los usuarios que deseen mantenerse al día sobre las amenazas internas y de otro tipo más recientes, deberían marcar como favorito el Mimecast Threat Intelligence Hub. Allí, los lectores encontrarán la información más reciente sobre las amenazas descubiertas por los expertos en ciberseguridad de Mimecast.

Además de otras historias, actualmente presenta una reciente y exitosa campaña de phishing que aprovechó un CMS legítimo para enviar correos electrónicos fraudulentos de ofertas de trabajo de marcas conocidas.

En términos más generales, la industria ha experimentado otros ciberataques bien conocidos, impulsados por riesgos internos: La exposición de datos en Pegasus Airlines debido a la negligencia de un empleado, la triple violación de datos de Mailchimp causada por ingeniería social, el robo de los repositorios de código de Slack debido a un proveedor comprometido, el robo de propiedad intelectual por un insider malicioso en Yahoo y una violación masiva de datos por parte de antiguos empleados de Tesla. 

Estas historias y otras proporcionan una visión del estado actual de las amenazas a las que se enfrentan las organizaciones.

Lo esencial

Aunque estamos viendo grandes mejoras en la concienciación cuando se trata de que las organizaciones estén atentas a los riesgos tanto externos como internos a la hora de prevenir la pérdida de datos, los equipos de seguridad de hoy en día deben permanecer atentos a las amenazas conocidas actuales y ser diligentes a la hora de descubrir nuevas amenazas. Una plataforma de gestión de riesgos humanos puede dar a los equipos de seguridad la información que necesitan para determinar qué usuarios suponen un mayor riesgo de información privilegiada. Obtenga más información leyendo el informe completo sobre el Estado del Human Risk 2025.