El mayor riesgo de seguridad son los empleados

RSA, la división de seguridad de EMC, ha patrocinado un estudio de IDC del que se desprende que las empresas deberían prestar más atención a los incidentes involuntarios causados por sus propios trabajadores que a los posibles ataques voluntarios, pues por su mayor frecuencia pueden causar mayores daños. Sin embargo, es habitual que los directores de las compañías, por desconocimiento, den prioridad a la protección ante ataques malintencionados frente a los daños accidentales.

El estudio de IDC, “Insider Risk Management: A Framework Approach to Internal Security”, destaca que los trabajadores tienen acceso tanto a los sistemas críticos como a la información privilegiada y que cada vez es mayor el  número de rupturas fortuitas en seguridad, el acceso inapropiado a los datos y el mal uso de la información.

Entre los responsables de TI que participaron en el estudio, más de la mitad calificó sus amenazas internas en seguridad como accidentales, y sólo el 19% cree que son intencionadas.

“Los responsables ven su relación con sus trabajadores como una unión de confianza y reconocen que su plantilla es su mayor activo” afirma Chris Christiansen, program VP, security products de IDC. “Pero la enorme naturaleza de la infraestructura de una organización junto con empleados dispersos por todo el mundo y una mezcla compleja de trabajadores internos, consultores, partners y personal subcontratado, provocan que los riesgos originados por este personal interno sean actualmente  el mayor reto en materia de seguridad al que se enfrenta una compañía. Independientemente de si el riesgo es intencionado o no, el riesgo es real.”

En los pasados 12 meses, los 400 directores que respondieron al estudio admitieron 6.330 incidentes de pérdida de datos involuntaria mediante negligencias de los propios trabajadores, 5.907 ataques de malware/spyware dentro de la empresa, y 5.831 incidentes creados por privilegios excesivos y/o derechos de control de accesos.

“La seguridad es responsabilidad de todos, no sólo es el trabajo del departamento de seguridad” afirma Christopher Young, senior vice president de RSA. “Los riesgos internos son crecientes y para ser competitivos, los directivos deben cambiar el modo en el que defienden su empresa y ampliar las prioridades en materia de seguridad para hacer frente a las cada vez mayores necesidades de protección de los riesgos internos, tanto accidentales como intencionados. Se debe adoptar una estrategia integral que mitigue los riesgos internos para centrarse en la protección del mal uso, las fugas y la pérdida de información crítica, debido al uso interno tanto accidental, como deliberado”.