¿Cómo puede descubrir a un empleado infiel que le roba información sensible?

iProfesional

Las organizaciones argentinas, tanto oficinas gubernamentales como empresas, reciben a diario ataques informáticos. En algunos casos como el de la AFIP o la ANSES, se suelen sufrir miles de intentos diarios de penetración a sus sistemas.
Sin embargo, no es allí donde está el eslabón más débil de la cadena de seguridad en el entorno de las tecnologías de la información y la comunicación (TIC). En este sentido, el talón de Aquíles sigue estando adentro de las organizaciones.
Por un lado, están los trabajadores, profesionales y ejecutivos que no son concientes de la necesidad de aplicar normas y precauciones. Y por el otro, los empleados “infieles” o vengativos con sus patrones o jefes directos.
“El riesgo lo tengo en mi propia gente. Hoy te robas una compañía en un pen drive”, afirmó hace casi dos años (en un foro nacional sobre seguridad informática que coordinó el autor de esta nota) Jorge Linskens, entonces subdirector general de Sistemas y Telecomunicaciones de la AFIP y hoy director ejecutivo de la Agencia de Sistemas de Información (ASINF) del Gobierno porteño, al ilustrar la facilidad con la que se puede acceder y robar información crítica de una organización o de sus miembros.
¿Cómo se puede descubrir a los “hackers” o ladrones internos en las empresas? ¿Cuáles son los datos más sensibles que buscan? ¿Qué métodos emplean?
iProfesional.com entrevistó a Dmitry Bestuzhev, investigador senior regional y miembro del equipo de análisis e investigación global de la empresa de seguridad informática Kaspersky, y a Joel Bo, gerente de Operaciones de la compañía Trend Argentina.
Puertas abiertas

¿Cómo roban información confidencial los empleados “infieles”? ¿Qué medios emplean? Para Bo, los mecanismos son “exactamente los mismos que son usados a diario para las actividades legítimas”, es decir, no requieren de métodos especiales, adicionales o complejos. “Las personas, de por sí, necesitan tener acceso a determinado tipo de información para poder trabajar con ella, por lo que no hay desafíos técnicos involucrados en cuanto a cómo ‘hacerse de’ esos datos. Sólo basta con transferirlos por los medios habituales, aprovechando que aún muchas compañías no disponen de tecnologías que ayudan a reforzar las políticas de confidencialidad”, señaló.
De acuerdo a estadísticas de Trend Argentina:

• El 60% utiliza el puerto USB de su computadora para copiar datos al “pendrive”.
  
  
• El 30% usa el webmail (correo electrónico basado en la web, como el Windows Live Hotmail, el Gmail o el Yahoo Mail) o mensajería instantánea personal.
  
  
• El resto se divide entre el correo corporativo de la empresa y la impresión de los documentos.

Para Bestuzhev, el método varía dependiendo del nivel de conocimiento técnico de la persona. “Generalmente, las fugas se dan a través del correo electrónico o de los programas de mensajería instantánea, aunque también suelen emplearse los métodos de almacenamiento en los dispositivos tipo USB o CD/DVD”.
Sin embargo, apuntó que “aquellos empleados desleales que tienen algún conocido de la seguridad informática o que tienden a ser paranoicos usan otros métodos, como tomar fotos de la pantalla de la computadora u otros documentos”. De todos modos, aunque aclaró que este método “es el menos usado entre todos los mencionados”.

Datos y actividades bajo la mira¿Cuáles son los datos que sufren robos con mayor frecuencia? Bo enumeró los siguientes:

• Planos.
• Datos personales de clientes y prospectos para ser vendidos para campañas de mercado.
• Números de tarjetas de crédito.
• Estados financieros de organizaciones.
• Proyectos de trabajo.
• Números de costos de materias primas.
• Procedimientos de la organización.
• Fórmulas.

“Todo representa dinero, más aún en las organizaciones cuyo foco de negocio es la investigación y desarrollo de algún tipo de servicio o producto. En la era actual del conocimiento, esto incluye a cualquier empresa”, apuntó.
Bestuzhev agregó que “los datos que son robados con mayor frecuencia son aquellos que son de interés para la competencia o significarán una ganancia financiera para el que los posea. Suelen ser cuestiones como planes de negocios, carteras de clientes actuales o información financiera de la compañía, como sus inversiones, gastos, pagos, etc.”.
Si bien todos los mercados se ven expuestos a esta problemática, el ejecutivo de Trend Argentina notó “mayor preocupación en el sector financiero debido a la criticidad de la información que manejan y a las exigencias de cumplimiento de normas de seguridad a nivel mundial”.
En cambio, el investigador de Kaspersky opinó que “no existe un sector que no esté afectado por dicha actividad ilegal”, aunque admitió que se podría decir que, con mayor frecuencia, los segmentos que más sufren estos hechos delictivos son los gubernamentales y, propiamente, los comerciales.
“Es decir, empresas cuya actividad está estrechamente relacionada con brindar servicios o vender artículos que ofrecen otras empresas. Por ejemplo, firmas de tecnología de información, venta de autos, seguros de viaje o de asistencia, etc. La lista realmente es muy grande”, advirtió.

MotivosLas motivaciones que tienen los ladrones internos pueden ir desde las económicas hasta la de revancha personal. “Algunos lo harán sólo como un desafío técnico propio, sin conocer las consecuencias. La mayoría simplemente lo hará como venganza, esperando generar algún perjuicio a la organización debido a la difamación o pérdida de reputación que le producirá al publicitarse los datos robados”, resaltó Bo, quien señaló que “incluso, a veces, sólo la noticia de que determinados datos se fugaron alcanza para generarle problemas a la compañía”.
El ejecutivo de Trend Argentina apuntó que otro motivo, “menos habitual en la Argentina, pero cada vez más común en los países desarrollados, es la busqueda un rédito económico”. ¿Por qué? “Los cibercriminales son una realidad y los mercados negros de compra y venta de datos llegaron para quedarse: hoy mueven millones”, respondió. Y los empleados internos son los que tienen acceso a la información, “lo que hace que la tentación externa esté a la orden del día, si se trata de empleados infieles”.
“Depende de cada caso particular”, opinó Bestuzhev. “A veces hay ladrones que roban por pura avaricia. Es decir, porque la competencia les ha ofrecido un dinero extra, y lo hacen a pesar de estar recibiendo un salario que satisface sus necesidades”, puntualizó.
El investigador de Kaspersky afirmó que los casos basados en la venganza “no suelen durar mucho tiempo. Están limitados hasta que la persona que está saliendo de la empresa pierda por completo todo acceso a la información”.

PrevencionesLas organizaciones pueden implementar políticas y tecnologías para prevenir estas pérdidas de datos sensibles. “En teoría todas las compañías deberían tener sistemas íntegros llamados DLP o 'Data Leak Prevention'”, señaló Bestuzhev.
Estos sistemas, según explicó el ejecutivo de Kaspersky, se integran a la infraestructura tecnológica de una empresa y permiten monitorear el tipo y el destino del tráfico. Realizan una especie de filtrado de contenido en base a una lista de palabras, expresiones, tipos de archivos, direcciones a enviar, etc.
Si un DLP detecta un envío de documentos adjuntos con datos confidenciales hacia una dirección de e-mail pública, éste procede a ser bloqueado e inmediatamente el oficial de seguridad de la empresa recibe una notificación del caso en la que se especifica quién pretendió mandar el mensaje, qué tipo de información contenía y a quién estaba destinado.
Este control se lleva a cabo tanto a nivel de los dispositivos de almacenamiento como de los protocolos de comunicación.
Además de dichas medidas, las compañías también deben implementar un sistema de control visual a través de los circuitos cerrados y otros mecanismos de vigilancia con video.
“Esto es necesario ya que existe la posibilidad de que un empleado deshonesto delinquir de una manera un poco ‘anticuada’ pero muy eficaz: simplemente tomando fotos de la pantalla de su computadora", explicó.
“Gracias a la tecnología de hoy, empleados, socios, consultores, trabajadores de compañías externas y muchas otras personas pueden acceder y compartir los archivos con facilidad, en cualquier momento y desde cualquier lugar”, advirtió Bo.
En este sentido, el ejecutivo de Trend Argentina reiteró la importancia de utilizar la tecnología existente para detectar los movimientos riesgosos. Además, destacó que estas soluciones “pueden ayudar a los usuarios que no tienen malas intenciones a hacer un mejor uso de la información confidencial. Por ejemplo, forzándolos a cifrar los datos que copian a un pendrive que accidentalmente podrían perder o que podrían robarselo”.
En ese sentido, apuntó que la capacitación “juega un rol fundamental ya que muchas fugas son accidentales. Los empleados pueden no conocer que determinados datos son confidenciales o no ser conscientes de los riesgos que implica manejarlos de determinada manera o por determinados medios”.
Bo repreguntó: “¿Cuántas personas saben que todo lo que se transmite por e-mail sin cifrar podría ser leído por terceros en el tránsito entre origen y destino? ¿O que el informe en Excel que acaba de copiar al pendrive puede tener consecuencias no deseadas si lo pierde en el camino a su casa?”.

Castigos¿Cuáles son las sanciones previstas contra el empleado infiel en la legislación penal y laboral argentina?
A partir de la vigencia de la llamada “ley de delitos informáticos (26.388, que fue una reforma del Código Penal) y la existencia anterior de la Ley de Protección de Datos Personales (25.326), se prevén sanciones cada vez mayores para los delitos en los que se utilicen medios digitales.
Por ejemplo, hoy se reconocen figuras tales como “violación al correo electrónico”, “acceso ilegítimo a sistemas informáticos”, “daño informático y distribución de virus”, “daño informático agravado”, “interrupción de comunicaciones”.
En este sentido, Bo destacó que las penas hoy previstas son tanto civiles o administrativas (inhabilitaciones, clausuras y multas -aproximadamente estimadas en un rango de $1.000 a $100.000-) como penales (el castigo presupone la privación de la libertad, es decir, la prisión).