El factor humano está presente en la mayoría de las brechas según el DBIR de Verizon — y el escenario más costoso es el empleado que se lleva los datos al marcharse. Analizamos los tipos de amenaza interna, los 30 días críticos antes de la salida, las señales de comportamiento y un marco de prevención por capas.
Conclusiones clave (Key Takeaways)
La amenaza interna no es solo el empleado malicioso: el usuario negligente y la cuenta comprometida producen el mismo daño. La ventana de mayor riesgo son los ~30 días entre la notificación de renuncia y el último día laboral. La defensa eficaz combina telemetría de endpoints que vigila señales de comportamiento (copia masiva, acceso fuera de horario, cargas a nubes personales) con el control de canales de DLP.
«Un empleado que se marchó se llevó los datos y nadie se dio cuenta.» Esa frase resume el patrón más repetido en notificaciones de brechas y litigios por secretos comerciales. Una amenaza interna es el uso indebido de acceso legítimo para dañar los datos — y es más difícil de detectar que los ataques externos porque el acceso en sí es legítimo.
1. ¿Qué es una amenaza interna (insider threat)?
Una amenaza interna ocurre cuando personas con acceso legítimo — empleados, contratistas, socios — usan ese acceso para exfiltración de datos, sabotaje o abuso. El punto crítico: el actor ya está dentro del perímetro de seguridad; la defensa perimetral, la VPN y los firewalls no sirven en este escenario.
2. Tres tipos de amenaza interna
| Tipo | Motivación | Firma típica |
|---|---|---|
| Maliciosa | Dinero, resentimiento, datos para un competidor | Copia masiva antes de la salida, adjuntos a correo personal |
| Negligente | Sin intención; descuido, desconocimiento de políticas | Correo al destinatario equivocado, carpeta pública en la nube, USB sin cifrar |
| Comprometida | Atacante externo actuando con una cuenta robada | Horarios/ubicaciones inusuales, acceso anormal a archivos |
La experiencia de campo muestra que el tipo más costoso es el malicioso — en particular el empleado a punto de irse. Listas de clientes, tarifas o código fuente se mueven en silencio «durante la última semana».
3. El escenario del empleado saliente: los 30 días críticos
La ventana entre la notificación de renuncia y el último día laboral es el período más crítico de la gestión de amenazas internas. Señales que conviene vigilar en esa ventana:
- Acceso masivo a archivos: tocar 5–10 veces más archivos que la línea base del usuario.
- Actividad en medios extraíbles: montaje de USB e intentos de copia de carpetas.
- Transferencias a nube/correo personal: Drive, Dropbox, adjuntos de Gmail, WeTransfer.
- Actividad fuera de horario: acceso anormal a archivos de noche o en fin de semana.
- Compresión y cifrado: creación de archivos grandes (zip/7z).
- Comportamiento de borrado: intentos de limpiar enviados e historial.
“La amenaza interna no es un problema de personas; es un problema de visibilidad. No se puede atrapar a quien abusa de un acceso legítimo sin observar el comportamiento en el momento del acceso.”
Sencer Erdem, Arquitecto Senior de Seguridad de Endpoints
4. Detección: ¿cómo se monitorizan las señales de comportamiento?
Una sola señal rara vez es prueba; lo que importa es el patrón. La detección eficaz requiere combinar la telemetría de endpoints (acceso a archivos, procesos, dispositivos) con el control de canales de DLP. Establezca una línea base por departamento: que un usuario de finanzas toque hojas de cálculo grandes es normal; el mismo comportamiento en un becario de ventas, no.
La cadena de escalado debe ser corta: señal → puntuación de riesgo → alerta → acción automática opcional (bloqueo de USB, aislamiento de red). Revisar logs semanas después solo sirve como evidencia; no detiene la exfiltración.
5. Un marco de prevención por capas
- Higiene de acceso: mínimo privilegio, revocación inmediata de cuentas y tokens al salir, limpieza de cuentas inactivas.
- Inventario de datos: sepa dónde residen los datos sensibles con DSPM; lo que no se monitoriza no se puede proteger.
- Control de canales: política DLP en tiempo real sobre correo, USB y cargas en la nube.
- Analítica de comportamiento: umbrales de alerta para copia masiva, acceso fuera de horario y volumen anormal.
- Cadena de evidencia: retención a prueba de manipulación de los registros — obligatoria para litigios y notificaciones de brecha.
- Cultura: política de datos clara + protocolo de offboarding; monitorización anunciada de forma transparente y legítima.
6. Conclusión
Las amenazas internas eluden las defensas clásicas porque ocurren dentro del perímetro. La respuesta es reducir el acceso, inventariar los datos sensibles y observar el momento del movimiento con DLP más telemetría de comportamiento. Moftgate unifica los tres sobre una sola espina dorsal de agente: postura del dispositivo, clasificación de datos y control de canales comparten la misma telemetría.
Más de 15 años de experiencia en seguridad de infraestructura empresarial, ingeniería inversa y arquitectura DLP. Dirigió transformaciones de seguridad locales y air-gapped en más de 100.000 endpoints en banca, defensa y sector público.
Respuestas de expertos a las preguntas clave de profesionales
¿Es legal monitorizar empleados bajo GDPR/KVKK?
Sí, bajo proporcionalidad. La monitorización debe perseguir un fin legítimo (seguridad de datos), comunicarse previamente al empleado y limitarse a datos relacionados con el trabajo. Vigilar movimientos de archivos y metadatos — no el contenido de comunicaciones personales — preserva la proporcionalidad. La información previa y una política escrita son esenciales.
¿Se puede probar a posteriori la exfiltración de un empleado que ya se fue?
Si en su momento se capturaron telemetría de endpoints y registros DLP, sí: qué archivo salió por qué canal y cuándo queda documentado en una línea temporal. Sin registros, producir evidencia después es muy difícil — por eso la monitorización continua precede a la forense post-incidente.
¿Basta DLP solo para detectar amenazas internas?
No. DLP bloquea en el canal, pero ver quién accedió primero a qué archivo en qué dispositivo requiere telemetría de endpoints. En escenarios negligentes, la reducción de acceso y el inventario de datos (DSPM) toman el protagonismo. Las tres capas deben funcionar juntas.
¿Cómo se distingue una cuenta comprometida de una amenaza interna?
Como la cuenta inicia sesión con credenciales legítimas, la autenticación por sí sola no la distingue. Lo hace el contexto de comportamiento: horarios inusuales, un dispositivo nuevo, desviación de la línea base del usuario. Estas señales se hacen visibles combinando telemetría de endpoints con registros de SSO/SSPM.
Fuentes autorizadas y estándares regulatorios
- •Verizon 2025 Data Breach Investigations Report (DBIR) ↗(Participación del factor humano en las brechas y distribución de escenarios originados por insiders.)
- •IBM Cost of a Data Breach Report 2025 ↗(Coste medio y plazos de detección de las brechas originadas por insiders.)
- •KVKK Breach Notification Guidance ↗(Obligación de notificación en 72 horas y expectativas de evidencia en filtraciones originadas por empleados.)
- •ISO/IEC 27001:2022 Information Security Controls (Annex A) ↗(Controles de personas A.6: proceso de offboarding y requisitos de revocación de acceso.)