Acceso interno en los proveedores

Un proveedor de software para servicios financieros empleaba a un ingeniero de éxito del cliente que, durante aproximadamente cuatro meses, usó su acceso legítimo a los sistemas para extraer registros de cuentas de clientes de varios clientes empresariales. El ingeniero tenía acceso a los entornos de los clientes como parte de su función de soporte, un acceso adecuado para su rol y que usaba con regularidad con fines legítimos. La extracción era sistemática: pequeños lotes de registros exportados con regularidad mediante el API de informes del proveedor, que era una función autorizada para el rol del ingeniero. Las exportaciones no eran lo bastante grandes individualmente como para activar ningún umbral de detección de anomalías. La extracción acumulada sumó aproximadamente cuarenta mil registros de clientes. La violación se descubrió cuando un equipo de análisis de fraude de uno de los bancos afectados identificó patrones de apropiación de cuentas que se correspondían con la cartera de clientes del proveedor. La investigación forense no encontró pruebas de un atacante externo, ni de credenciales comprometidas, ni de accesos no autorizados: cada evento de acceso estaba autenticado, autorizado y dentro del alcance de los permisos del ingeniero. El control que debería haberlo detectado, el análisis del comportamiento sobre los patrones de exportación de datos, no estaba implementado. Los controles de acceso funcionaron exactamente como se habían diseñado. El monitoreo no se había implementado.

¿Qué es realmente la amenaza del acceso interno en los proveedores?

La amenaza interna en los proveedores es el riesgo de que los empleados del proveedor con acceso legítimo a datos de clientes usen indebidamente ese acceso (para obtener un beneficio económico, una ventaja competitiva, por un agravio personal o por coacción externa) de maneras que los controles de acceso no impiden, porque el acceso está autorizado, y que la seguridad perimetral no detecta, porque el actor ya está dentro. Se distingue del ataque externo de un modo fundamental: los atacantes externos deben superar los controles de acceso para llegar a los datos, mientras que las personas internas ya han superado esos controles como condición previa de su empleo. Los controles que protegen específicamente frente a las amenazas externas no abordan a la persona interna que usa un acceso legítimo con fines no autorizados.

El espectro de las amenazas internas es más amplio que el escenario del empleado malintencionado, que suele dominar la forma de concebir el riesgo. Las personas internas malintencionadas, empleados que usan indebidamente su acceso de forma deliberada para obtener un beneficio personal, representan un extremo del espectro. La parte central del espectro incluye a las personas internas coaccionadas, empleados presionados o manipulados por terceros para proporcionar acceso o datos, y a las personas internas negligentes, empleados que exponen datos de forma involuntaria por un manejo descuidado, configuraciones erróneas o el incumplimiento de los procedimientos de seguridad. Cada categoría requiere enfoques de detección y prevención distintos. La persona interna malintencionada requiere un monitoreo del comportamiento que detecte el uso indebido del acceso autorizado. La persona interna coaccionada requiere monitorear patrones de acceso inusuales que puedan indicar una dirección externa. La persona interna negligente requiere formación, procedimientos claros y controles que prevengan los patrones de error habituales.

El desafío de la detección es lo que hace que la amenaza interna en los proveedores sea especialmente difícil de gobernar desde la perspectiva del cliente. El cliente no puede observar directamente el comportamiento de los empleados del proveedor. El monitoreo que detectaría el uso indebido interno (análisis del comportamiento sobre los patrones de acceso a los datos, monitoreo de la exportación de datos, detección de anomalías en las consultas) debe implementarlo el proveedor en su propio entorno. El cliente puede exigirlo contractualmente, confirmar su implementación mediante preguntas de evaluación y verificar su existencia mediante evidencias de auditoría. Pero la capacidad real de detección depende por completo de la implementación y la disciplina operativa del proveedor, que el cliente no puede observar directamente.

El riesgo de acceso interno en los proveedores se concentra en cinco escenarios de amenaza específicos:

Exfiltración maliciosa de datos: empleados que extraen sistemáticamente registros de clientes para su venta a terceros, para uso competitivo o para facilitar fraudes, mediante exportaciones pequeñas y periódicas que se mantienen por debajo de los umbrales de detección de anomalías
Facilitación de la apropiación de cuentas: empleados que proporcionan credenciales de cuentas de clientes, respuestas de seguridad o tokens de autenticación a redes externas de fraude para comprometer cuentas
Modificación de datos con fines competitivos: empleados que alteran registros de clientes, datos de precios o resultados analíticos en beneficio de competidores o de sí mismos
Divulgación no autorizada de datos: empleados que divulgan información de clientes a terceros por negligencia, coacción o decisión deliberada, sin el patrón de extracción sistemática de la exfiltración maliciosa
Abuso de acceso privilegiado por parte de contratistas: contratistas y personal temporal con acceso elevado que lo usan más allá de su alcance autorizado con menos supervisión que los empleados permanentes

Por qué es importante

El acceso interno en los proveedores es relevante para TPRM porque la relación con el proveedor crea una clase de personas, los empleados del proveedor, que tienen acceso autorizado a los datos de los clientes, pero no están sujetos a los procesos de recursos humanos, la formación en seguridad, el monitoreo del comportamiento ni los controles laborales del cliente. El programa contra amenazas internas del cliente rige a sus propios empleados. No tiene visibilidad del comportamiento de los empleados del proveedor que acceden a los mismos datos. Los únicos controles que protegen los datos de los clientes frente a la amenaza interna de los empleados del proveedor son los que el proveedor ha implementado en su propio entorno.

La dimensión de escala hace que el riesgo sea especialmente grave en los proveedores SaaS multiinquilino. Un solo empleado malintencionado de un proveedor que atiende a quinientos clientes empresariales puede tener acceso a datos de los quinientos clientes. El acceso autorizado de la persona interna refleja su función (éxito del cliente, soporte, análisis, infraestructura) y puede abarcar legítimamente una parte importante de la cartera de clientes del proveedor. La violación que produce esa persona no es un incidente de un solo cliente. Es un evento que afecta a varios clientes y que puede no descubrirse hasta que los patrones de fraude en los datos de los clientes afectados revelen el hilo común.

Para los profesionales de TPRM, la evaluación de las amenazas internas exige ir más allá de la confirmación de los controles de acceso y de la política de verificación de antecedentes, y preguntar por el monitoreo del comportamiento: qué hace el proveedor para detectar el uso indebido del acceso autorizado entre sus propios empleados. Un proveedor con excelentes controles de acceso y sin monitoreo del comportamiento ha construido un perímetro que detiene a los atacantes externos, pero que no aborda la amenaza que ya está dentro.

Dónde se equivocan la mayoría de los equipos

La falla más constante es aceptar la política de verificación de antecedentes y la solidez de los controles de acceso como gobernanza de las amenazas internas. La verificación de antecedentes reduce la probabilidad de contratar a alguien con un historial documentado de fraude o mala conducta. No tiene ninguna incidencia sobre un empleado que decide usar indebidamente su acceso después de haber sido contratado, ya sea por presión económica o coacción externa, o por una escalada gradual de infracciones menores de la política a una mala conducta grave. Los controles de acceso limitan el alcance de lo que puede alcanzar una persona interna. No impiden que una persona interna haga todo lo que está autorizada a hacer con el acceso que posee legítimamente.

La segunda falla es no preguntar específicamente por el análisis del comportamiento sobre el acceso a los datos. El análisis del comportamiento de usuarios y entidades, que establece patrones de acceso de referencia para cada empleado y genera alertas ante desviaciones, es el principal control técnico para la detección de amenazas internas. Un proveedor que confirma que tiene cobertura de SIEM pero no ha implementado UEBA para los patrones de acceso a los datos tiene cobertura para las amenazas externas y una brecha para el escenario de amenaza interna. La distinción entre la cobertura general de SIEM y el análisis del comportamiento aplicado específicamente al acceso a los datos es el factor diferenciador de la gobernanza.

Aceptar la verificación de antecedentes como gobernanza de las amenazas internas: la verificación de antecedentes aborda el historial laboral, no las decisiones futuras
Tratar la solidez de los controles de acceso como protección frente a amenazas internas: los controles de acceso abordan el acceso no autorizado, no el uso indebido del acceso autorizado
No preguntar por el análisis del comportamiento sobre el acceso a los datos: cobertura de SIEM sin UEBA aplicado a los patrones de acceso a los datos
Contratistas y personal temporal no evaluados por separado: acceso elevado para contratistas sin el mismo monitoreo del comportamiento que los empleados permanentes
Sin monitoreo de la exportación de datos: eventos de exportación individuales autorizados, pero patrones de exportación acumulados sin monitorear en busca de volúmenes anómalos

Cómo se ve una buena práctica

Los programas maduros contra amenazas internas de los proveedores combinan controles técnicos (análisis del comportamiento, monitoreo de la exportación de datos, detección de anomalías en las consultas) con controles organizativos (formación de concienciación en seguridad, mecanismos claros para denunciar comportamientos sospechosos de colegas y prácticas de gestión que generan rendición de cuentas sobre el manejo de los datos).

Análisis del comportamiento de usuarios y entidades aplicado al acceso a los datos: patrones de acceso de referencia establecidos por rol de empleado, con alertas automatizadas ante desviaciones
Monitoreo y alertas de exportación de datos: volúmenes de exportación acumulados registrados por usuario, con umbrales que reflejan el patrón anómalo más pequeño, no solo los eventos individuales de gran tamaño
Detección de anomalías en las consultas: patrones de consultas entre clientes, accesos fuera del horario laboral por parte de poblaciones de usuarios específicas y accesos a volúmenes inusuales de registros marcados para revisión
Acceso de contratistas con monitoreo reforzado: acceso elevado para contratistas sujeto a un monitoreo adicional del comportamiento, dada su menor integración organizativa y rendición de cuentas
Cultura de seguridad y mecanismos de denuncia: empleados formados para reconocer y denunciar comportamientos sospechosos de colegas, lo que crea una capa de detección humana que complementa el monitoreo técnico

Herramientas

La detección de amenazas internas requiere herramientas de análisis del comportamiento que establezcan líneas de base de acceso y detecten desviaciones, aplicadas específicamente a la actividad de acceso a los datos.

Análisis del comportamiento de usuarios y entidades: Exabeam, Varonis, Microsoft Sentinel

Las plataformas de UEBA establecen líneas de base de comportamiento para cada usuario y generan alertas ante patrones de acceso que se desvían de esas líneas de base: acceso a categorías de datos inusuales, volúmenes de registros inusuales, horarios inusuales o combinaciones inusuales de eventos de acceso. Varonis se centra específicamente en el análisis del comportamiento del acceso a archivos y bases de datos, con la detección de amenazas internas como caso de uso principal. Exabeam ofrece análisis del comportamiento basado en aprendizaje automático sobre distintas fuentes de registros, incluido el acceso a bases de datos. Para los profesionales de TPRM, preguntar si el proveedor aplica UEBA específicamente al acceso a los datos, y no solo al acceso a la red y a los sistemas, constituye la pregunta específica sobre la capacidad de detección.

Gobernanza del acceso a los datos: Imperva Data Security, IBM Guardium

Las plataformas de monitoreo de la actividad de bases de datos creadas específicamente para la seguridad de los datos proporcionan la visibilidad a nivel de consulta que requiere el análisis del comportamiento: registran cada consulta, el usuario que la ejecutó, las tablas a las que accedió y los registros devueltos, y aplican análisis del comportamiento para detectar patrones anómalos. En el caso de los proveedores SaaS multiinquilino, las plataformas de DAM que pueden detectar anomalías de acceso entre clientes dentro de una concesión de acceso multiinquilino autorizada proporcionan la capacidad de detección de amenazas internas más específica para el contexto de los datos de los clientes.

DLP y monitoreo de endpoints: Microsoft Purview, CrowdStrike Falcon

Las herramientas de DLP y de monitoreo de endpoints detectan el movimiento de datos desde sistemas gestionados hacia destinos externos, lo que aporta una capa de detección complementaria para la exfiltración de datos por canales distintos de la vía de consultas a la base de datos. Para los profesionales de TPRM, preguntar si el programa de detección de amenazas internas del proveedor combina UEBA con DLP y monitoreo de endpoints constituye una pregunta integral sobre la cobertura de la detección del comportamiento.

Desafíos de gobernanza

El desafío de gobernanza de la amenaza interna en los proveedores es la limitación de la observabilidad. El cliente no puede observar directamente el comportamiento de los empleados del proveedor. Puede exigir contractualmente el monitoreo del comportamiento, confirmar su implementación mediante la evaluación y verificar su eficacia mediante evidencias de auditoría y el historial de incidentes, pero el trabajo real de detección debe realizarlo el proveedor en su propio entorno. Esto crea una dependencia de la disciplina operativa del proveedor que el cliente no puede sustituir con sus propios controles.

Para los programas de TPRM, el enfoque práctico de gobernanza consiste en exigir el monitoreo del comportamiento específicamente para el acceso a los datos como requisito estándar de seguridad para proveedores: no solo controles de acceso, no solo verificación de antecedentes, sino análisis del comportamiento aplicado a la forma en que los empleados del proveedor interactúan con los datos de los clientes. Un proveedor que puede describir su implementación de UEBA, las líneas de base de comportamiento que ha establecido y las reglas de detección de anomalías aplicadas a sus equipos de análisis y soporte ha abordado operativamente la detección de amenazas internas. Un proveedor que describe su política de verificación de antecedentes en respuesta a las preguntas sobre amenazas internas no lo ha hecho.

Exigir análisis del comportamiento sobre el acceso a los datos como requisito estándar de seguridad para proveedores, sin deducirlo de la cobertura general de SIEM
Preguntar por el monitoreo de la exportación de datos: detección de patrones de exportación acumulados con umbrales ajustados para detectar exfiltraciones pequeñas y periódicas
Preguntar por el monitoreo del acceso de los contratistas: si el acceso elevado de los contratistas recibe un monitoreo del comportamiento reforzado
Incluir el historial de incidentes de amenazas internas: si el proveedor ha detectado e investigado alguna vez un incidente de acceso interno a los datos, qué se encontró y cuál fue la respuesta
Preguntar por el monitoreo del acceso entre clientes en entornos multiinquilino: si se detectan patrones anómalos de acceso entre clientes

Si usted forma parte de un equipo pequeño

Haga a sus proveedores de mayor riesgo una pregunta a la que nunca llega la evaluación estándar de controles de acceso: si uno de sus empleados de soporte o de análisis comenzara a exportar sistemáticamente registros de clientes en pequeños lotes durante varios meses, ¿qué monitoreo del comportamiento lo detectaría, con qué rapidez lo sabrían y qué activaría la alerta? Esa pregunta obliga al proveedor a describir su capacidad real de detección de amenazas internas en lugar de su postura de control de acceso. Un proveedor que puede describir el monitoreo del comportamiento específico que detectaría el escenario tiene un programa contra amenazas internas. Un proveedor que describe sus controles de acceso en respuesta a una pregunta sobre detección no lo tiene.

Plantear la pregunta del escenario de exfiltración sistemática en las relaciones con los proveedores de mayor riesgo
Preguntar específicamente si se aplica UEBA a los patrones de acceso a los datos y no solo al acceso a la red y a los sistemas
Preguntar por el monitoreo de la exportación de datos y por el umbral que activaría una alerta
Preguntar si se han detectado e investigado incidentes de amenazas internas en los últimos dos años

Qué exigir

Pregunte directamente:

«Si uno de sus empleados de soporte o de análisis comenzara a exportar sistemáticamente registros de clientes en pequeños lotes durante varios meses, manteniéndose por debajo de cualquier umbral de eventos individuales, ¿qué monitoreo del comportamiento detectaría ese patrón y con qué rapidez?»

«¿Aplican el análisis del comportamiento de usuarios y entidades específicamente a los patrones de acceso a los datos, estableciendo líneas de base de comportamiento para los empleados que acceden a datos de clientes y generando alertas ante desviaciones, o su cobertura de SIEM se centra principalmente en el acceso a la red y a los sistemas?»

«En los últimos dos años, ¿han detectado e investigado algún incidente de acceso interno a datos en el que un empleado del proveedor haya usado indebidamente el acceso autorizado a datos de clientes? ¿Cuál fue el resultado?»

Evidencia que debe esperar

Descripción de la implementación del análisis del comportamiento: UEBA aplicado al acceso a los datos, líneas de base establecidas, detección de anomalías configurada
Confirmación del monitoreo de la exportación de datos: detección de patrones acumulados con calibración de umbrales
Historial de incidentes de amenazas internas: eventos de detección y resultados de las investigaciones
Confirmación del refuerzo del monitoreo del acceso de los contratistas

Un proveedor que responde a la pregunta sobre exfiltración sistemática con «nuestros controles de acceso se basan en roles y se revisan trimestralmente» ha descrito los controles que autorizaron el acceso del ingeniero. Pregunte qué detectaría que el ingeniero usara ese acceso autorizado fuera de su alcance previsto. Los controles de acceso permitieron los cuatro meses de exfiltración. El monitoreo del comportamiento lo habría detectado. Pregunte si el monitoreo del comportamiento existe.

Cómo demostrarlo

La detección de amenazas internas se aborda en los controles NIST SP 800-53 AC-2 y AU, en los Requisitos 7 y 10 de PCI-DSS y en las especificaciones de implementación de los controles de gestión de accesos y de auditoría de HIPAA. Demostrar la debida diligencia requiere evidencias de que la capacidad de detección de amenazas internas se evaluó específicamente, más allá de la confirmación de los controles de acceso y de la verificación de antecedentes.

Registros de evaluación de proveedores que documentan las preguntas sobre análisis del comportamiento, monitoreo de exportaciones y detección de amenazas internas
Confirmación de la implementación de UEBA específicamente para los patrones de acceso a los datos
Documentación de los umbrales de monitoreo de la exportación de datos
Revisión del historial de incidentes de amenazas internas

Conclusión clave

La amenaza interna tiene credenciales válidas. Superó la verificación de antecedentes. Su acceso está autorizado. Supera cada control de autenticación, siempre. Los controles de acceso que detienen a los atacantes externos son los mismos controles que confirman que la persona interna tiene derecho a estar allí. El único control que aborda la amenaza interna es el monitoreo que observa lo que hacen los usuarios autorizados con el acceso que poseen legítimamente: el análisis del comportamiento que detecta el patrón de exportaciones pequeñas y periódicas durante cuatro meses que ningún umbral de eventos individuales señalaría. La verificación de antecedentes aborda a quién contrató el proveedor. El monitoreo del comportamiento aborda lo que esas personas hacen después. Ambos importan. Solo uno aborda la amenaza que ya está dentro.