El riesgo interno comienza con quién puede leer los datos

Riesgo interno

Los equipos de seguridad suelen considerar el riesgo interno como un problema de atacantes externos, pero eso no es del todo correcto. El riesgo interno es la exposición que proviene de personas que ya tienen acceso legítimo. Incluye empleados, contratistas y administradores que pueden ver o manejar datos sensibles como parte de su trabajo, ya sea que los usen mal o no. La mayoría de las conversaciones sobre riesgo interno omiten esa definición y van directo al escenario del empleado malintencionado, el que roba datos al salir. Ese es un riesgo real, pero no el más común. La versión mucho más frecuente es un acceso que nadie cuestionó desde el principio: un permiso otorgado para un propósito que silenciosamente abre la puerta a algo completamente distinto.

Los administradores pueden ver datos sensibles

Los equipos de seguridad dedican mucho tiempo a modelar amenazas externas: phishing, relleno de credenciales y actores de ransomware que se desplazan lateralmente por la red. El riesgo interno recibe otro tipo de atención, generalmente centrada en empleados malintencionados o descuidados que hacen clic en el enlace equivocado. Ambos son importantes. Ninguno cubre la versión más silenciosa del problema: personas que pueden ver datos sensibles solo por las herramientas que administran, sin que nadie decida que deberían tener esa vista.

Una plataforma de clasificación de datos debe escanear sistemas de archivos, buzones, sitios de SharePoint y unidades en la nube para encontrar y etiquetar contenido sensible. Ese acceso de escaneo debe ser amplio por diseño; la herramienta no puede clasificar lo que no puede alcanzar. El problema comienza cuando los proveedores combinan ese acceso amplio con la capacidad de abrir y leer el contenido de esos archivos, para luego entregarlo a quien administre la plataforma.

Las cuentas de administrador no son auditadas

Pregunte a la mayoría de los equipos de seguridad quién puede ver los datos regulados de los clientes, y señalarán sus reglas DLP, sus revisiones de acceso y los permisos basados en roles en el servidor de archivos. Pregúnteles quién puede abrir esos datos mediante la herramienta de clasificación que los escanea, y la respuesta se vuelve vaga rápidamente.

Los roles de superusuario y administrador suelen quedar fuera de las revisiones de acceso diseñadas para empleados regulares. Se les considera confiables por defecto, y esa es precisamente la suposición que hace que valga la pena examinarlos. Un administrador de clasificación no necesita leer el contenido de un expediente médico para confirmar que activó correctamente la regla de taxonomía HIPAA; necesita la confirmación de que la regla se activó. Son dos permisos diferentes, pero la mayoría de las herramientas solo ofrecen uno.

Este es el mismo principio que impulsa el mínimo privilegio en toda la seguridad, aplicado a un lugar donde rara vez se aplica: la herramienta que está sobre tus datos más sensibles.

Recorte de seguridad

El recorte de seguridad, la práctica de limitar lo que un usuario puede encontrar en una búsqueda según sus permisos, resuelve la mitad del problema. Evita que un empleado común encuentre un archivo que no debería ver mediante un resultado de búsqueda. Nunca fue diseñado para controlar la consola de administración, donde alguien con acceso a la plataforma puede abrir la pestaña de Texto en cualquier documento indexado, sin importar lo que el recorte de seguridad permita ver a los demás.

Esta distinción es más importante a medida que las regulaciones especifican el acceso al contenido, más allá del acceso solo a metadatos. Los auditores quieren cada vez más saber quién puede leer el contenido real de los archivos regulados, más allá de confirmar que un archivo existe y cómo está etiquetado. "Nuestros administradores tienen acceso amplio porque necesitan administrar la herramienta" no responde a esa pregunta, y tratarlo como si lo hiciera es cómo surgen los hallazgos de auditoría.

El acceso al contenido requiere un permiso propio

Netwrix Data Classification separa la capacidad de ver el contenido de los documentos de las funciones de clasificación y administración que antes la incluían por defecto. Los superusuarios no ven automáticamente el contenido de los archivos; los administradores deben conceder el acceso de forma deliberada.

Esto funciona junto con el recorte de seguridad existente en lugar de reemplazarlo, por lo que se aplican ambas capas: lo que un usuario normal puede encontrar en una búsqueda y, por separado, quién entre tus administradores puede abrir lo que encuentran.

En la práctica, un administrador de clasificación puede ejecutar escaneos, revisar cómo se aplicaron las reglas de taxonomía y gestionar el flujo de trabajo de los archivos marcados sin abrirlos. Los equipos reservan el acceso al contenido solo para los revisores o investigadores que necesitan leer su contenido.