Escenario: un acceso inusual que resulta ser un traspaso mal hecho

Una alerta de DLP notificó que un ejecutivo de cuentas (emp_sales_55) copió 1,250 contratos a un medio USB tras presentar su dimisión. La sospecha inicial de robo de clientes fue elevada a Recursos Humanos. Sin embargo, al auditar los correos y tickets, se comprobó que el director de área le había ordenado por escrito compilar todos los contratos en curso para entregárselos a su sustituto, quien carecía de permisos temporales en la nube. Lo que parecía un delito resultó ser una práctica negligente de traspaso sin dolo malicioso.

Indica el valor de audit_state que figura en la tabla offboarding_audit para el ticket investigado.

Lección tras el caso {#leccion}

La caza de amenazas internas (Insider Threat) es la disciplina más delicada de la ciberseguridad defensiva, pues transcurre en la intersección entre la telemetría técnica, la legalidad laboral y los derechos fundamentales de las personas. Los datos de DLP por sí solos nunca cuentan toda la historia: un pico masivo de descargas puede constituir una fuga delictiva de secretos comerciales o, con igual frecuencia, un traspaso de funciones desordenado ordenado por un superior sin seguir los canales oficiales. El cazador riguroso opera bajo modelos objetivos basados en grupos de pares, colabora estrechamente con Recursos Humanos y Jurídico y busca incansablemente el contexto antes de dictar conclusiones sobre la intencionalidad humana.