Qué es una amenaza interna

Una persona interna es cualquiera que ya tiene un acceso legítimo: empleados, contratistas, proveedores con cuenta. Una amenaza interna es el uso de ese acceso, con o sin intención, que puede dañar los datos, los sistemas o la reputación de la organización. La definición es útil para detectar porque no depende de adivinar motivos: depende de lo que el acceso hizo. El mismo registro sirve para un descuido, para un abuso y para una cuenta robada.

Un registro dice qué cuenta hizo algo, no qué cuerpo estaba detrás del teclado. Cuando una credencial se roba o se presta, la cuenta es de una persona y la acción es de otra. Es el caso de una cuenta comprometida: parece interna porque entra con una cuenta de la casa, pero quien opera no es el titular. En la tabla casos_internos, la columna quien_opero_la_cuenta registra lo que la investigación estableció.

La mayor parte de los incidentes internos no son sabotaje: son personas que hacen mal una tarea, como llevarse un listado en un portátil o reenviar una factura a su correo personal. El daño es real aunque no haya intención. Esa distinción importa porque cambia la respuesta: al descuido se responde con capacitación y mejores controles; a un abuso, con un proceso formal. Cuenta en casos_internos los casos en que el titular operó la cuenta y se demostró que no fue a propósito.

En dos de los casos la intención está «sin determinar». Un registro muestra una exportación grande hecha por el titular de la cuenta, a una hora y a un destino. No muestra el motivo. Quien detecta describe el hecho y deja la intención para una investigación con las áreas competentes; concluir «robó» o «se equivocó» con solo el registro es una apuesta, y una persona real carga con sus consecuencias.