Interna accidental, negligente o malintencionada

En la respuesta a incidentes se llama amenaza interna a todo riesgo que viene de alguien con acceso legítimo: empleados, contratistas, practicantes, proveedores con cuenta. La palabra «amenaza» engaña, porque la mayoría de los casos no son amenazas: son personas que cometen un error.

Se distinguen tres tipos. El accidental es un error sin ánimo ni conocimiento de la regla: se manda un correo a la persona equivocada. El negligente es quien conoce la regla y la salta por comodidad: sin querer dañar a nadie, asume un riesgo que la política le había prohibido. El malintencionado es quien actúa para dañar a la organización u obtener un provecho propio, y casi siempre lo acompaña un esfuerzo por no ser visto.

Lo que separa al negligente del malintencionado no es el tamaño del daño, sino la intención, y la intención no se ve en un registro: se infiere de conductas que sí se ven antes, durante y después del hecho.

Un indicador de conducta es un hecho observable que ayuda a leer la intención. Los más usados son cuatro: si la persona avisó por su cuenta cuando se dio cuenta; si borró rastros (vació una papelera, desactivó una sincronización, renombró archivos); si hay beneficio personal probable o por lo menos un indicio; y si conocía la regla, porque la firmó.

Ninguno prueba nada por sí solo. Avisar a los pocos minutos apunta a un error; borrar rastros no se explica por comodidad. Y un solo indicador nunca basta para clasificar: se cruzan.

La tabla eventos trae esos cuatro datos de seis casos del trimestre.

La negligencia tiene una firma en los datos: la persona conocía la regla (la política está firmada), no ocultó nada, no hay beneficio y no avisó por su cuenta cuando pudo. Es el perfil más frecuente y el que se corrige con capacitación y controles, no con una sanción de entrada.

Contar bien importa porque el número se usa para decidir el programa de concientización del trimestre. Una fila que avisó por su cuenta ya no entra en la cuenta: es un accidente reportado a tiempo.

Clasificar es una hipótesis de trabajo, no una sentencia. El evento que reúne más indicadores merece más atención, pero la etiqueta que se le pone en el expediente tiene que decir lo que la evidencia sostiene: compatible con conducta intencionada, pendiente de confirmar. La palabra «malintencionada» sin esa cautela se convierte en una acusación escrita en un documento que alguien más leerá.

También se deja constancia de lo que haría cambiar la etiqueta: una entrevista, un permiso que se encuentre después, una explicación legítima del archivo.