Como profesionales de la seguridad, estamos programados para mirar hacia afuera. Las luces rojas intermitentes, los escaneos de puertos siniestros, los rumores de sofisticadas APT: estas son las narrativas que captan nuestra atención. Construimos fortalezas digitales, fosos de cortafuegos y torres de vigilancia de sistemas de detección de intrusiones, todo ello apuntando hacia un adversario externo sin rostro.

¿Y por qué no íbamos a hacerlo? A los medios de comunicación les encantan las buenas historias sobre hackers. Los titulares gritan sobre ataques de estados-nación y bandas de ransomware que secuestran empresas. Es un drama apasionante, lleno de destreza técnica y figuras oscuras.

Pero, ¿y si la verdadera amenaza no acecha en la oscuridad exterior, sino que se encuentra cómodamente dentro de tus propias paredes? ¿Y si las llaves de tu reino ya están en manos de alguien en quien confías, o crees confiar?

Dejemos de lado las estadísticas abstractas por un momento y pintemos un cuadro.

Imagina a Jennifer, una administradora de bases de datos que lleva cinco años en la empresa. Conoce los sistemas al dedillo, tiene acceso privilegiado a tus datos más sensibles y, en general, se la considera una empleada fiable. Pero Jenny está ahogada en deudas personales y una figura oscura en Internet le ha ofrecido mucho dinero a cambio de una copia de los registros de los clientes. Es algo puntual, se dice a sí misma. Nadie lo sabrá nunca.

O pensemos en Mark, un gerente de ventas descontento que se siente ignorado para un ascenso. Todavía tiene acceso a datos críticos de ventas y decide sabotear sutilmente los registros, sesgando los informes y socavando a sus antiguos superiores. Es su forma de vengarse, un acto silencioso de venganza digital.

Luego está David, un becario bienintencionado pero despistado, que trabaja desde casa y deja su ordenador desatendido. Un amigo malintencionado de su compañero de piso se aprovecha del acceso interno legítimo de David. Navega con facilidad por su red supuestamente segura y accede directamente a sus bases de datos.

No se trata de villanos de Hollywood con sudaderas con capucha. Son personas normales que se enfrentan a presiones cotidianas y que, de forma intencionada o no, pueden convertirse en conductos o en la fuente directa de devastadoras violaciones de datos.

Piénsalo:

• Tienen las llaves: los empleados internos poseen credenciales y permisos legítimos que los atacantes externos solo pueden soñar con obtener. Ni siquiera necesitan eludir tus defensas perimetrales cuidadosamente construidas.
• Conocen el terreno: están familiarizados con tus protocolos de seguridad, comprenden las estructuras de tus bases de datos, pueden localizar dónde se encuentran los datos y saben cómo modificarlos. Utilizan estos datos a diario y los conocen al dedillo. Por eso los ataques internos son mucho más peligrosos y difíciles de detectar.
• El daño puede ser catastrófico: un empleado malintencionado con el acceso adecuado puede extraer grandes cantidades de datos y modificar información crítica sin que nadie se dé cuenta. Pueden causar un daño irreparable a la reputación y a los resultados de su organización.

Dedicamos mucho tiempo y energía a construir muros, pero ¿qué pasa con las puertas y ventanas que dejamos abiertas a sabiendas para los que están dentro? Supervisamos meticulosamente el tráfico de red en busca de anomalías, pero ¿aplicamos el mismo nivel de escrutinio a la actividad interna?

La cifra del 20 % no es solo una estadística; representa empresas reales, personas reales y consecuencias reales. Aparece cada año en el DBIR (Informe de investigación sobre violaciones de datos) de Verizon, y es una parte significativa del panorama de las violaciones que no podemos permitirnos ignorar.

La seguridad centrada en los datos no es solo una «mejor» defensa contra las amenazas externas; es la única defensa verdadera contra el enemigo interno. Al centrarse en proteger los datos en sí, se deja sin poder al atacante, ya sea externo o interno, incluso si logra penetrar en su perímetro o aprovechar credenciales legítimas.

Recuerde que el hombre del saco en el borde de la red no suele ser un hacker experto, sino un script kiddy que busca una vulnerabilidad oportunista. El verdadero hombre del saco es el que toca sus datos todos los días y puede causar un daño inimaginable con solo pulsar unas teclas.

Tenga en cuenta estas prácticas recomendadas de seguridad de bases de datos.

Imagine que Jennifer intenta extraer registros de clientes, pero es detectada por una alerta de anomalía de Core Audit o se le deniega el acceso por una política de bloqueo SQL de Core Audit. Imagine que los intentos de Mark de sabotear los datos se marcan inmediatamente como un cambio en su perfil de actividad. Imagine que el amigo que utiliza el ordenador de David no consigue extraer los datos porque está accediendo a una cantidad inusual de información confidencial.

No se trata de desconfiar de todos los miembros de su organización. Se trata de reconocer que la naturaleza humana es compleja, que las circunstancias cambian y que incluso las personas bienintencionadas pueden ser explotadas. Se trata de implementar una estrategia de seguridad que asuma que se producirá un ataque a la base de datos, independientemente de su origen.

Así que, la próxima vez que revise su postura de seguridad, tómese un momento para mirar hacia dentro. Más allá de las deslumbrantes luces del panorama de amenazas externas, existe una realidad más silenciosa, quizás menos dramática, pero igualmente peligrosa dentro de sus propias paredes digitales. No permita que el enfoque en el exterior le impida ver las vulnerabilidades internas. Sus datos, y el futuro de su organización, dependen de ello. Es hora de sentir el peso de la amenaza interna, no solo de reconocer su existencia.