Iniciaremos nuestro blog hablando del sabotaje TI

El sabotaje es un acto deliberado para afectar instalaciones, productos, servicios o activos en general, con el fin de provocar daño a un individuo, y/o a una organización. El riesgo de sabotaje TI, está presente en todas las instituciones que utilizan sistemas e infraestructura tecnológica, y es de suma relevancia en las empresas que son parte de la infraestructura crítica de cada país.

El Instituto de Ingeniería de Software de la Universidad Carnegie Mellon, en conjunto con el Servicio Secreto de Estados Unidos efectuaron un estudio en el cual se analizó 150 delitos cibernéticos internos en sectores de infraestructura crítica de Estados Unidos.

El estudio lo realizó un equipo multidisciplinario, y se centró en personal TI que efectuó sabotaje a través de infraestructura crítica, cuyo objetivo primario fue dañar algún aspecto de la organización tal como operaciones comerciales, información, archivos de datos, el sistema o la red, o para dañar a un individuo. Algunas cifras relevantes:

• El 86% de los empleados ocupaban puestos técnicos (TI). El 90% de ellos obtuvieron acceso de administración del sistema o acceso privilegiado al sistema al momento de ser contratados.
• El 81% de las empresas atacadas experimentaron pérdida financiera. Las pérdidas oscilaron entre un mínimo de quinientos dólares y un máximo de “decenas de millones de dólares”.
• El 75% de las empresas experimentaron algún impacto en las operaciones comerciales.
• El 28% experimentó impacto negativo en su reputación.

Los resultados del estudio muestran que para detectar amenazas internas tan pronto como sea posible o prevenirlas, los miembros de la gerencia TI, gestión de personas, oficiales de seguridad y otros miembros de la organización deben comprender los aspectos psicológicos, organizativos y técnicos del problema, así como coordinar sus acciones en el tiempo. Adicionalmente, permitió identificar 7 observaciones generales:

1. La mayoría del personal tuvo predisposiciones personales (*1) que contribuyeron al Riesgo de cometer Sabotaje TI.
2. La mayoría del personal que cometió sabotaje TI estaba descontento debido a expectativas no cumplidas.
3. En muchos casos situaciones de estrés, incluyendo sanciones al personal, contribuyeron con la probabilidad de sabotaje del personal TI.
4. Precursores de comportamiento (*2) eran a menudo observables en los casos de sabotaje TI, pero eran ignorados por la organización.
5. En muchos casos las empresas fallaron en detectar precursores técnicos (*3).
6. Personal TI creó o utilizó rutas de acceso desconocidos por la administración para configurar su ataque y ocultar su identidad o acciones. La mayoría de los ataques se efectuaron después de la desvinculación del personal.
7. Falta de controles de acceso físico y lógicos facilitaron el sabotaje.

(*1) Predisposición personal: una característica vinculada históricamente a una propensión (simpatía, interés) para exhibir conducta maliciosa del personal. Las predisposiciones personales explican por qué algunas personas llevan a cabo actos maliciosos, mientras que colaboradores que son expuestos a las mismas condiciones no actúan maliciosamente. Las predisposiciones personales pueden ser reconocidas por ciertos tipos de características observables.

(*2)Precursor del comportamiento: una acción individual, evento o condición que involucra comportamientos personales o interpersonales y que precede y se asocia con la actividad maliciosa. Precursores del comportamiento observado en los casos analizados incluyen el uso de drogas, conflictos con compañeros de trabajo, comportamiento agresivo o violento, cambios de humor, bajo rendimiento laboral, ausencia o tardanza, acoso sexual, el engaño sobre las calificaciones, violaciones de código de vestimenta, y la falta de higiene. Muchos precursores conductuales fueron violaciones directas de las políticas y normas organizativas explícitas.

(*3) Precursor técnico: una acción individual, evento o condición que involucra el uso de medios computacionales o electrónicos, y que precede y está asociado con la actividad maliciosa. Precursores técnicos observados en los casos investigados, incluyen la descarga y el uso de herramientas de hackers, fallas en crear copias de seguridad, falta de documentación de sistemas o software, acceso no autorizado de los clientes “o compañeros de trabajo”, el acceso al sistema después de la desvinculación, el acceso inadecuado de Internet en el trabajo, y la configuración y el uso de las cuentas backdoor.

El detalle de las observaciones generales y el estudio completo se puede descargar en: https://resources.sei.cmu.edu/library/asset-view.cfm?assetid=8703