Las filtraciones de datos provocadas por personas internas se agravaron considerablemente durante la pandemia, ya que casi todo el mundo trabajaba desde casa con menos medidas de seguridad. Ahora, con una economía en crisis que está provocando despidos masivos, las organizaciones podrían enfrentarse a una amenaza aún mayor: que los antiguos empleados conserven contraseñas y datos confidenciales o —lo que es peor— que lancen ciberataques contra sus antiguos empleadores.
Los recientes despidos, especialmente en el sector de la alta tecnología, son abrumadores: Alphabet, empresa matriz de Google, ha suprimido 12,000 puestos de trabajo; Amazon ha eliminado 18,000; Dell ha despedido a 6,650 empleados; IBM ha suprimido 3,900 puestos; Microsoft ha suprimido 10,000; y SAP ha despedido a 2,800 personas.
«No habíamos visto despidos tan importantes como estos desde que terminó la Gran Recesión, allá por el año 2009», afirma John Dooney, asesor especializado de la Sociedad para la Gestión de Recursos Humanos (SHRM). «Va a ser interesante ver cómo afrontan las empresas las amenazas o los problemas que se deriven de estos despidos».
No es que todos los trabajadores despedidos vayan a estar tan enfadados como para quedarse con contraseñas o datos de la empresa como parte de algún plan malintencionado para vengarse más adelante. De hecho, la mayoría de los empleados despedidos consiguen rápidamente y sin hacer mucho ruido otro empleo. Y en el caso del sector de la alta tecnología, casi cuatro de cada 10 han conseguido un nuevo empleo en el plazo de un mes desde que comenzaron su búsqueda, según una reciente encuesta de ZipRecruiter.
Dicho esto, las empresas pueden sufrir graves consecuencias al despedir a trabajadores si no han situado la ciberseguridad en el centro de sus planes y prácticas de incorporación y salida del personal.
«Uno de los mayores errores en materia de RR. HH. [recursos humanos] que cometen muchas empresas es no tener en cuenta las implicaciones en materia de ciberseguridad que conlleva la contratación y el despido de personal hasta que ya es demasiado tarde», sostiene Kyle Dewar, director de gestión técnica de cuentas de Tanium. «En la mayoría de los casos, los empleados se llevan únicamente documentos sin importancia, como plantillas o presentaciones, que les gustaría utilizar en sus próximos puestos de trabajo». Sin embargo, basta con que un solo ladrón venda propiedad intelectual [PI] o que un ex empleado descontento piratee la red de una empresa para perjudicarla. «Lamentablemente, con los despidos masivos que hemos visto últimamente, esto está ocurriendo con mayor frecuencia».
De hecho, aproximadamente un tercio de las empresas con planes de salida ineficaces afirman que, durante el último año, algunos de sus antiguos empleados se han llevado datos confidenciales (29 %), han violado la seguridad de sus redes (28 %) o han pirateado los sistemas de gestión de sus sitios web (32 %), según revela una encuesta de « » realizada por Beyond Identity (se abre en una nueva pestaña) . Como consecuencia, una cuarta parte de esas empresas sufrió un deterioro de su reputación.
Para evitar este tipo de dificultades, los expertos recomiendan definir qué acceso tendrán los empleados a los datos y recursos de la red mientras estén contratados, cómo se supervisará y se garantizará el cumplimiento de dichas normas, y qué sucederá en caso de cese en el empleo.
Una gestión segura del personal comienza con una contratación acertada
El primer paso consiste en que los responsables de RR. HH. y de TI establezcan políticas de uso aceptable (AUP) como parte de toda la documentación de incorporación que firman los nuevos empleados antes de comenzar a trabajar, aconseja Rajan Koo, director de atención al cliente y responsable del programa i3 en DTEX Systems, una empresa dedicada a la gestión de amenazas internas. Al aceptar legalmente las políticas de uso aceptable (AUP), los empleados se comprometen a cumplir las normas para utilizar de forma segura los ordenadores y los recursos de red de la empresa. Asimismo, reconocen que saben que su empresa podría estar supervisando de forma anónima su actividad en línea mientras están en el trabajo, como parte de las medidas destinadas a identificar comportamientos digitales sospechosos o maliciosos.
«Uno de los mayores errores que cometen las empresas en materia de recursos humanos es no tener en cuenta las implicaciones en materia de ciberseguridad que conlleva la contratación y el despido de personal hasta que es demasiado tarde.»Kyle Dewar, director de gestión técnica de cuentas de Tanium
Koo afirma que nada de esto debe comunicarse de forma fría ni con mano dura. Más bien, los directivos deberían explicar con sinceridad que, aunque la empresa confía en sus empleados, debe hacer todo lo posible por proteger los datos financieros y de los clientes de carácter confidencial por motivos legales y normativos. Si se transmite adecuadamente, este mensaje puede fomentar el cumplimiento de las normas y, al mismo tiempo, disuadir de comportamientos inadecuados, incluso tras un despido, añade Koo.
Las empresas no deberían afirmar que supervisan la actividad si no lo hacen. Los empleados no son tontos; tarde o temprano se darán cuenta de que nadie les vigila y, en ese momento, podrían sentirse libres de sustraer datos de la empresa sin autorización, sobre todo si tienen intención de dimitir o si intuyen que se avecinan despidos.
[Lea también: Por qué los trabajadores violan las políticas de ciberseguridad]
De hecho, una encuesta de Cyberhaven realizada por revela que los empleados son un 68.7 % más propensos a sustraer datos o contraseñas antes de presentar su dimisión. Del mismo modo, la encuesta reveló que los trabajadores despedidos tienen un 23.1 % más de probabilidades de sustraer datos el día anterior a su despido y un 109.3 % más de probabilidades de llevarse datos el mismo día de su despido.
Detectar los riesgos relacionados con información privilegiada
Los expertos afirman que las organizaciones deben mostrarse cautelosas ante este tipo de actividades, ya que podrían indicar que un empleado está sustrayendo secretos comerciales.
Un ejemplo claro: Anthony Levandowski, ingeniero especializado en vehículos autónomos que fue condenado (y indultado), quien abandonó Google hace varios años para fundar su propia empresa, Otto (posteriormente adquirida por Uber), y fue acusado de llevarse consigo archivos secretos relacionados con los coches autónomos . Un comportamiento digital inusual también podría indicar que algunos empleados están descargando información de contacto de los clientes para impulsar sus propios negocios. O bien podría indicar que unos trabajadores desilusionados están acumulando contraseñas para espiar las comunicaciones internas, destruir información de la empresa o lanzar ciberataques en el futuro.
Existen numerosas herramientas de visibilidad, control y corrección en tiempo real de que ayudan a las empresas a supervisar y combatir este tipo de actividad digital. Por ejemplo, algunas soluciones de seguridad de terminales de pueden proteger a las empresas frente a amenazas internas (o de personas que pronto dejarán de serlo) y ataques de día cero. Además, pueden detectar y subsanar las brechas de seguridad que, de otro modo, podrían haber pasado desapercibidas. Además, algunos de estos productos generan registros de auditoría que permiten rastrear el destino al que podrían haber llegado los datos sustraídos, especialmente la propiedad intelectual.
[Read also: The top cybersecurity trends for 2023]
«Esto es importante porque muchas organizaciones no se dan cuenta de que han perdido propiedad intelectual hasta muchos años después, cuando esta acaba incorporándose al producto de un competidor como oferta comercial», afirma Koo. «Un registro de auditoría le permite remontarse en el tiempo y comprobar qué datos se han movido, de dónde procedían, quién ha tenido acceso a ellos y adónde han ido a parar».
Preparándose para el «Día D»
Según los expertos, lo ideal es que, cuando los empleados renuncien o sean despedidos, la empresa cuente con procesos de incorporación y salida bien planificados, lo que debería ayudar a limitar la pérdida de datos o los ataques informáticos. No obstante, aún es necesario llevar a cabo varias medidas el día de la salida —o «Día D»— para minimizar el riesgo a largo plazo.
«. Permitir que los empleados se queden con algunas de las cosas en las que han trabajado puede suponer un alivio y un consuelo para ellos al marcharse.»John Dooney, asesor en materia de conocimientos, Sociedad para la Gestión de Recursos Humanos
Una de las consideraciones más importantes —y más ignoradas— es la siguiente: la compasión es fundamental. Asegúrese de que los empleados se enteren de sus despidos primero a través de personas empáticas, en lugar de enviarles un mensaje electrónico, cortarles el acceso a la red sin explicación alguna o dejar que se enteren de su destino a través de las noticias. Una conducta tan insensible por parte de podría llevar a algunos antiguos empleados ofendidos a sustraer activos digitales o a lanzar futuros ciberataques.
En una entrada reciente de su blog, Catherine Marinis-Yaqub, directora de Control Risks Crisis and Security Consulting, recomienda a las empresas que adopten también otras medidas de precaución, entre las que se incluyen:
- Bloquear todo el acceso a los activos digitales de la empresa, incluidos los buzones de correo, las aplicaciones, cloud, la red de la empresa y otras fuentes de datos, así como los dispositivos móviles propiedad de la empresa. Una vez más, esto debería coincidir con el momento en que se comunique a los empleados su despido, o bien tener lugar a continuación de dicho momento.
- Recuperar todos los dispositivos, equipos y bienes proporcionados por la empresa y entregados a los empleados, tales como ordenadores portátiles, discos duros, memorias USB, teléfonos móviles, tarjetas de crédito de la empresa, tarjetas de identificación, tarjetas de acceso y pases de aparcamiento.
- Eliminación de datos de la empresa en los dispositivos electrónicos propiedad de los empleados.
[Lea también: Así es como cada empleado puede —y debe— formar parte del equipo de ciberseguridad]
- «Realizar una entrevista de salida en presencia de un responsable de seguridad o de riesgos para “abordar los riesgos que pueden suponer para la organización los empleados que abandonan la empresa y recordarles su obligación de proteger la los activos críticos , así como sus acuerdos de no competencia”», sugiere Marinis-Yaqub. Si esto no puede hacerse en persona, afirma, las empresas deberían abordar estos puntos clave en las comunicaciones escritas que envíen a los empleados.
- Organizar medidas de seguridad adicionales en las instalaciones físicas cuando se prevea que los empleados que abandonan la empresa estén presentes durante sus últimos días de trabajo y, en su caso, acompañarlos fuera de las instalaciones para evitar daños a las personas, los datos o las instalaciones.
En relación con este último punto, el Sr. Dooney, de la SHRM, afirma que los equipos de recursos humanos deberían mitigar el trauma psicológico que supone ser escoltado fuera de las instalaciones.
«Los empresarios pueden ser de gran ayuda y transmitir tranquilidad si comunican a los empleados que dispondrán de tiempo para volver a recoger sus efectos personales y los documentos que la empresa les permita llevarse», afirma. «Obviamente, no se tratará de datos de contacto de los clientes ni nada por el estilo.» «Sin embargo, permitir que los empleados se queden con algunas de las cosas en las que han trabajado puede suponer un alivio y un consuelo para ellos en el momento de su marcha».
