La Gran Renuncia ha provocado el mayor éxodo de empleados del que se tiene constancia, lo que presiona a los empleadores para atraer y retener talento.
Pero el «tsunami de rotación» y el teletrabajo durante la pandemia de COVID-19 también han agravado los desafíos de ciberseguridad.
Las organizaciones necesitan soluciones rigurosas para la desvinculación laboral a fin de reducir el riesgo de amenazas internas y filtraciones de datos cuando las personas se marchan.
La llamada Gran Renuncia, término acuñado y pronosticado por el psicólogo Anthony Klotz durante la pandemia, ha tenido un profundo impacto en organizaciones de todo el mundo.
Lo que comenzó como un fenómeno estadounidense se ha extendido por todo el mundo, y en 2021 se registró el mayor éxodo de empleados del que se tiene constancia. Solo en noviembre de 2021, casi 4,5 millones de personas en Estados Unidos renunciaron voluntariamente a sus empleos, lo que estableció un récord mensual histórico.
Algunos medios se refieren a este fenómeno como un «tsunami de rotación» debido a la ardua lucha que afrontan ahora algunas organizaciones para atraer y retener talento. Pero esa no es la única cuesta que deben remontar.
Riesgos para la seguridad de los datos y alta rotación de empleados
Además de hacer frente a la mayor brecha de competencias de toda una generación, los líderes empresariales también afrontan el inevitable riesgo para la seguridad de los datos que acompaña a una rotación de empleados sin precedentes, y eso está resultando muy problemático.
La pérdida de datos siempre es un riesgo cuando un empleado deja una organización. Según un informe reciente, casi dos tercios (63 %) de todos los empleados admitieron haberse llevado datos de su anterior lugar de trabajo para utilizarlos en su empleo actual, pero hay muchos otros que se apropian de datos al marcharse sin siquiera darse cuenta.
Ya sean malintencionadas o accidentales, las consecuencias pueden ser igual de devastadoras. De hecho, la Gran Renuncia podría ser una de las mayores amenazas internas a las que se enfrentan las organizaciones en toda una generación.
Crece la preocupación por las amenazas internas
Cuando se trata de la rotación de empleados, la seguridad siempre debería formar parte de la conversación. Lamentablemente, no siempre ha sido así, sobre todo en los últimos dos años.
Ante un éxodo masivo de talento, es perfectamente comprensible que las organizaciones se centren en captar y retener talento. Pero, al descuidar la higiene de los datos cuando los empleados se incorporan y se marchan, quedan completamente expuestas a los ataques.
Este riesgo se ha agravado aún más para las innumerables organizaciones que adoptaron un modelo de trabajo híbrido. El cambio para incorporar el trabajo a distancia durante la pandemia fue tan repentino que se disparó la adopción del uso de dispositivos propios (BYOD), lo que amplió la superficie de ataque para los delincuentes y, algo crucial, creó más silos de datos que podrían quedar fuera del control de una organización.
En el primer año de la pandemia, el 67 % de los empleados dijo que usaba dispositivos personales para realizar parte de su trabajo. Además, un asombroso 87 % de las organizaciones afirmó que dependía de la capacidad de sus empleados para acceder a aplicaciones empresariales móviles y otra información importante desde sus teléfonos inteligentes personales.
El trabajo a distancia elevó el riesgo para la seguridad
Aunque las ventajas del uso de dispositivos propios (BYOD), sobre todo durante la rápida transición al trabajo a distancia, fueron considerables, a menudo se pasaron por alto sus posibles desventajas en materia de higiene y seguridad de los datos.
Es un importante punto ciego, ya que el 71 % de las organizaciones admite que no sabe cuántos datos confidenciales suelen llevarse los empleados que se marchan al emprender una nueva etapa.
Estos datos pueden utilizarse de forma malintencionada para ejercer presión sobre un empleador anterior o dar una ventaja competitiva a un nuevo empleador. Pero, aunque el exempleado no sepa que está extrayendo datos y estos simplemente permanezcan inactivos en su dispositivo, siguen representando un riesgo extremo para la seguridad.
Estos problemas de pérdida de datos ya son bastante difíciles de afrontar durante los períodos de rotación media de empleados, pero la Gran Renuncia, combinada con el uso de dispositivos propios (BYOD) y la tendencia al trabajo híbrido, no ha hecho más que agravar el desafío.
¿Cómo suele producirse la pérdida de datos?
En realidad, hay dos tipos de extracción de datos: malintencionada y no malintencionada. La extracción malintencionada de datos es más frecuente de lo que muchas organizaciones creen y suele implicar que un empleado que se marcha se lleve deliberadamente datos confidenciales, ya sea para perjudicar a la organización que deja o para obtener una ventaja en su próxima actividad.
Según su cargo y nivel de acceso, a los empleados no les resulta nada difícil sacar datos a escondidas de una organización, sobre todo si el proceso de «desvinculación laboral» no es muy riguroso.
Entre los errores habituales figuran mantener activas las cuentas de correo electrónico de exempleados, no revocar su acceso a los servidores de la empresa o permitirles utilizar dispositivos personales sin supervisión en su trabajo diario.
¿Qué hace el Foro Económico Mundial para abordar la brecha de profesionales en ciberseguridad?
Sin embargo, también puede ser un acto no malintencionado o accidental, pero eso no lo hace menos peligroso. Durante el ataque de ransomware Nefilim de 2021, se reveló que uno de los principales métodos que utilizaron los atacantes para vulnerar redes corporativas fue aprovechar las llamadas «cuentas fantasma»: credenciales de inicio de sesión de exempleados que seguían activas.
En un caso, un actor de amenazas se había apoderado de una cuenta con privilegios de administrador que había pertenecido a un empleado fallecido, lo que le permitió acceder sin restricciones a la red corporativa. Estas cuentas inactivas son alarmantemente habituales y constituyen uno de los principales vectores de ataque para los atacantes externos.
No es raro que los empleados sigan conectados a sus cuentas de usuario en ciertos dispositivos después de dejar una organización. En algunos casos, incluso pueden tener un dispositivo corporativo, como una tableta o un teléfono inteligente, que simplemente olvidan devolver o, peor aún, que nadie les pide que devuelvan. Este es otro caso en el que un proceso riguroso de desvinculación laboral ayudaría a mitigar el riesgo.
Cómo mitigar los riesgos de las amenazas internas
Mientras seguimos navegando por las aguas relativamente inexploradas del trabajo híbrido a gran escala, nunca ha sido tan importante que las organizaciones mantengan una buena higiene de seguridad. Deben establecer políticas sólidas que definan las reglas para el manejo de datos y especifiquen qué pueden y qué no pueden hacer los empleados.
Aunque esto no detendrá en seco a una persona interna malintencionada, contar con reglas claras reducirá la probabilidad de pérdidas accidentales cuando un empleado finalmente se marche.
El principio del mínimo privilegio o de «confianza cero» también debe aplicarse en todo momento, sobre todo cuando los empleados trabajan a distancia. Así, los datos que conserva la organización solo estarán disponibles cuando se necesiten para desempeñar una función, lo que limita el número de cuentas con acceso a datos confidenciales y reduce las posibilidades de que surja una amenaza interna.
Además de establecer salvaguardas para todos los empleados en toda la empresa, también es importante que las organizaciones gestionen meticulosamente el proceso de desvinculación laboral. Es aquí donde muchas organizaciones suelen fallar, especialmente cuando se centran más en el nuevo talento que llega que en el que dejan marchar. En ciberseguridad, este es uno de los pocos casos en que mirar hacia atrás es tan importante, o incluso más, que mirar hacia delante.
Las empresas necesitan procesos rigurosos de desvinculación laboral
Ninguna cuenta de usuario debería permanecer activa cuando un empleado haya dejado la organización, y los registros deben revisarse minuciosamente antes de su partida para garantizar que no se hayan transferido datos a una fuente externa. El proceso de desvinculación laboral debe continuar incluso después de que el empleado haya salido del edificio, y las cuentas deben supervisarse con regularidad para garantizar que se haya revocado todo acceso.
Las organizaciones no pueden garantizar una mitigación del 100 % de las amenazas internas, pero pueden aspirar al 99 % y alcanzar ese objetivo con el enfoque y los recursos adecuados.
Las soluciones de ciberseguridad de Check Pointsoluciones de ciberseguridad, por ejemplo, ayudan a las organizaciones a crear una experiencia de desvinculación laboral segura y ágil, reduciendo el riesgo de pérdida o extracción de datos. Esto abarca desde la supervisión automática de los dispositivos de punto final y la segmentación intuitiva de confianza cero hasta la seguridad en la nube multicapa, capaz de detectar anomalías en los dispositivos y aprovisionar y ampliar automáticamente las políticas de seguridad.
¿Qué hace el Foro Económico Mundial en materia de ciberseguridad?
El Centro de Ciberseguridad ofrece una plataforma de confianza donde los líderes se reúnen para comprender los riesgos cibernéticos en evolución y sus implicaciones sistémicas. Se centra en fomentar la comprensión y la confianza en un mundo digital cada vez más interconectado.
Al facilitar la colaboración intersectorial y el intercambio de conocimientos, el Centro ayuda a sus socios a reforzar la ciberresiliencia y a afrontar desafíos que requieren respuestas colectivas.
Como su nombre indica, las amenazas internas siempre acechan en segundo plano durante las crisis. Resulta que la Gran Renuncia es una crisis que propicia especialmente los motivos malintencionados y las acciones negligentes en torno al manejo —o la gestión inadecuada— de los datos.
Si las organizaciones dedican tanta atención a la desvinculación de empleados como a su incorporación, tendrán más posibilidades de mantener seguras sus redes en 2022 y en adelante.
