Violación de datos: lo que la mayor amenaza interna de Tesla en 2023 puede enseñarnos de cara a 2024

En 2023, Tesla experimentó su mayor amenaza interna del año en mayo, al anunciar que había sufrido una violación de datos masiva, lo que posiblemente sea la mayor violación en la historia de la compañía, con __ más de 75.000 empleados __ y ex empleados que tienen información de identificación personal ( PII) filtrado.

Según los informes que denominaron los datos robados como "Los archivos Tesla", la fuga de 100 GB incluyó:

• Información personal de los empleados como sus nombres, direcciones, números de teléfono y números de Seguro Social.
• Datos bancarios del cliente
• Secretos de producción
• Quejas de los clientes sobre las funciones de conducción autónoma total (FSD) de Tesla

Según los informes, incluso al director ejecutivo Elon Musk se le filtró su número de Seguro Social.

Desde entonces supimos que había dos culpables detrás de la infracción: dos ex empleados de Tesla quien envió el volcado masivo de datos al periódico alemán Handelsblatt.

La buena noticia para Tesla es que el medio ha anunciado que no publicará el contenido de la filtración. Como organización periodística, especialmente en Alemania, Handelsblatt podría encontrarse en problemas por publicar información personal sobre información personal. Sin embargo, el editor notó el hecho de que las filtraciones incluían quejas sobre problemas de seguridad con los vehículos, lo que aún podría causarle a Tesla bastante dolor, ya que escribir sobre estos temas fácilmente podría caer en el grupo del "interés público" para los periodistas.

La mala noticia es que es posible que la empresa todavía esté en apuros por 3.300 millones de dólares en multas por violaciones de la privacidad de datos según el RGPD.

Si bien la filtración es interesante en sí misma por razones de escala y el alto perfil del objetivo, en este artículo analizaremos el papel que puede desempeñar el fomento de la lealtad de los empleados para ayudar a alterar el deseo de los empleados de querer volverse en contra. sus organizaciones.

Pero primero, echemos un vistazo a la historia de Tesla en cuanto a lidiar con amenazas internas.

La historia de Tesla de incidentes de amenazas internas

Esta no es la primera vez que Tesla aparece en los titulares en términos de un incidente de amenaza interna. De hecho, la compañía tiene una situación mixta en lo que respecta a su historial de incidentes de amenazas internas a lo largo de los años.

En 2018, Musk anunció que un empleado malicioso había realizado "sabotaje extenso y dañino " a la empresa, extrayendo grandes cantidades de datos y realizando cambios en sus sistemas.

Según se informa, el empleado estaba enojado por no haber recibido el ascenso que creía que le esperaba y decidió hacer saber su descontento por medios poco agradables.

En el otro lado de la balanza, en 2020, un empleado alertó a la empresa de que se le había acercado un viejo conocido que intentaba sobornarlo para que ayude a llevar a cabo un ataque de ransomware . Gracias a la advertencia del empleado, Tesla pudo frustrar el ataque y el miembro del equipo de ransomware fue arrestado.

En ambos casos, vemos el daño potencial que un insider malicioso puede causar a su organización y, francamente, lo fácil que puede ser para ellos tener éxito.

¿Por qué es tan difícil detener las amenazas internas?

Las amenazas internas son una de las más difíciles de defender para las organizaciones porque son usuarios legítimos que ya están dentro de sus sistemas.

A diferencia de los externos que necesitan robar/phishing/comprar credenciales y luego derrotar a MFA, un interno es un usuario real dentro de su organización que puede actuar con total normalidad hasta el momento en que no lo haga.

Esto significa que no hay indicadores de compromiso ni credenciales filtradas que aparezcan en "¿Me han engañado?". A menudo no lo detectarás hasta que el daño ya esté hecho.

Un factor adicional es el hecho de que muchas amenazas internas no son realmente maliciosas. Si bien causan un daño real con sus filtraciones, actúan sin querer mediante errores y negligencia general. Según el Informe de investigaciones de violación de datos de Verizon para 2023, descuido fue la causa del 98% de los errores que condujeron a una filtración de datos.

Esta dificultad en la detección ha llevado a muchas organizaciones a buscar formas de evitar incidentes antes de que ocurran, buscando estrategias de prevención. Aquí es donde entra en juego la cuestión de la motivación y la lealtad.

Impactos negativos en la lealtad de los empleados

Año tras año, el principal motivador de los incidentes de amenazas internas es la ganancia financiera.

Ya sabes, la codicia a la antigua usanza.

Y, sin embargo, la semilla que conduce a la traición se planta mucho antes de que un empleado decida tomar medidas más drásticas como robar o dañar sus datos.

Mirando a la Informe de investigaciones de vulneración de datos de Verizon para 2023 , los investigadores encontraron que el 89% de los casos de uso indebido de privilegios tenían una motivación financiera, seguidos por un “rencor” con un 13%.

Entonces, ¿qué lleva a ese rencor?

Según la tesis de 2021 de Jacques Y. Kassa “ Modelado de la relación entre lealtad y amenaza interna ” En la Escuela Naval de Postgrado en Monterey, CA, la depresión, la desesperanza, la frustración, el descontento y la ira son factores emocionales que influyen en las amenazas internas.

No es una idea innovadora, pero también sabemos que las organizaciones no invierten suficiente esfuerzo en consultar con los empleados para ver cómo se sienten acerca de su lugar en la organización.

Kassa escribe que motivadores como la ideología, la venganza, la retribución, el espionaje y el activismo son más frecuentes en las organizaciones gubernamentales que en los sectores civiles. Quizás en el caso de Tesla, pudo haber habido un deseo de compartir algunos de los datos de seguridad con el público, aunque existe la duda de si esto es activismo o represalia.

Sin embargo, hay un par de factores a tener en cuenta.

Mal pagado y subestimado

Ser bien remunerado por su trabajo es el principal motivador para prácticamente todos los empleados. Mejor que refrigerios adicionales o actividades de la empresa, los empleados necesitan sentir que son apreciados por su trabajo, y una compensación acorde es un indicador claro de ese reconocimiento y respeto.

Sentirse parte del equipo

Durante la pandemia, una de las luchas que enfrentaron las organizaciones fue que los empleados mantuvieran la sensación de estar en el equipo. Trabajar a distancia significó no fortalecer los vínculos informales y en persona que pueden hacer que una persona sienta camaradería con sus compañeros de trabajo y disuadirlos de querer causarles daño.

Después de todo, si estas son solo personas que ves en llamadas de Zoom y cadenas de correo electrónico, ¿qué les debes si surge una mejor oportunidad?

Esto ha sido principalmente un problema de retención, pero también puede afectar las motivaciones de alguien que se vuelve malicioso.

Despidos masivos y la gran dimisión

Estamos en un momento cultural francamente diferente al de hace cinco o diez años.

La incertidumbre en el mercado laboral es una constante, y las organizaciones despiden a grandes cantidades de trabajadores en oleadas masivas. Grandes jugadores como Amazon han recortado 27.000 trabajadores en el último año, mientras que Microsoft ha despedido a más 10.000 gente.

Esto ha llevado a muchos a tener la sensación justificada de que sus empresas no les son leales. Entonces, ¿por qué deberían devolverle la lealtad? ¿Por qué no tomar algunos datos de clientes o IP valiosa antes de que le muestren la puerta si eso podría darle una ventaja en su próximo trabajo?

Combine esta incertidumbre con la Gran Renuncia que vio a los trabajadores abandonar trabajos que tal vez habían soportado por algo mejor. Tal vez encontraron una mejor ubicación, algo totalmente remoto, o al tener otras buenas condiciones decidieron buscar pastos más verdes en otro lugar.

Muchos simplemente miraron a su alrededor y vieron que muchos otros estaban dejando sus trabajos, así que ¿por qué no ellos también?

Tres consejos para reducir el riesgo de amenazas internas

Dadas las formas en que se puede disminuir la lealtad de los empleados, ¿cómo pueden las organizaciones mejorar los sentimientos positivos que tienen sus empleados y reducir el riesgo de sufrir un incidente de amenaza interna?

Aqui hay algunas sugerencias.

Proporcionar una salida para la frustración o las preocupaciones

Más allá de la necesidad de sentirse apreciada, las personas necesitan sentir que tienen un lugar al que acudir cuando algo les molesta en el trabajo.

Una pregunta que cualquier empresa, especialmente un fabricante, debería hacerse es si los empleados tienen un lugar al que acudir donde puedan expresar sus preocupaciones éticas internamente y asegurarse de que se traten con la debida seriedad.

Si los trabajadores no tienen un canal interno para abordar sus inquietudes, entonces pueden buscar opciones en otros lugares.

Invertir en educación y formación

Hay una pregunta interesante sobre los incidentes accidentales causados por personas internas. Por un lado, no eligen activamente dañar a su empleador, ya que el caso no es intencionado. Sin embargo, por otro lado, la falta de interés en seguir las directrices debido a la falta de un fuerte compromiso con su organización probablemente influye en la ocurrencia de estos incidentes.

Tratar con actores no maliciosos requiere menos palos y más zanahorias para obtener resultados. La formación y la educación pueden desempeñar un papel fundamental en la prevención de incidentes.

Las ventajas aquí pueden ser dobles. Aprender los protocolos adecuados para manejar datos y sistemas confidenciales les enseña cómo hacer el trabajo de manera correcta y segura. También les da un sentido de propiedad.

Cuando su organización invierte tiempo y recursos en capacitarlos sobre cómo ser mejores en su trabajo y proteger la organización, aumentan las posibilidades de que intenten implementar lo que aprenden en los cursos.

Fomente pero verifique con el análisis del comportamiento del usuario

Incluso mientras trabajamos para aumentar el nivel de confianza con los empleados, debemos implementar medidas para verificar que las personas se comporten de la mejor manera.

Esto significa implementar herramientas de análisis del comportamiento del usuario para monitorear continuamente el comportamiento con el fin de establecer una línea de base de actividad. Una vez que comprendamos cómo interactúan normalmente las personas con los sistemas con los que tienen derecho a trabajar y pensemos con qué aplicaciones, conjuntos de datos, etc. interactúan regularmente, podremos detectar cuándo comienzan a actuar de manera anómala.

La mayoría de los casos de amenazas internas siguen patrones similares en el sentido de que los actores de amenazas abusan de sus privilegios y encuentran formas de exfiltrar sus datos robados. Al monitorear archivos confidenciales, podemos ver quién accede a ellos y, potencialmente, quién se sale de las líneas y necesita seguimiento.

La lealtad se gana, no se da

Una nota para aclarar. Las empresas no son familias. Contratan, despiden, reducen personal y trabajan por su propio interés. La mayoría de nosotros no despedimos a nuestros familiares, aunque a veces lo queramos.

Los empleados tienen el mismo derecho a abandonar una organización si sienten que no se satisfacen sus propias necesidades. Tener lealtad a una empresa no significa que alguien deba quedarse si no está contento.

Lo que sí significa es que si la organización actúa correctamente, generará suficiente buena voluntad para mantener a los empleados en el camino ético y legal de no robar sus datos ni intentar causarles daño.

Y eso puede ser suficiente para ayudar a difundir y prevenir un posible incidente.