Modelación de amenazas internas a la seguridad de la información utilizando dinámica de sistemas

Abstract

En estos últimos años el avance acelerado de la tecnología y las telecomunicaciones ha provocado que los sistemas de información y la información misma de las empresas u organizaciones sean cada vez más vulnerables. Inicialmente se tenía la creencia que las amenazas a la información y sistemas de información de una organización se daban únicamente desde el exterior de la misma, sin embargo la experiencia y las estadísticas han demostrado lo contrario. Actualmente el número de ataques o amenazas realizadas desde lo interno de una organización están aumentando aceleradamente. Los ataques internos a la seguridad de la información causan pérdidas económicas, daños en la reputación de una organización y daños en la moral de sus empleados. El problema es que muchas veces las empresas u organizaciones no logran percibir adecuadamente el riesgo inminente de estas amenazas debido en gran parte a una confianza o conformidad excesiva en cuanto al accionar de su personal, quienes en algunos casos aprovechan esa condición para realizar de manera planificada y gradual una serie de acciones precursoras que con el paso del tiempo llevan a disminuir los niveles de seguridad de la organización hasta que es demasiado tarde y ocurre un incidente mayor. En este documento se propone un modelo genérico en el cual se presentan las principales variables que interactúan y dan lugar a las amenazas internas de seguridad de la información en una organización. Dada la escasez de información pública concerniente con este tema, las variables consideradas para el desarrollo del modelo están basadas en el análisis de los pocos casos que se conocen actualmente. Para el desarrollo del modelo genérico se utilizó la metodología de Dinámica de Sistemas, la cual al estar basada en el pensamiento sistémico, permite abordar el problema de las amenazas internas de seguridad desde una perspectiva holística. Mediante las simulaciones del modelo se logró observar que para contrarestar el problema de las amenazas internas de seguridad una organización debe de implementar controles tanto técnicos, formales e informales de manera simultánea, que le permita poder controlar de una manera más adecuada lo que sucede dentro de su organización. El desarrollo de este modelo se convierte así en un instrumento que permite concientizar a los altos directivos de las empresas u organizaciones de la importancia que se le debe de dar al problema de las amenazas internas de seguridad y además les permite generar y poner a prueba una serie de políticas que les lleve a tomar decisiones más acertadas en temas de seguridad de la información.