Cómo prevenir el robo de propiedad intelectual por parte de personas internas

La propiedad intelectual (PI) suele ser el activo más importante que tiene una empresa, porque el desarrollo de soluciones innovadoras es la forma más eficiente para que las empresas compitan en un mundo totalmente tecnológico. A diferencia de las patentes, que pueden garantizar el derecho de exclusividad a cambio de su divulgación pública, la propiedad intelectual incluye secretos comerciales y conocimientos técnicos que el propietario no puede divulgar y que requieren una protección particularmente rigurosa.

Desafortunadamente, algunos empleados que tienen acceso a IP pueden tener una actitud laxa con respecto a su seguridad. Según un estudio basado en los comentarios de 1.700 líderes empresariales del Reino Unido, Estados Unidos y Alemania, el 72% de los directores ejecutivos confesaron que habían adquirido propiedad intelectual de un empleador anterior. Esto está respaldado por el Informe de riesgos de TI de 2018 de Netwrix, que encontró que el 39% de las empresas consideran que los empleados que se van y son despedidos son el mayor riesgo para su propiedad intelectual. Si una empresa no ha detectado a tiempo a un insider, el individuo puede llevar los datos robados a un competidor. Es difícil prevenir el robo de propiedad intelectual, porque todos los empleados que entran en contacto con datos confidenciales pueden ser cómplices de ello. A continuación se ofrecen algunos consejos sencillos que pueden ayudar a las organizaciones a mitigar este riesgo.

Paso 1. Sepa dónde residen sus datos confidenciales y quién tiene acceso a ellos

Hoy en día, muchas empresas almacenan la propiedad intelectual en la nube o la distribuyen entre múltiples sistemas y aplicaciones. Ejemplos de dicha información confidencial pueden incluir código fuente, formulaciones, métodos y procesos. Además, los usuarios suelen copiar datos a sus dispositivos personales cuando trabajan de forma remota en sus computadoras portátiles, lo que hace que sea muy difícil eliminar el riesgo de una violación de datos.

Para poder proteger dichos activos de información, una empresa necesita determinar qué datos confidenciales posee y clasificarlos de menos a más confidenciales. Cuando se completa este paso, es necesario identificar a todos los usuarios, contratistas y socios que tienen acceso a él y definir posibles puntos de compromiso. Por ejemplo, si un empleado tiene acceso a la información de la empresa sobre el desarrollo de nuevos productos, entonces pertenece a un grupo de alto riesgo.

Paso 2. Establecer políticas de seguridad de datos para toda la organización

Un paso vital para proteger la propiedad intelectual de una empresa es garantizar que la información confidencial esté disponible solo para el personal autorizado, cuyo acceso está estrictamente limitado según sea necesario. Al igual que en el ejemplo anterior, los derechos de acceso a los archivos con datos sobre el desarrollo de nuevos productos deberían limitarse únicamente a los empleados que participan en la investigación y el desarrollo. También es necesario actualizar periódicamente los derechos de acceso y desactivar operativamente todas las cuentas de usuario el último día de trabajo de un empleado. Otro paso importante es garantizar que todos los empleados que trabajan con propiedad intelectual estén informados sobre las políticas de seguridad y las sanciones por ignorarlas.

Paso 3. Controlar que todos los usuarios cumplan las políticas

En la vida real, los empleados son susceptibles a olvidar o ignorar las políticas de seguridad. Una investigación de Kaspersky Lab encontró que solo el 12% de los empleados conocen las políticas de seguridad de TI de su organización. Esto se refiere a empresas de todos los tamaños: ni siquiera las empresas pueden decir que su propiedad intelectual está 100% protegida contra amenazas internas. Por ejemplo, las autoridades estadounidenses arrestaron recientemente a un ex empleado de Apple cuando estaba a punto de volar a China con información confidencial relacionada con el proyecto de automóvil autónomo de Apple.

Por lo tanto, las organizaciones deben poner todos los esfuerzos posibles para garantizar el cumplimiento de las políticas de seguridad. En particular, es necesario implementar métodos específicos para monitorear el comportamiento de los usuarios y rastrear intentos de acceso no autorizados o innecesarios. Estos métodos deberían permitir a los profesionales de seguridad de TI intervenir si es necesario para finalizar una sesión sospechosa.

Algunos ejemplos de señales de que alguien está intentando violar la política de seguridad y robar IP son:

1. Picos de actividad. Por ejemplo, si alguien ha copiado una gran cantidad de datos confidenciales, el equipo de seguridad cibernética debería recibir una alerta sobre este incidente e investigarlo de inmediato.
2. Actividad fuera del horario comercial
3. Acceso VPN anómalo

Paso 4. Involucrar al CEO en el establecimiento de la cultura de ciberseguridad

Para eliminar el riesgo de que empleados deshonestos roben propiedad intelectual e interrumpan las operaciones, un jefe del Departamento de Seguridad de la Información debe colaborar con un director ejecutivo para desarrollar una estrategia de seguridad cibernética. El director ejecutivo debe establecer objetivos para el equipo directivo y el departamento de recursos humanos para crear conciencia sobre la seguridad cibernética en toda la organización.

Este objetivo debe incluir ciertas tareas específicas. El papel de los equipos de gestión es garantizar que sus subordinados sigan las políticas de seguridad. La función de RR.HH. es impartir formación en ciberseguridad a los empleados para recordarles cómo tratar los datos confidenciales y animar a las personas a informar sobre incidentes. RR.HH. también debería establecer un conjunto de reglas a la hora de contratar. Esto incluye hacer preguntas específicas durante una entrevista de trabajo para descubrir la actitud de un individuo hacia la ética. Es aconsejable exigir a los empleados que certifiquen por sí mismos que han leído y comprendido las políticas de seguridad de la organización (ya sean relacionadas con la propiedad intelectual u otros activos de datos) y garantizar que este proceso se lleve a cabo anualmente.

Cada empresa debe tener una estrategia para mitigar las amenazas internas a su propiedad intelectual, ya que cada empresa tiene puntos individuales de compromiso de datos y enfrenta actores de amenazas específicos. Es imposible subcontratar la solución de este problema. No existe ningún algoritmo externo a la política de seguridad de una empresa para minimizar este riesgo. La alta dirección debe colaborar con los gerentes de seguridad cibernética para identificar la estrategia más eficiente que proteja los datos y los sistemas y esté en línea con los procesos del negocio.