1. Introducción

Las amenazas internas en la empresa son cualquier riesgo que nace de una persona con acceso legítimo, actual o pasado, a sistemas, datos o instalaciones: empleados en activo, exempleados con accesos sin revocar, becarios, contratistas, consultores, proveedores y socios con conexiones. Mientras que la mayoría de las organizaciones invierte en defenderse del atacante externo, más de la mitad de las fugas significativas involucran a un insider.

Los datos lo confirman: según el informe Ponemon Cost of Insider Risks 2025, con más de 1.400 organizaciones estudiadas, el coste medio por incidente interno alcanza los 17,4 millones de dólares y el tiempo medio de contención los 81 días. Y según Gartner, más del 50% de los incidentes significativos de fuga involucrarán a un insider. La mayoría no son maliciosos: son negligentes.

En este artículo repasamos las cinco categorías de insider, las 7 señales de comportamiento de riesgo que se pueden detectar de forma legítima y verificable, y cómo responder ante un indicio sin vulnerar la ley: la monitorización del empleado en España está delimitada por el Estatuto de los Trabajadores, la LOPDGDD y la STC 170/2013, y una prueba obtenida de forma ilegítima puede invalidar todo el procedimiento.

2. Por qué las amenazas internas en la empresa son un problema creciente

El insider parte de una ventaja que ningún atacante externo tiene: conoce los sistemas, sabe dónde están los datos valiosos y ya tiene credenciales legítimas. El coste medio de 17,4 millones de dólares por incidente del informe Ponemon 2025 no incluye solo el valor del dato robado: incluye la respuesta, el forense, la notificación, las multas, la pérdida de negocio y el tiempo de contención, que se eleva a 81 días. Cuanto antes se detecta un insider, menor es el daño; la detección tardía es lo que dispara las cifras.

Otro factor que agrava el problema es el acceso acumulado: los empleados acumulan permisos durante años y las revisiones de acceso trimestrales no existen en muchas empresas. Un ejemplo clásico típico de 2026 es el exempleado que conserva acceso a un SaaS olvidado por el área de TI; su cuenta sigue activa y entra en cualquier momento. Las amenazas internas en la empresa no se resuelven con más firewall, sino con identidad, proceso y observación del comportamiento.

3. Las cinco categorías de insider

Para responder bien hay que clasificar bien. La taxonomía práctica distingue cinco categorías, con motivaciones y tratamientos muy diferentes:

Categoría	Motivación	Ejemplo típico	Respuesta prioritaria
Negligente	Descuido, falta de formación	USB personal, correo equivocado	Formación y controles DLP
Comprometido	Credenciales robadas externamente	Phishing AiTM que escala a BEC	Contención y rotación
Malicioso activo	Lucro, venganza, ideología	Exfiltración para vender datos	Investigación y denuncia
Exempleado	Accesos no revocados	Cuenta SaaS activa tras la salida	Offboarding riguroso
Tercero / proveedor	Acceso legítimo a tu entorno	Incidente de supply chain	TPRM y accesos limitados

Fig. 1 – Las cinco categorías de amenazas internas y su respuesta prioritaria.

La categoría negligente es la más numerosa y la que mejor se puede reducir con concienciación y controles automáticos. La categoría comprometida es la que más se confunde con un ataque externo, porque efectivamente empieza fuera. La maliciosa es la que más daño reputacional causa y la que exige el procedimiento legal más riguroso.

4. Las 7 señales de comportamiento de riesgo que debes vigilar

Las señales de riesgo de un insider son técnicas y verificables, no corazonadas. Son siete los indicadores que el libro de referencia recomienda monitorizar de forma sistemática con UEBA y análisis de identidad:

• Acceso fuera del ámbito funcional: un perfil de finanzas que toca sistemas de RR.HH. o producción sin justificación.
• Descargas masivas fuera de horario: volúmenes anómalos de datos a las 02:00 o en fines de semana.
• Transferencias a cloud personal: Gmail, WeTransfer, Dropbox o MEGA como destino de datos corporativos.
• Copia masiva a USB: conectividad de almacenamiento extraíble sin relación con la tarea.
• Accesos repetidos a recursos no autorizados: intentos sostenidos, no fallos puntuales.
• Herramientas de evasión: VPN de consumo, Tor o compresión y cifrado fuera de los estándares corporativos.
• Cambio brusco de patrón tras un evento laboral o personal: preaviso de salida, denegación de promoción, sobreseimiento de puesto.

Fig. 2 – Las 7 señales de comportamiento de riesgo en amenazas internas.

La séptima señal es la más difícil y la más importante: un cambio de comportamiento tras un evento significativo no implica culpa, pero justifica aumentar la monitorización legítima, revisar sus accesos y hablar con su responsable. El periodo de las últimas semanas antes de una salida es el de máximo riesgo de exfiltración y merece vigilancia específica.

5. Prevención: identidad, mínimo privilegio y offboarding riguroso

La prevención de las amenazas internas en la empresa se organiza en seis frentes. Primero, onboarding y cultura: background check proporcional, cláusulas de confidencialidad y uso aceptable, política firmada y formación por rol, con cultura no-blame porque sancionar a quien reporta garantiza que el siguiente incidente se esconda. Segundo, IAM con mínimo privilegio: RBAC o ABAC, user access review trimestral o semestral —los empleados acumulan permisos durante años— y acceso just-in-time con herramientas como Entra PIM, CyberArk Endpoint Privilege Manager o BeyondTrust, con segregación de funciones en pagos y configuraciones críticas.

Tercero, PAM y bóveda de credenciales: cuentas privilegiadas centralizadas, rotación automática de contraseñas, grabación de sesiones y aprobaciones humanas para acciones críticas. Cuarto, DLP con clasificación previa que controle los canales de salida. Quinto, UEBA con líneas base de comportamiento por usuario (Defender for Identity, Splunk UBA, Exabeam, Securonix o Varonis). Y sexto, y quizá el más descuidado, el offboarding riguroso:

# Checklist de offboarding riguroso (mismo día de la salida)
1. Revocar accesos: AD, SaaS olvidadas (las más peligrosas), VPN,
   RDP/SSH, MFA y dispositivos corporativos.
2. Desactivar cuentas de servicio personales del exempleado.
3. Recuperar activos físicos y lógicos con inventario firmado.
4. Analizar el comportamiento de las últimas semanas (pico de riesgo).
5. Preservar evidencias forenses del equipo y del buzón.
6. Rotar secretos conocidos: contraseñas, tokens, claves SSH.
7. Notificar a stakeholders y contactos clave contra suplantación.
   (Objetivo: cero accesos activos a las 24 horas de la salida)

Fig. 3 – Checklist de offboarding para reducir las amenazas internas.

6. Cómo responder sin vulnerar la ley: el marco legal español

La respuesta a un indicio de amenaza interna tiene una restricción que no tiene la respuesta a un ataque externo: el empleado tiene derechos laborales y de protección de datos. En España, la monitorización del trabajador se rige por el artículo 20.3 del Estatuto de los Trabajadores, la LOPDGDD y la STC 170/2013, que exige información previa y clara sobre los controles. Monitorizar sin comunicar previamente la política puede viciar el procedimiento disciplinario completo.

El artículo 87 de la LOPDGDD desarrolla el derecho del trabajador a la intimidad frente a los sistemas de control y exige que la empresa informe de su existencia y alcance. La STC 170/2013 sienta el criterio rector: el control empresarial es legítimo, pero debe ser idóneo, necesario y proporcionado, y el empleado debe conocerlo. En la práctica, esto significa políticas de uso aceptable firmadas, monitorización proporcional a la finalidad, y análisis de correo y comunicaciones solo cuando el interés legítimo lo justifique y con garantías.

El procedimiento de respuesta recomendado es: triaje con el SOC validando la alerta y preservando evidencias antes de cualquier acción visible (conforme a ISO/IEC 27037), contención discreta restringiendo accesos y aumentando la monitorización sin comunicar la investigación hasta tener evidencias y plan, y solo entonces el proceso disciplinario con entrevista formal, testigos y procedimiento proporcional desde la amonestación hasta el despido, o la denuncia penal si hay indicios de delito (artículos 197 a 264 del Código Penal), además de las notificaciones que procedan a la AEPD en 72 horas o al CSIRT en el marco NIS2.

7. El proveedor como insider: gestión de terceros

La quinta categoría, el tercero, tiene casos públicos que marcan la pauta: Target 2013 con la empresa de climatización, SolarWinds 2020 a través de la actualización de software y Okta 2022 con un proveedor de soporte. La gestión de terceros (TPRM) consiste en due diligence previa, cláusulas contractuales de seguridad, accesos limitados en tiempo y función, MFA obligatorio también para proveedores y revisiones periódicas de sus accesos a tu entorno.

La práctica recomendada es tratar a cada proveedor como lo que es: un insider con contrato. Cada conexión de tercero debe tener propietario interno, fecha de revisión y límite de alcance, y la salida del contrato debe ejecutar el mismo offboarding riguroso que el de un empleado. El 70-80% de los accesos críticos suelen concentrarse en pocos perfiles: los del proveedor son los que menos se revisan y los que más se olvidan. De hecho, los incidentes de terceros suelen descubrirse meses después, cuando el contrato ya ha terminado, por lo que la revisión programada al cierre es el control que evita más casos.

Para completar la visión, recomendamos los artículos sobre análisis de riesgos para empresas y sobre acciones ante el secuestro o pérdida de credenciales, que se complementan con la gestión de la identidad interna.

8. Conclusión

Las amenazas internas en la empresa no se eliminan, pero se gestionan: con las 7 señales monitorizadas de forma legítima, con mínimo privilegio y PAM, con offboarding riguroso como ritual obligatorio y con respuesta documentada que respete el marco legal. El coste medio de 17,4 millones de dólares y los 81 días de contención del informe Ponemon 2025 son sobre todo una medida de la detección tardía.

La combinación ganadora es técnica y humana: UEBA que detecta las señales, DLP que controla los canales, identidad que minimiza el acceso y un procedimiento legal impecable que permite actuar cuando la señal se confirma. En un entorno donde más del 50% de las fugas significativas involucran a un insider, tratar a los tuyos con el mismo rigor que a los externos no es desconfianza: es gestión del riesgo.

¿Necesitas ayuda con Amenazas internas empresa?

En Jaymon Security ayudamos a las organizaciones a proteger sus sistemas. Desde auditorías de seguridad hasta implementación de SIEM/SOC, nuestro equipo de expertos diseña soluciones a medida.

Contacta con nosotros para una evaluación gratuita de tu infraestructura.