Ori de câte ori discutăm despre securitate cibernetică, atenția se îndreaptă aproape instinctiv către atacatorii externi. Totuși, unele dintre cele mai semnificative breșe sunt provocate de persoane din interiorul organizației, un fenomen cunoscut sub numele de ”insider threat”. În practică, acest termen acoperă mai multe categorii: angajați care acționează intenționat, persoane neglijente care produc incidente din eroare, colaboratori cu acces temporar sau chiar foști angajați ale căror permisiuni au rămas active.

Astăzi vom discuta despre un astfel de scenariu și anume evoluția treptată a unui angajat obișnuit către comportamente de risc, influențat de factori psihologici și organizaționali. Nu toate amenințările interne evoluează în acest mod, iar nu orice angajat aflat sub presiune devine un risc. Tipul de caz pe care l-am investigat în lucrarea mea, utilizează un model adaptiv ce urmărește evoluția comportamentală înaintea unui incident propriu-zis. Acest model explorează situațiile în care există anumite vulnerabilități psihologice preexistente sau trăsături de personalitate care pot amplifica reacțiile la stres, precum elemente ale triadei întunecate (narcisism, machiavelism, psihopatie în forme sub-clinice).

Scenariul modelat pornește de la un angajat stabil, performant și bine integrat în echipă. Schimbările organizaționale majore precum, creșterea volumului de muncă, lipsa recunoașterii, conflictele interne sau dificultățile de comunicare, declanșează însă o degradare treptată a unor factori psihologici precum satisfacția profesională, reziliența la stres și dorința de a coopera cu echipa.

Din perspectiva mea, analizând rezultatele simulației, aceste modificări nu sunt suficiente în sine pentru a genera o amenințare. Ele devin relevante doar pentru anumite tipologii de personalitate, mai vulnerabile la presiune sau la percepția nedreptății. Modelul reflectă în mod direct observațiile din cazurile reale documentate de CERT, arătând că apariția unui risc intern este întotdeauna o combinație între context și predispoziții individuale.

Vulnerabilitatea poate fi amplificată și de factori externi. Interacțiuni profesionale, oportunități percepute sau validare informală pot accentua tendințele de abatere de la normă. Modelul surprinde acest moment prin creșterea interesului pentru informații sensibile sau resurse din afara responsabilităților obișnuite. Nu toți angajații reacționează astfel sub presiune, însă, în combinație cu trăsături precum impulsivitatea, ostilitatea sau narcisismul, riscul crește considerabil. În aceste condiții, frustrarea poate evolua către intenție malițioasă.

Comportamentele de risc apar treptat, reflectând acțiuni precum accesări repetate de fișiere, utilizarea dispozitivelor externe sau activitate neobișnuită în rețea. Sistemele SIEM detectează de obicei aceste anomalii, însă frecvent prea târziu, o observație care se regăsește și în practică, unde amenințările interne sunt adesea descoperite doar după ce răul a fost deja produs.
Modelul adaptiv utilizat integrează 33 de variabile, care includ atât indicatori tehnici, precum activitatea în rețea sau accesul la resurse, cât și factori psihologici și organizaționali. Evoluția lor în timp este actualizată prin mecanisme inspirate din modul în care învață rețelele neuronale, ceea ce permite o simulare realistă a schimbării comportamentului în timp.

Din perspectiva mea, valoarea modelului nu stă în complexitatea tehnică, ci în capacitatea lui de a surprinde interacțiunea dintre contextul organizațional și predispozițiile individuale. Acesta reprezintă doar un scenariu specific de amenințare internă: cel în care vulnerabilitatea psihologică și presiunea de la locul de muncă pot conduce spre comportamente malițioase.
Analiza evidențiază trei direcții esențiale pentru prevenție:

1. Monitorizarea comportamentală contextuală, deoarece primele semnale sunt adesea observate de colegi sau manageri, nu de sisteme automate.
2. Management organizațional adaptiv, în care suprasolicitarea, lipsa recunoașterii sau tensiunile interne sunt tratate ca factori reali de risc.
3. Integrarea factorilor umani în instrumentele tehnice, pentru ca modelele psihologice și datele operaționale să poată anticipa riscul în fazele incipiente.

Amenințările interne sunt variate și nu se manifestă uniform. Modelul descris surprinde doar unul dintre posibilele trasee către un incident intern. Concluziile arată că nicio soluție exclusiv tehnică nu poate elimina complet acest risc. O abordare interdisciplinară, în care tehnologia, psihologia și dinamica organizațională sunt analizate împreună, este indispensabilă.
Indiferent de nivelul tehnologic al protecțiilor, organizațiile rămân vulnerabile în fața persoanelor care au acces legitim. În cele din urmă, securitatea cibernetică începe și se termină cu oamenii.