L'insider threat è la minaccia che viene da dentro – chi ha già accesso legittimo: il dipendente in uscita che si porta via il portafoglio clienti, l'amministratore infedele, ma anche il non intenzionale (chi cade nel phishing, chi mette dati sensibili nel posto sbagliato). È particolarmente insidiosa perché non c'è un perimetro da violare: l'accesso è autorizzato, e i controlli anti-intrusione non scattano.
I segnali (nel rispetto di privacy e normativa sul lavoro, che qui è un vincolo serio): accessi a dati fuori dal proprio ruolo, download massivi anomali, attività in orari insoliti, tentativi di aggirare i controlli. Gli strumenti che li colgono sono i motori UEBA – che imparano il comportamento normale di ogni utente e segnalano le deviazioni – e la DLP sui flussi di dati in uscita.
Ma la difesa più efficace è strutturale, non di sorveglianza: minimo privilegio (nessuno accede a ciò che non gli serve), separazione dei compiti, log immutabili che scoraggiano e documentano, offboarding rigoroso (revoca immediata degli accessi a chi esce), e una cultura in cui l'errore in buona fede si può segnalare senza paura. La tecnologia coglie; l'architettura previene.