Trátalo como una investigación conjunta con legal y recursos humanos desde la primera hora, porque los casos de insider tienen consecuencias laborales y de privacidad que una respuesta puramente técnica puede arruinar. Preserva la evidencia antes de tocar nada y luego revisa solo aquello para lo que tienes autorización: accesos a ficheros y anomalías de volumen, sincronización con la nube y subidas a almacenamiento personal, medios extraíbles, reenvío de correo y logs de impresión. Reporta hechos observados, nunca conclusiones sobre la intención.
Por qué lo preguntan los entrevistadores
Los entrevistadores usan esto para medir contención y proceso, no herramientas. Quieren que impliques pronto a legal y a recursos humanos, que preserves antes de investigar, que te quedes dentro de tu alcance autorizado y que no alertes al sujeto. También escuchan si sabes separar la actividad observada de las afirmaciones sobre el motivo, porque esa distinción suele decidir si tu trabajo sobrevive a un juicio laboral o a un tribunal.
Cómo estructurar tu respuesta
- Empieza por la autorización, la preservación y quién más tiene que estar en la sala.
- Enumera las fuentes de datos que revisas y en qué orden.
- Insiste en mantener la investigación discreta y bien acotada.
- Reporta observaciones y evidencia, nunca conclusiones sobre el motivo.
Ejemplo de respuesta
La primera llamada no es técnica. Aviso a legal y a recursos humanos y confirmo qué tengo autorización para mirar, porque en algunas jurisdicciones leer contenido personal en un dispositivo corporativo sin la base adecuada tumba la investigación entera. Luego preservación: imagen del endpoint, preservar el buzón y el almacenamiento en la nube en su sitio con una retención legal, y congelar la retención de logs de las fuentes relevantes antes de que caduque nada. Después la revisión, discreta y con el acceso al caso restringido, porque si el sujeto se entera la evidencia tiende a evaporarse. Miro el volumen de acceso a ficheros contra su propia línea base, los clientes de sincronización en la nube y las subidas a almacenamiento personal, la inserción de medios extraíbles y los eventos de copia, las reglas de reenvío de correo y los adjuntos grandes hacia fuera, y los trabajos de impresión. Mi informe dice qué ocurrió y cuándo, con hashes y marcas de tiempo: esta cuenta copió estos ficheros a este dispositivo a esta hora. No escribo que tuviera intención de robar nada, porque eso es cosa de recursos humanos y de legal, y he visto un caso venirse abajo cuando un analista opinó de más.
¿Tienes esta entrevista a la vuelta de la esquina? GhostPilot escucha tu llamada en vivo, detecta la pregunta en cuanto la hacen y pone una respuesta estructurada en tu pantalla en tiempo real. Pruébalo en tu próxima entrevista de práctica, o coge un Session Pass de $29, sin suscripción, para la de verdad.
Mira cómo funcionaPreguntas de seguimiento que puedes esperar
- ¿Qué harías distinto si a esa persona todavía le quedan dos semanas?
- ¿Cómo gestionas los datos en un dispositivo personal que usaba para trabajar?
- ¿Qué controles pondrías para cazar esto antes la próxima vez?
Más preguntas para Analista de ciberseguridad
Tu entrevistador hará su propia versión de esta. Pega la descripción real del puesto en el Question Predictor gratuito y obtén las 20 preguntas que ese puesto tiene más probabilidades de hacerte, con lo que cada una busca en realidad.
Predecir mis preguntas