La ciberdelincuencia se ha vuelto más organizada y sofisticada que nunca, por lo que es fundamental que todas las organizaciones comuniquen los riesgos, como el phishing, de forma eficaz a toda la empresa.
Según un estudio reciente, el coste total anual de la ciberdelincuencia para una empresa ha pasado de 11,7 millones de dólares en 2017 a un récord de 13 millones.
También está bien documentado que la negligencia de los empleados ha sido responsable de algunas de las peores violaciones cibernéticas de la historia. De hecho, se ha informado de que el 90% de todos los ciberataques son causados por errores humanos. Estas estadísticas ponen de manifiesto la prevalencia de las amenazas a la seguridad a las que se enfrentan las organizaciones y la necesidad de garantizar la concienciación en materia de ciberseguridad a todos los niveles.
Al tomar las medidas correctas para mejorar la concienciación de los empleados en materia de ciberseguridad, las organizaciones pueden ayudar a educar y capacitar a los empleados para que cambien sus comportamientos y protejan a la empresa de posibles riesgos.
Más información: ¿Por qué es importante la formación sobre concienciación en materia de seguridad?
He aquí diez consejos prácticos que le ayudarán a crear la campaña de concienciación sobre ciberseguridad más eficaz para su organización.
Empezar con el liderazgo del director general
La ciberseguridad está recibiendo por fin la atención que merece en la sala de juntas. A medida que el número de violaciones de datos de alto perfil sigue aumentando, ha habido un mayor énfasis en la gestión del riesgo cibernético para reducir la posibilidad de un ataque.
La ciberseguridad es responsabilidad de todos, pero las organizaciones resistentes requieren un fuerte liderazgo del director general. Si el director general se toma en serio la ciberseguridad, esto se extenderá a toda la organización y ayudará a crear una cultura de mayor concienciación sobre la ciberseguridad.
Conozca las tolerancias de su organización
Para crear un programa eficaz de concienciación sobre la seguridad, su organización debe evaluar el panorama de las amenazas e identificar sus principales riesgos. De este modo, comprenderá mejor las amenazas del mundo real que podrían comprometer la seguridad de su organización.
Es necesario definir su tolerancia al riesgo desde el principio, para poder aplicar las medidas de seguridad correctas en función de las amenazas reales a las que se enfrenta. Esto evita que los recursos se dirijan a amenazas que probablemente no se produzcan o que tengan poco o ningún impacto en su negocio.
Dedicar tiempo a identificar adecuadamente los riesgos puede ayudar a dar forma a los mensajes, a la entrega y a la orientación efectiva de su programa de concienciación sobre ciberseguridad.
Defienda sus activos de información
Para desarrollar una estrategia integral de ciberseguridad e identificar eficazmente los riesgos, es necesario completar una auditoría exhaustiva de los activos de información de su organización.
Un activo de información es una pieza de información que es valiosa para su organización. Puede tratarse de información de identificación personal (IPI), información financiera, propiedad intelectual o cualquier otra información que sea importante para su empresa.
Hay que determinar cuáles son los activos de información más valiosos, dónde se encuentran y quién tiene acceso a ellos. Cada activo debe clasificarse (por ejemplo, público, privado o confidencial) y protegerse en función de su valor. Hacerlo es crucial a la hora de identificar los riesgos y priorizar las áreas que hay que defender.
Una vez identificadas estas áreas, puede centrarse en cómo cada activo de información podría verse comprometido. Tanto si se trata de una brecha en el sistema, como de malware o incluso de una amenaza interna, puede tomar medidas informadas para mejorar estos procesos y reducir la posibilidad de que un ciberdelincuente acceda a los sistemas críticos.
Centrarse en los grupos de alto riesgo
La clave de un programa eficaz de concienciación en materia de seguridad es garantizar que la formación adecuada se dirige a las personas adecuadas. Todos los usuarios son susceptibles de sufrir ciberamenazas; sin embargo, algunos empleados tienen un perfil de amenaza más elevado que otros. Por ejemplo, sus departamentos de Recursos Humanos y Finanzas serán frecuentemente objeto de ataques debido a su acceso privilegiado a datos sensibles.
El director general, el director financiero y los altos ejecutivos también son objetivos populares debido a su acceso de alto nivel a información corporativa valiosa. Si un alto ejecutivo cayera en la estafa, los resultados podrían ser devastadores, socavando toda la seguridad de su organización.
Hazlo atractivo con una narración eficaz
Contar historias es una de las formas más poderosas de dar vida a su campaña de concienciación sobre ciberseguridad. Hay que admitir que la ciberseguridad puede ser un tema árido, pero es fundamental encontrar formas de involucrar al personal si se quiere influir positivamente en el comportamiento de la organización. El mensaje es demasiado importante para que se pierda en las comunicaciones corporativas formales.
Las historias son fundamentales para la forma en que la gente aprende; ayudan a crear una respuesta emocional que hace más fácil recordar lo que se está enseñando. Al hacer que la historia sea relevante para el usuario final, aumentas en gran medida la posibilidad de que esa persona retenga la información, mejorando así la postura general de seguridad de tu organización.
Ponga al día la gestión de su política
Las políticas son cruciales para establecer los límites del comportamiento de las personas, los procesos, las relaciones y las transacciones dentro de su organización. Proporcionan un marco de gobernanza, identifican el riesgo y ayudan a definir el cumplimiento, lo cual es importante en el panorama normativo actual, cada vez más complejo.
Un sistema eficaz de gestión de políticas es aquel que cuenta con un método coherente de creación de políticas, añade estructura a los procedimientos de la empresa y facilita el seguimiento de los atestados y las respuestas del personal. Como resultado, este sistema puede ayudarle a agilizar los procesos internos, demostrar el cumplimiento de los requisitos legislativos y centrarse eficazmente en las áreas que presentan el mayor riesgo para la seguridad de los datos.
Comience a prepararse para una filtración de datos ahora
Si no ha empezado a prepararse para una violación de datos, ahora es el momento de hacerlo. Miles de millones de registros confidenciales han quedado expuestos y, según IBM, el coste medio mundial de una filtración de datos ha ascendido a la asombrosa cifra de 3,92 millones de dólares.
Ya no es cuestión de "si" su organización va a ser atacada, sino de "cuándo". Hay que empezar a prepararse para lo inevitable y poner en marcha un plan que garantice una actuación adecuada cuando se vulnere la seguridad.
El establecimiento de un plan de respuesta eficaz ayuda a formar e informar al personal, a mejorar las estructuras organizativas, a aumentar la confianza de los clientes y de las partes interesadas, y a reducir cualquier posible daño financiero o de reputación tras una infracción.
Debe poner a prueba periódicamente su plan de respuesta a la violación de datos para identificar cualquier punto débil y asegurarse de que todos los miembros de su equipo comprenden sus responsabilidades, tanto en la preparación como en la respuesta a una violación.
Reclutar a los campeones de la ciberseguridad
La ciberseguridad no es sólo una cuestión de tecnología. Su personal desempeña un papel fundamental en la defensa de su organización y en la identificación de las amenazas que podrían poner en peligro su seguridad.
El nombramiento de campeones de ciberseguridad es una buena manera de capacitar al personal y dotarlo de las habilidades necesarias para prevenir un ciberataque.
Los defensores de la ciberseguridad no tienen por qué ser expertos técnicos; aprovecharlos consiste en añadir el toque humano a su estrategia de seguridad y conseguir la ayuda de personal comprometido con la concienciación y la aplicación de buenas prácticas de ciberseguridad.
Considere su cadena de suministro
Para muchas organizaciones, el eslabón más débil de sus defensas de ciberseguridad es su cadena de suministro. En lugar de dirigirse directamente a una empresa, los ciberdelincuentes intentarán poner en peligro las redes y los sistemas críticos de una organización aprovechando las deficiencias de sus procesos y sistemas de la cadena de suministro.
Las cadenas de suministro son una parte vital de las operaciones empresariales, pero a menudo estas redes son grandes y diversas y abarcan una serie de países diferentes. Estos proveedores no suelen tener las mismas defensas de ciberseguridad robustas, lo que significa que tienen muchos puntos débiles que los ciberdelincuentes pueden explotar.
Cada proveedor que se conecta a su empresa es un riesgo potencial, por lo que es vital que lleve a cabo evaluaciones detalladas de los riesgos de terceros para abordar cualquier problema que pueda suponer una amenaza para su seguridad. Esto puede ayudar a determinar las medidas de seguridad necesarias para mantener la seguridad de tus datos.
Aplicar una supervisión adecuada y revisiones periódicas
El panorama de las amenazas evoluciona continuamente, por lo que su programa de concienciación sobre ciberseguridad debe evolucionar con él. Es importante llevar a cabo revisiones periódicas de la preparación del personal para identificar áreas de debilidad y establecer si las políticas y la formación actuales necesitan ser actualizadas.
Para apoyar el cumplimiento de los reguladores, es una buena práctica documentar los resultados de todas las revisiones y asegurarse de actuar sobre cualquier recomendación para remediar los riesgos. Sin estas auditorías periódicas, su programa de concienciación sobre ciberseguridad podría no reflejar el panorama de amenazas y dejar a su organización vulnerable a los ataques.
Más información: Por qué la concienciación sobre la ciberseguridad es más importante que nunca
Automatice su programa de concienciación sobre ciberseguridad
MetaCompliance tiene más de 12 años de experiencia ayudando a nuestros clientes a desarrollar e implementar programas de concienciación de ciberseguridad del personal que funcionan. En ese tiempo, hemos desarrollado una solución SaaS líder en el mundo que contiene toda la funcionalidad necesaria para involucrar a los usuarios, proporcionar defensa contra las amenazas cibernéticas y entregar informes a los reguladores.
La suite MyCompliance automatiza el ciclo de vida de las campañas anuales de concienciación sobre ciberseguridad dentro de su organización, lo que ayuda a ahorrar tiempo y a proporcionar una mayor protección.
