Ciberseguridad en el lugar de trabajo: Santos, pecadores y escándalos

La ciberseguridad en el lugar de trabajo es cada vez más importante a medida que más empresas se pasan a los recursos digitales y a la nube. El ransomware encabeza la lista de amenazas que pueden paralizar una organización, y estos ataques suelen comenzar con un correo electrónico malicioso de phishing dirigido a empleados concretos. Basta con que un empleado sea víctima de un ataque sofisticado para que su organización quede paralizada por el bloqueo del acceso a los archivos, el robo de datos y las amenazas persistentes avanzadas ocultas en la red.

El oleoducto Colonial, que proporciona una vía para el gas y el combustible de aviación desde Texas hasta la costa este, sufrió un ataque de ransomware. El ataque detuvo la producción y obligó a cerrar la infraestructura energética. Este tipo de ataques no ha hecho más que acelerarse, y empiezan por dirigirse a un empleado interno que no reconoce que un mensaje es malicioso. A menudo se trata de un fallo en la educación y concienciación sobre ciberseguridad en el lugar de trabajo.

CryptoLocker, uno de los primeros y más populares ataques de ransomware, comenzó con un correo electrónico de phishing. Afectó a casi 500.000 ordenadores y provocó una pérdida de datos generalizada en todo el mundo. El malware se desplegó mediante el envío masivo de mensajes de correo electrónico que contenían un archivo ZIP adjunto. Una vez abierto, el ransomware escaneaba los ordenadores y encriptaba los archivos para que quedaran bloqueados y no se pudiera acceder a ellos a menos que se pagara un rescate. Los usuarios deben saber que cualquier correo electrónico con un archivo ZIP adjunto debe tratarse como sospechoso.

CISO: El valor de un devorador de pecados

El papel de un Director de Seguridad de la Información (CISO) se parece mucho al mítico y medieval «comedor de pecados» del folclore inglés. Un comedor de pecados comía una comida y absorbía los pecados de los muertos. El comedor de pecados llevaría entonces consigo los pecados de otras personas para absolverlas de culpa, vergüenza y repercusiones en la otra vida.  

Un CISO desempeña un papel similar en el que los pecados de los empleados internos afectan a la reputación del CISO, a su rendimiento laboral y a sus perspectivas de futuro. Si un empleado es víctima de escándalos internos de ciberseguridad, arruinan la reputación de la organización y hacen caer los servicios de producción. Para proteger a un empleado concreto del impacto negativo y las consecuencias, el CISO asume los pecados de la desventurada víctima y responde por su error.

Aunque sólo haya un CISO en la organización no significa que la responsabilidad recaiga únicamente en un individuo. La organización en su conjunto asume la responsabilidad. En el caso de la filtración de datos de Equifax, los administradores de servidores y el CISO responsable de supervisar y parchear el software podrían ser los únicos responsables de una de las mayores filtraciones de datos hasta la fecha, pero la organización Equifax en su conjunto fue considerada irresponsable y asumió la culpa de las consecuencias.

Además de ser responsable de la ciberseguridad interna, un CISO tiene una carga de trabajo cada vez mayor a medida que más organizaciones se trasladan a la nube y se digitalizan durante los bloqueos pandémicos de 2020. Para mantener la productividad, las organizaciones se vieron obligadas a permitir una mano de obra en casa después de que la COVID se extendiera por todo el mundo. Este cambio en los entornos de trabajo provocó un impulso repentino hacia la computación en nube y los flujos de trabajo digitales. El resultado fue que las empresas se subieron a la nube con muy poca consideración por la ciberseguridad. La ciberseguridad fue una ocurrencia tardía, y los actores de amenazas se aprovecharon al máximo del descuido. El phishing y el ransomware prosperaron a medida que más empleados eran víctimas de sofisticadas campañas dirigidas a particulares.

Los siete pecados capitales de la ciberseguridad en el lugar de trabajo

La concienciación sobre ciberseguridad es fundamental para evitar riesgos. Si sus empleados no conocen la anatomía de un ataque de phishing, no se puede esperar que lo eviten. El error humano es un factor importante en las violaciones de datos, pero aquí tiene siete pecados capitales y formas de evitar ser la próxima víctima:

1. Contraseñas deficientes. La complejidad y la longitud de las contraseñas reducen la posibilidad de que se produzca un ataque de fuerza bruta contra las credenciales de los empleados. Los administradores pueden establecer reglas para las contraseñas que exijan una determinada longitud y complejidad, y evitar que los usuarios las reutilicen.
2. Riesgos de las Wi-Fi públicas. Los usuarios deben ser conscientes de los riesgos asociados a las Wi-Fi públicas. Cualquier aplicación crítica debe utilizarse a través de una Red Privada Virtual (VPN), y los usuarios nunca deben transmitir datos sin cifrar.
3. Antivirus instalado y actualizado. Las organizaciones que ofrecen una política de «traiga su propio dispositivo» (BYOD) deben educar a los usuarios sobre la importancia del antivirus y de mantenerlo actualizado. Los administradores pueden forzar las actualizaciones en las estaciones de trabajo, pero confían en que los usuarios mantengan sus propios dispositivos seguros con el software antivirus más reciente.
4. Apertura de archivos adjuntos al correo electrónico. Los administradores pueden bloquear los mensajes de correo electrónico sospechosos, pero los falsos negativos dan a los actores de amenazas la oportunidad de engañar a los destinatarios para que abran archivos adjuntos maliciosos. Los usuarios deben saber que no deben abrir archivos adjuntos, especialmente si proceden de remitentes externos.
5. Hacer clic en enlaces del correo electrónico. Los enlaces maliciosos abren sitios controlados por atacantes en los que se puede engañar a los usuarios para que divulguen sus credenciales de red u otra información confidencial. Los usuarios deben saber que no deben introducir sus credenciales después de hacer clic en los enlaces. En su lugar, escriban el dominio en sus navegadores para verificar que el mensaje es legítimo.
6. Compartir credenciales con otros usuarios. Los usuarios nunca deben compartir contraseñas. Si las comparten, un empleado que ya no forme parte de la empresa podría seguir teniendo acceso a los sistemas críticos aunque su propia cuenta haya sido desactivada.
7. Sin concienciación sobre ciberseguridad. Sin educación, los usuarios no tienen los recursos para identificar un ataque. Es responsabilidad del CISO crear un entorno en el que la educación en ciberseguridad fomente una mejor evitación de riesgos y menos errores humanos.

Ayudar a los empleados a combatir los ciberataques y a ser más ciberconscientes

Si los CISO no se toman el tiempo de educar a los empleados, dejan una gran grieta en la armadura de ciberseguridad de la empresa. La concienciación sobre la ciberseguridad es la primera defensa contra los ataques sofisticados que tienen como objetivo los errores humanos, por lo que siempre debe ser una formación obligatoria para los empleados que se incorporan y para el personal actual.

La concienciación puede ofrecerse de varias maneras: aprendizaje electrónico, formación práctica y políticas. Los empleados no son hackers, por lo que la información debe ser fácil de entender. Deben comprender las consecuencias de ser víctima de un ataque, y los empleados deben estar armados con información que les permita cuestionar la legitimidad de un correo electrónico, una llamada telefónica, una página web y cualquier otra forma de ciberataque. No necesitan un conocimiento técnico completo, pero los empleados deben estar armados con la información adecuada.  

Las mayores amenazas para una organización son el phishing y el ransomware, pero la formación reduce los riesgos de estas amenazas. Los empleados armados con los conocimientos adecuados identificarán el ataque, evitarán ser víctimas, alertarán a las personas adecuadas y el CISO tendrá un trabajo mucho más libre de estrés. Sin una concienciación sobre ciberseguridad, el CISO sigue respondiendo de forma reactiva a ataques que podrían arruinarle a él y a la reputación de la organización.