Creación de una cultura de cumplimiento de la ciberseguridad

Desarrollar una cultura de cumplimiento es tan importante como crear una cultura del lugar de trabajo en las organizaciones. Organizaciones como Equifax y Capital One crean tormentas mediáticas cuando se exponen datos bajo su vigilancia; sin embargo, las filtraciones de datos vienen en muchas formas y todos los tamaños. Una de las más perjudiciales es una filtración accidental de datos a través de un empleado. El resultado de tal exposición de datos puede tener enormes implicaciones para una organización, ya que no sólo la pérdida de datos sensibles es vergonzosa y perjudicial para la reputación, sino que también puede afectar a su postura de cumplimiento y dar lugar a fuertes multas.

La creación de una «cultura de cumplimiento de la ciberseguridad» puede ayudar a evitar que su empresa se convierta en una estadística de cumplimiento; he aquí cómo y por qué.

Cuando los buenos iniciados se vuelven accidentalmente malos

Muchos sectores están plagados por la simple cuestión de los accidentes y errores iniciados por humanos, como la mala configuración de una base de datos o el envío erróneo de un correo electrónico sensible. Estos sucesos de ciberseguridad son, por desgracia, demasiado comunes, ya que el Informe sobre investigaciones de violaciones de datos de Verizon 2021 reveló que el 22% de los incidentes de seguridad se debieron a personas con acceso a información privilegiada.

Algunas amenazas internas bien pueden ser maliciosas en su intención, pero las que son accidentales aún pueden tener un impacto masivo en la postura de cumplimiento de una empresa – la Universidad Nacional Australiana es un ejemplo de ello. Un alto cargo de la universidad expuso accidentalmente 700 MB de datos que incluían nombres, direcciones, números de identificación fiscal, datos de cuentas bancarias, etc. El incidente se produjo cuando una exitosa campaña de spear-phishing, dirigida a docenas de correos electrónicos del personal de la ANU, dio lugar a que los piratas informáticos obtuvieran acceso a la red a través de un nombre de usuario y una contraseña privilegiados.

Los correos electrónicos mal dirigidos son otra causa común de filtración de datos. El desvío o envío erróneo de correos electrónicos es fácil de realizar, siendo el uso de ‘cc’, en lugar de ‘bcc’, una forma habitual de compartir accidentalmente información sensible. Esto le ocurrió en 2020 a Sonos, cuando un empleado expuso accidentalmente más de 450 direcciones de correo electrónico al añadir direcciones de clientes al campo cc en lugar de bcc al responder a las quejas de los clientes. El incidente fue denunciado a la ICO por un cliente agraviado que figuraba en la lista cc.

Una forma eficaz de desafiar este comportamiento es concienciar a los empleados sobre el impacto de simples accidentes o correos electrónicos de phishing en la postura de cumplimiento de una organización. Si se hace bien, este compromiso con los empleados sobre cuestiones de cumplimiento dará lugar a una cultura coherente de cumplimiento de la ciberseguridad.

Cómo crear una cultura de cumplimiento de la ciberseguridad

La formación en materia de cumplimiento de la normativa requiere una comprensión de las leyes y reglamentos que afectan a su organización. Las normativas encajan con la ciberseguridad cuando se trata de leyes de protección de datos como el Reglamento de Protección de Datos del Reino Unido (DPA2018) y el Reglamento General de Protección de Datos de la UE (GDPR). Crear conciencia de cumplimiento entre los empleados es la ruta hacia una cultura de cumplimiento de la ciberseguridad.

El uso de la palabra «cultura» es importante. Una cultura corporativa abarca ideas, costumbres y, lo que es más importante, comportamientos. El comportamiento humano está detrás de muchas violaciones accidentales de datos, especialmente las que implican suplantación de identidad. El impulso de hacer clic es fuerte en los humanos, ya que hemos sido condicionados a utilizar los ordenadores de una determinada manera, tanto en casa como en el trabajo. Acabar con esto, y sustituirlo en su lugar por una cultura corporativa de conocimiento y comprensión de cómo interactúan la ciberseguridad y el cumplimiento de la normativa, empieza en la cima y se dispersa por toda la organización.

5 pasos para crear una cultura de cumplimiento que adopte la ciberseguridad:

1. Invierta en seguridad y cumplimiento: defienda y fomente el cambio necesario para concienciar sobre las expectativas de cumplimiento. Esto requerirá una inversión en tiempo, recursos y finanzas; es necesario un compromiso a nivel de la junta directiva para construir esta cultura de cumplimiento.
2. Construya un programa de cumplimiento atractivo para el cambio de cultura: una cultura de cumplimiento de la ciberseguridad rompe límites y comportamientos arraigados. Romper estos comportamientos debe hacerse de forma divertida y atractiva. Utilice sesiones de formación que impliquen activamente a los empleados y a la alta dirección.
3. Fomente la comprensión y el conocimiento en torno al cumplimiento: las personas no pueden cambiar o seguir una política si no entienden por qué se les pide que hagan algo. Enseñe a sus empleados los porqués de los requisitos de cumplimiento. Cree un programa de cumplimiento eficaz que defina su papel en el mantenimiento de la seguridad de los datos y el cumplimiento.
4. La seguridad y el cumplimiento son para todos: construir una nueva cultura de cumplimiento es una experiencia compartida. Su programa debe reflejar esto. Todas las partes de su organización son socios iguales en la construcción de su cultura de cumplimiento de la ciberseguridad. Sin embargo, no todas las partes de la cultura de cumplimiento son iguales, y los programas deben adaptarse a departamentos específicos. Por ejemplo, RRHH puede requerir que se haga hincapié en el envío erróneo de correos electrónicos, mientras que TI puede requerir que se preste más atención a la configuración incorrecta de bases de datos y servidores. Todos deben conocer los requisitos de la normativa y las políticas de cumplimiento que se ajusten a su sector y geografía.
5. Retroalimentación y mejora continua de la cultura: las normativas cambian, las personas olvidan la formación y los sistemas se actualizan. Construir una cultura de cumplimiento que adopte la ciberseguridad y los esfuerzos de cumplimiento no es una tarea de una sola vez. El programa debe actualizarse e impartirse con regularidad. Una forma de que su cultura de ciberseguridad y cumplimiento pueda auditarse es escuchando a sus empleados. Esto también ayuda a cimentar su implicación en la construcción de esa cultura y a garantizar el cumplimiento.

Nuestros empleados son los custodios últimos de los datos que nuestras organizaciones generan, comparten, almacenan y desechan. Su plantilla debe ser consciente de las consecuencias de sus acciones sobre la postura de cumplimiento de la empresa y del papel que desempeñan en el mantenimiento de dicha postura. Sin embargo, ¡no basta con transmitir el mensaje!

Para cambiar comportamientos y creencias muy arraigados, la cultura del cumplimiento debe ser un valor fundamental que refleje las necesidades de las amenazas modernas a la ciberseguridad y los requisitos de la normativa sobre seguridad de datos; y como todos los cambios culturales, esto sólo puede ser eficaz con la aceptación de los afectados por ese cambio.