La ciberseguridad en el lugar de trabajo es cada vez más importante a medida que más empresas se pasan a los recursos digitales y a la nube. El ransomware encabeza la lista de amenazas que pueden paralizar una organización, y estos ataques suelen comenzar con un correo electrónico de phishing malicioso dirigido a empleados concretos. Basta con que un empleado sea víctima de un ataque sofisticado para que su organización quede paralizada por el bloqueo del acceso a archivos, el robo de datos y las amenazas persistentes avanzadas ocultas en la red.
El gasoducto Colonial, que suministra gas y combustible de aviación desde Texas hasta la costa este, sufrió un ataque de ransomware. El ataque detuvo la producción y obligó a cerrar la infraestructura energética. Este tipo de ataques no ha hecho más que acelerarse, y empiezan por dirigirse a un empleado interno que no reconoce que un mensaje es malicioso. A menudo se trata de un fallo en la educación y concienciación sobre ciberseguridad en el lugar de trabajo.
CryptoLocker, uno de los primeros y más populares ataques de ransomware, comenzó con un correo electrónico de phishing. Afectó a casi 500.000 ordenadores y provocó una pérdida de datos generalizada en todo el mundo. El malware se desplegó mediante el envío masivo de mensajes de correo electrónico que contenían un archivo ZIP adjunto. Una vez abierto, el ransomware escaneaba los ordenadores y encriptaba los archivos para que quedaran bloqueados y no se pudiera acceder a ellos a menos que se pagara un rescate. Los usuarios deben saber que cualquier correo electrónico con un archivo ZIP adjunto debe ser tratado como sospechoso.
CISO: El valor de un devorador de pecados
El papel de un Director de Seguridad de la Información (CISO) se parece mucho al mítico y medieval "comedor de pecados" del folclore inglés. Un comedor de pecados comía una comida y absorbía los pecados de los muertos. El devorador de pecados llevaba entonces los pecados de otras personas para absolverlas de la culpa, la vergüenza y las repercusiones en la otra vida.
Un CISO desempeña un papel similar en el que los pecados de los empleados internos afectan a la reputación del CISO, a su rendimiento laboral y a sus perspectivas futuras. Si un empleado es víctima de escándalos de ciberseguridad interna, arruina la reputación de la organización y hace caer los servicios de producción. Para proteger a un empleado concreto del impacto negativo y las consecuencias, el CISO asume los pecados de la desafortunada víctima y responde por su error.
El hecho de que sólo haya un CISO en la organización no significa que la responsabilidad recaiga únicamente en un individuo. La organización en su conjunto asume la responsabilidad. En el caso de la filtración de datos de Equifax, los administradores de los servidores y el CISO responsable de supervisar y parchear el software podrían ser los únicos responsables de una de las mayores filtraciones de datos hasta la fecha, pero la organización de Equifax en su conjunto fue considerada irresponsable y asumió la culpa de las consecuencias.
Además de ser responsable de la ciberseguridad interna, un CISO tiene una carga de trabajo cada vez mayor a medida que más organizaciones se trasladan a la nube y se digitalizan durante los cierres por pandemia en 2020. Para mantener la productividad, las organizaciones se vieron obligadas a permitir una fuerza de trabajo en casa después de que el COVID se extendiera por todo el mundo. Este cambio en los entornos de trabajo provocó un repentino impulso hacia la computación en nube y los flujos de trabajo digitales. El resultado fue que las empresas se subieron a la nube con muy poca consideración por la ciberseguridad. La ciberseguridad fue una idea tardía, y los actores de las amenazas se aprovecharon al máximo del descuido. El phishing y el ransomware prosperaron a medida que más empleados fueron víctimas de sofisticadas campañas dirigidas a particulares.
Los siete pecados capitales de la ciberseguridad en el trabajo
Laconcienciación sobre la ciberseguridad es fundamental para evitar los riesgos. Si sus empleados no conocen la anatomía de un ataque de phishing, no se puede esperar que lo eviten. El error humano es un factor importante en las violaciones de datos, pero aquí hay siete pecados capitales y formas de evitar ser la próxima víctima:
- Contraseñas deficientes. La complejidad y la longitud de las contraseñas reducen la posibilidad de un ataque de fuerza bruta a las credenciales de los empleados. Los administradores pueden establecer reglas de contraseñas que requieran una determinada longitud, complejidad y que impidan la reutilización de los usuarios.
- Riesgos del Wi-Fi público. Los usuarios deben ser conscientes de los riesgos asociados al Wi-Fi público. Cualquier aplicación crítica debe utilizarse a través de una red privada virtual (VPN), y los usuarios nunca deben transmitir datos sin cifrar.
- Antivirus instalado y actualizado. Las organizaciones que ofrecen una política de "traiga su propio dispositivo" (BYOD) deben educar a los usuarios sobre la importancia del antivirus y de mantenerlo actualizado. Los administradores pueden forzar las actualizaciones en las estaciones de trabajo, pero confían en que los usuarios mantengan sus propios dispositivos seguros con el último software antivirus.
- Abrir los archivos adjuntos del correo electrónico. Los administradores pueden bloquear los mensajes de correo electrónico sospechosos, pero los falsos negativos dan a los actores de la amenaza la oportunidad de engañar a los destinatarios para que abran archivos adjuntos maliciosos. Los usuarios deben saber que no deben abrir los archivos adjuntos, especialmente si provienen de remitentes externos.
- Hacer clic en los enlaces del correo electrónico. Los enlaces maliciosos abren sitios controlados por atacantes en los que se puede engañar a los usuarios para que divulguen sus credenciales de red u otra información sensible. Los usuarios deben saber que no deben introducir sus credenciales después de hacer clic en los enlaces. En su lugar, deben escribir el dominio en sus navegadores para verificar que el mensaje es legítimo.
- Compartir credenciales con otros usuarios. Los usuarios nunca deben compartir sus contraseñas. Si comparten las contraseñas, un empleado que ya no esté en la empresa podría seguir teniendo acceso a los sistemas críticos aunque su propia cuenta haya sido desactivada.
- No hay conciencia de ciberseguridad. Sin educación, los usuarios no tienen los recursos para identificar un ataque. Es responsabilidad del CISO crear un entorno en el que la educación en ciberseguridad fomente una mejor evitación de riesgos y menos errores humanos.
Ayudar a los empleados a combatir los ciberataques y a ser más conscientes de ellos
Si los CISOs no se toman el tiempo para educar a los empleados, dejan una gran brecha en la armadura de ciberseguridad de la empresa. La concienciación sobre la ciberseguridad es la primera defensa contra los ataques sofisticados que se dirigen a los errores humanos, por lo que siempre debería ser una formación obligatoria para los empleados que se incorporan y para el personal actual.
La concienciación puede ofrecerse de varias maneras: aprendizaje electrónico, formación práctica y políticas. Los empleados no son hackers, por lo que la información debe ser fácil de entender. Deben entender las consecuencias de ser víctimas de un ataque, y los empleados deben estar armados con información que les permita cuestionar la legitimidad de un correo electrónico, una llamada telefónica, un sitio web y cualquier otra forma de ciberataque. No es necesario que tengan un conocimiento técnico completo, pero los empleados deben estar armados con la información adecuada.
Las mayores amenazas para una organización son el phishing y el ransomware, pero la formación reduce los riesgos de estas amenazas. Los empleados armados con los conocimientos adecuados identificarán el ataque, evitarán ser víctimas, alertarán a las personas adecuadas y el CISO tendrá un trabajo mucho más libre de estrés. Sin la concienciación en materia de ciberseguridad, el CISO sigue respondiendo de forma reactiva a ataques que podrían arruinar su reputación y la de la organización.
