Deje de saturar a sus empleados con mensajes: cómo hacer que la formación en concienciación sobre seguridad sea más específica

Índice

• Por qué una mayor formación se convierte en la norma
• El coste del exceso de formación de los empleados
• Por qué una mayor actividad no garantiza un menor riesgo
• En qué consiste la sensibilización sobre seguridad específica
• Seis formas de hacer que la concienciación sobre seguridad resulte más relevante
• Cómo ayuda MetaCompliance a que la concienciación sobre seguridad sea más específica
• Preguntas frecuentes

Los equipos de seguridad llevan años intentando resolver un problema complejo: ¿cómo se consigue que la ciberseguridad sea una prioridad cuando los empleados ya tienen innumerables otras prioridades que compiten por su atención?

Para muchas organizaciones, la respuesta ha sido la frecuencia. Una mayor formación, más recordatorios, más simulacros de phishing y más campañas de sensibilización generan más oportunidades para reforzar los comportamientos seguros.

Nuestras última investigación indica que es posible que las organizaciones ya estén llegando al límite de ese enfoque. En la actualidad, los empleados reciben contenido de concienciación sobre seguridad una media de entre seis y siete veces al mes; sin embargo, el 75 % de los CISO sigue creyendo que los empleados no comprenden plenamente su papel en la prevención de incidentes de seguridad. Al mismo tiempo, tres cuartas partes de los CISO afirman que la relevancia es más importante que la frecuencia a la hora de influir en un comportamiento seguro a través de la formación.

Cuando todos los empleados reciben, en líneas generales, la misma formación independientemente de su función, su comportamiento o su nivel de riesgo, aumentar el volumen de dicha formación puede resultar rápidamente contraproducente. Los empleados dejan de prestar atención, los equipos de seguridad dedican tiempo a actividades que pueden tener escaso impacto y las organizaciones tienen dificultades para determinar si su inversión está reduciendo realmente el riesgo.

Por lo tanto, un programa de concienciación en materia de seguridad maduro no consiste en impartir más formación, sino en hacer que esta sea más relevante para las personas, los comportamientos y los riesgos que más importan.

Por qué se tiende a recurrir a más formación como opción predeterminada

La mayoría de los equipos de seguridad no pretenden deliberadamente abrumar a los empleados. Los programas de gran volumen suelen ser el resultado de decisiones individuales sensatas que se van acumulando poco a poco.

Surge una nueva amenaza, por lo que se añade otra actividad formativa al programa. Una campaña de phishing pone de manifiesto un punto débil, por lo que se programa otra simulación. Es necesario cumplir un requisito normativo, por lo que se incorpora otro módulo obligatorio. Llega el Mes de la Concienciación sobre la Ciberseguridad y se incluye otra campaña en el calendario.

Cada actividad tiene una finalidad válida, pero, en conjunto, conforman un programa muy centrado en la ejecución.

Nuestro Estudio «Rethinking Human Cyber Risk» reveló que, a pesar de que los empleados reciben contenidos de sensibilización sobre seguridad entre seis y siete veces al mes, ninguna de las organizaciones encuestadas afirmó ofrecer contenidos de forma dinámica en función de amenazas actuales o señales de riesgo en tiempo real. En muchos casos, los programas siguen siendo amplios y genéricos, diseñados pensando en la cobertura general en lugar de en el riesgo individual.

Esto hace que la frecuencia sea una medida fácil de aplicar. Si una organización no está segura de que los empleados estén modificando su comportamiento, poner en marcha otra campaña parece una medida efectiva. El problema es que el empleado que demuestra sistemáticamente un comportamiento seguro puede recibir la misma intervención que alguien que muestra repetidamente signos de mayor riesgo.

El coste del exceso de formación de los empleados

La consecuencia más evidente de un exceso de comunicaciones sobre seguridad es la fatiga formativa. Los empleados tienen una capacidad de atención limitada, lo que significa que, cuando los mensajes de sensibilización parecen repetidamente genéricos o irrelevantes para su trabajo, es más fácil ignorarlos. Una notificación formativa se convierte en otra tarea que hay que completar, mientras que un mensaje de seguridad se convierte en otro correo electrónico que compite por espacio en una bandeja de entrada ya saturada.

Nuestra investigación ayuda a explicar el motivo. El 81 % de los CISO afirman que la formación en concienciación sobre seguridad fracasa porque es demasiado genérica como para que los participantes la perciban como algo que les concierne personalmente.

Esto también supone un coste para la organización. La creación, gestión y puesta en marcha de campañas de concienciación requieren presupuesto y capacidad por parte del equipo de seguridad. Además, el 77 % de los CISO afirman que se espera de ellos que demuestren el retorno de la inversión (ROI) de forma más rigurosa en las iniciativas relacionadas con los riesgos cibernéticos humanos que en los controles técnicos. Sin embargo, solo el 39 % se siente totalmente seguro a la hora de explicar el valor de las iniciativas de concienciación en materia de seguridad a su consejo de administración o a la alta dirección.

Cuando se destinan recursos a formar repetidamente a empleados de bajo riesgo junto con aquellos que realmente necesitan una intervención, resulta más difícil demostrar el valor de dicha inversión. Un enfoque más específico ofrece a los responsables de seguridad la oportunidad de aprovechar mejor tanto la atención de los empleados como la inversión en seguridad.

Por qué una mayor actividad no garantiza un menor riesgo

Una de las razones por las que se mantiene el volumen de formación es que las actividades de sensibilización son relativamente fáciles de medir. Las tasas de finalización de la formación pueden mostrar que el 98 % de los empleados completó un módulo, las simulaciones de phishing pueden arrojar una tasa de clics y los paneles de control de las campañas pueden indicar cuántas personas recibieron una comunicación de sensibilización.

Nuestra investigación ha revelado que el 70 % de los CISO afirman que sus sistemas se basan en métricas de actividad como estas. Sin embargo, el 74 % señala que sus actuales informes sobre riesgos cibernéticos, elaborados por personal humano, generan cuadros de mando que no aportan la información necesaria para tomar mejores decisiones, mientras que el 89 % no puede establecer con certeza una relación entre sus actividades de sensibilización y la reducción de incidentes o conatos de incidente.

Esto genera un círculo vicioso. Las organizaciones pueden comprobar que se ha impartido la formación, pero tienen menos información sobre si esta ha modificado el comportamiento o ha reducido el riesgo. Sin esa información, la respuesta habitual puede acabar siendo aumentar las actividades de sensibilización.

Para romper esto En este ciclo, los equipos de seguridad deben ir más allá de la cantidad de formación que imparten y hacerse una idea más clara de en qué ámbitos la intervención tendrá mayor repercusión.

En qué consiste la sensibilización específica en materia de seguridad

Un enfoque más específico comienza por reconocer que los empleados no presentan los mismos niveles ni los mismos tipos de riesgo cibernético.

Consideremos a dos empleados. Uno trabaja en el departamento de Finanzas, tiene acceso a los sistemas de pago y recientemente ha interactuado con un correo electrónico de phishing que simulaba una factura. El otro ocupa un puesto con acceso limitado a los sistemas confidenciales y denuncia de forma sistemática los intentos simulados de phishing.

Enviar a ambos empleados otro módulo genérico sobre phishing puede cumplir con un requisito de formación, pero no supone un uso especialmente eficiente del tiempo de ninguno de los dos.

Las medidas pertinentes podrían ser muy diferentes. Al empleado del departamento de Finanzas le podría resultar útil una formación inmediata sobre el fraude en las facturas, junto con simulaciones de phishing que reflejen las solicitudes de pago con las que se encuentra habitualmente. En cambio, es posible que el segundo empleado apenas necesite medidas adicionales más allá del programa básico de sensibilización de la organización.

El puesto, el departamento, los permisos de acceso, el comportamiento anterior y otros indicadores de riesgo pueden ayudar a las organizaciones a tomar esas decisiones de forma más acertada.

Nuestro estudio ha revelado que el 83 % de los CISO consideran que podrían reducir el riesgo cibernético humano con mayor rapidez si dispusieran de mejores métodos para priorizar quién necesita qué tipo de intervención y en qué momento. Sin embargo, el 76 % afirma que, en la actualidad, no está claro qué intervenciones son las más eficaces para los distintos puestos o perfiles de riesgo.

El reto, por tanto, consiste en plasmar ese principio en un programa de concienciación en materia de seguridad que pueda adaptarse a las diferentes situaciones de riesgo sin suponer una carga de trabajo adicional para los equipos de seguridad.

Seis formas de hacer que la sensibilización en materia de seguridad resulte más relevante

Alejarse de una sensibilización generalizada en materia de seguridad no implica abandonar la formación periódica ni rediseñar todo un programa desde cero. Las organizaciones siguen necesitando actividades básicas de sensibilización para comunicar las políticas, cumplir los requisitos normativos y establecer expectativas comunes en materia de seguridad.

La oportunidad consiste en dotar de mayor inteligencia y relevancia a esa base.

1. Comience por el puesto y la exposición: Los riesgos a los que se enfrenta un empleado dependen en gran medida de sus funciones. Los equipos financieros pueden ser objeto de fraudes en la facturación y de suplantación de identidad en el correo electrónico corporativo. Los administradores de TI pueden disponer de acceso privilegiado, lo que hace que las credenciales comprometidas resulten especialmente valiosas, mientras que los altos directivos son objetivos atractivos para la suplantación de identidad y la ingeniería social sofisticada. La formación en seguridad puede reflejar estas diferencias. En lugar de presentar a todos los empleados escenarios idénticos, las organizaciones pueden basarse en el puesto, el departamento y el nivel de acceso para determinar qué amenazas merecen mayor atención.

2. Utilice el comportamiento para identificar quién necesita más apoyo: la función que desempeña una persona puede dar a los equipos de seguridad una idea de su exposición al riesgo, pero el comportamiento puede aportar otra capa de contexto. Los resultados de las simulaciones de phishing, el comportamiento a la hora de informar, las actividades de formación previas y otros indicadores de riesgo pueden ayudar a identificar en qué casos podría ser útil una intervención adicional. Un empleado que interactúa repetidamente con intentos simulados de phishing puede necesitar un apoyo diferente al de alguien que los identifica y notifica de forma sistemática. Esto ayuda a las organizaciones a centrar la formación allí donde tiene mayor potencial para reducir el riesgo, al tiempo que se evita una formación adicional innecesaria para los empleados que ya demuestran un comportamiento seguro.

3. Haga que las simulaciones de phishing reflejen entornos reales: un correo electrónico de phishing genérico puede servir para comprobar si un empleado reconoce las señales de alerta habituales, pero la relevancia aumenta considerablemente cuando una simulación refleja las solicitudes que esa persona podría recibir en la realidad. Para un empleado del departamento de Finanzas, eso podría significar una solicitud de pago o una factura. Para el departamento de RR. HH., podría tratarse de un currículum o una comunicación sobre prestaciones. Los altos directivos pueden encontrarse con situaciones que impliquen solicitudes urgentes o suplantación de identidad. Hacer que las simulaciones sean más representativas de situaciones reales ayuda a los empleados a practicar la toma de decisiones seguras en un contexto que les resulte familiar, en lugar de considerar los ejercicios de phishing como algo ajeno a sus responsabilidades cotidianas.

4. Intervenir más cerca del punto de riesgo: El momento oportuno puede ser tan importante como el contenido. Si un empleado muestra hoy un comportamiento de riesgo, esperar semanas hasta la próxima campaña de sensibilización programada puede hacer que se pierda gran parte del contexto que, en primer lugar, hacía que el aprendizaje resultara relevante. Siempre que sea posible, las organizaciones pueden utilizar señales de comportamiento y de riesgo para activar la formación en un momento más cercano a aquel en que se necesita. Esto podría traducirse en apoyo adicional tras una simulación de phishing, contenido específico en respuesta a una amenaza emergente o una intervención cuando aparezca un patrón de riesgo concreto. De este modo, a los empleados les resulta más fácil relacionar la formación con la situación para la que está diseñada.

5. Mantenga la formación básica y, a partir de ahí, desarrolle intervenciones específicas: No es necesario que cada sesión de formación se personalice individualmente. Las organizaciones siguen necesitando un programa básico que abarque las políticas, los comportamientos fundamentales en materia de seguridad, los requisitos normativos y las amenazas que afectan al conjunto de la plantilla. Esto establece una base de referencia. Las intervenciones específicas pueden articularse en torno a esa base, proporcionando apoyo adicional a los empleados, puestos o departamentos en los que las señales de riesgo indiquen que resultarán más útiles. De este modo se crea un modelo más proporcionado: todos reciben la formación en concienciación sobre seguridad que necesitan, sin dar por sentado que todos requieren las mismas intervenciones.

6. Mida el comportamiento, no solo la actividad: Las organizaciones deben comprender si la segmentación está marcando la diferencia. Las tasas de finalización, la entrega de las campañas y las tasas de clics en mensajes de phishing son datos útiles, pero solo ofrecen una visión parcial de la situación. Los equipos de seguridad también necesitan saber cómo cambia el comportamiento con el tiempo, dónde se concentra el riesgo y si las intervenciones específicas están generando mejores resultados. Esto implica vincular las actividades de sensibilización con los datos de riesgo, en lugar de analizar cada campaña de forma aislada. Existe un interés por este cambio. El 81 % de los CISO coinciden en que una mejor segmentación es la solución, mientras que el 80 % invertiría más en contenidos de sensibilización diseñados para funciones y perfiles de riesgo específicos. El objetivo no es necesariamente enviar menos contenidos de sensibilización sobre seguridad a los empleados, sino asegurarse de que las intervenciones que reciben tengan una razón de ser.

Cómo contribuye MetaCompliance a que la sensibilización en materia de seguridad sea más específica

Para avanzar hacia un enfoque más específico, no basta con crear más variantes del mismo contenido formativo. Los equipos de seguridad necesitan tener una visión clara del riesgo cibernético humano, la capacidad de comprender dónde se concentra dicho riesgo y formas prácticas de responder ante él.

Nuestra plataforma de gestión de riesgos humanos aúna todas estas capacidades, combinando formación adaptativa y personalizadas de ciberseguridad, simulaciones avanzadas de phishing, análisis del comportamiento, información sobre riesgos en tiempo real e intervenciones automatizadas. Esto ayuda a las organizaciones a identificar quiénes corren mayor riesgo, a comprender por qué y a ofrecer apoyo específico antes de que un comportamiento de riesgo se convierta en un incidente.

En lugar de recurrir a campañas generalizadas como principal método para gestionar el riesgo humano, los equipos de seguridad pueden utilizar la información sobre funciones y riesgos para personalizar la formación, llevar a cabo simulaciones de phishing más relevantes y automatizar las intervenciones en función de los comportamientos que realmente importan. Asimismo, pueden obtener una visión más clara del riesgo humano en toda la organización, lo que les ayuda a priorizar los recursos y a demostrar cómo evoluciona su programa a lo largo del tiempo.

Con más de 20 años de experiencia en sensibilización sobre ciberseguridad y más de nueve millones de usuarios en todo el mundo, estamos aquí para ayudar a las organizaciones a mejorar los programas de sensibilización con los que ya cuentan y a desarrollar un enfoque más específico y cuantificable para la gestión de los riesgos humanos.

¿Desea comprender en qué sentido podría evolucionar su enfoque actual? Descargue nuestro informe «Rethinking Human Cyber Risk» para descubrir lo que nos han contado 200 CISO de el Reino Unido, Francia, Alemania y Suecia sobre el futuro de la concienciación en materia de seguridad y la gestión del riesgo humano.

O bien, solicite una demostración para descubrir cómo el aprendizaje personalizado, las simulaciones de phishing, los análisis de comportamiento, la inteligencia de riesgos en tiempo real y las intervenciones automatizadas pueden ayudarle a dirigirse a las personas adecuadas con el apoyo adecuado en el momento oportuno.