[Nuevo informe] El 79% de los CISO desea adoptar un enfoque más estratégico para la gestión de los ciberriesgos humanos. Lea el Informe.

Índice

Los programas de concienciación en materia de seguridad han seguido tradicionalmente un calendario bastante predecible. Se imparte formación anual para abordar los aspectos fundamentales, se realizan simulacros de phishing a intervalos regulares y se llevan a cabo campañas a lo largo del año para reforzar temas importantes o mantener a los empleados al día sobre las amenazas emergentes.

Por supuesto, los empleados necesitan recordatorios periódicos para mantener la ciberseguridad en primer plano y refrescar lo que han aprendido, pero depender en exceso de un calendario puede crear una brecha entre el momento en que se imparte la formación y aquel en que los empleados realmente necesitan ponerla en práctica.

El riesgo cibernético no espera al próximo módulo de formación, sino que surge en medio de una ajetreada jornada laboral, cuando alguien recibe un correo electrónico de phishing muy convincente mientras intenta ponerse al día con una bandeja de entrada desbordada. Puede tratarse de una solicitud de pago inesperada o de un mensaje urgente que parece proceder de un compañero de mayor rango. Son estos los momentos en los que los empleados deben reconocer el riesgo y tomar la decisión correcta, a menudo en cuestión de segundos.

Es posible que alguien haya abordado esa situación concreta en una sesión de formación unos meses antes, pero ¿qué parte de ello le vendrá a la mente cuando esté ocupado, distraído o bajo presión?

Para los responsables de seguridad, esto hace que el momento en que se imparte la formación sea un aspecto importante a tener en cuenta a la hora de abordar la relevancia de la misma. Ya sabemos que los empleados están más propensos a implicarse en la formación en materia de seguridad cuando esta refleja los riesgos a los que se enfrentan en su trabajo diario. La siguiente pregunta es si podemos hacer que esa formación resulte aún más útil impartirla en un momento más cercano a aquel en que se necesita.

Nuestro Un nuevo enfoque del riesgo cibernético humano rLas investigaciones sugieren que los CISO ven aquí una oportunidad real. Tres cuartas partes afirman que la relevancia es más importante que la frecuencia a la hora de fomentar un comportamiento seguro mediante la formación en concienciación sobre seguridad, mientras que el 83 % cree que podría reducir el riesgo cibernético humano más rápidamente si dispusiera de mejores métodos para priorizar quién necesita qué intervención y cuándo.

Por qué una mayor formación no siempre implica un menor riesgo

Es fácil dar por sentado que un mayor número de actividades de sensibilización en materia de seguridad dará lugar a mejores prácticas de seguridad. Más cursos, más simulaciones y más comunicaciones implican que los empleados reciben más mensajes sobre seguridad, por lo que, sin duda, parte de ello debe traducirse en una reducción del riesgo, ¿no es así?

Lamentablemente, no es tan sencillo. Nuestra investigación ha revelado que, en la actualidad, los empleados reciben contenidos de sensibilización sobre seguridad una media de entre seis y siete veces al mes; sin embargo, el 81 % de los CISO afirman que la formación sigue sin dar los resultados esperados porque es demasiado genérica como para que los empleados la perciban como algo que les concierne personalmente.

Cuando se piensa en las diferentes personas y funciones que hay dentro de una organización, resulta fácil comprender cómo ocurre esto. Una persona que trabaje en el departamento financiero puede pasar el día gestionando facturas, solicitudes de pago y correos electrónicos de altos directivos, lo que hace que la suplantación de identidad y el compromiso del correo electrónico empresarial cobren especial relevancia. El personal de RR. HH. maneja información confidencial de los empleados, mientras que los desarrolladores y los empleados con acceso privilegiado se enfrentan a un conjunto de riesgos completamente diferente.

El comportamiento individual añade otra dimensión. Un empleado puede ser muy hábil a la hora de detectar correos electrónicos sospechosos, pero tener dificultades en otros aspectos de la seguridad, mientras que otra persona puede caer repetidamente en el mismo tipo de técnica de phishing. Impartir a ambas personas exactamente la misma formación al mismo tiempo puede resultar cómodo, pero es muy probable que parte de esa formación no les resulte especialmente útil a ninguno de los dos.

Una mejor orientación permite a los equipos de seguridad ser mucho más selectivos. ¿Quién necesita realmente apoyo? ¿En qué necesitan ayuda? ¿Y cuándo resultaría más útil ese apoyo? Responder a estas preguntas permite sacar el máximo partido a cada actividad de formación sin añadir continuamente más contenido a la carga de trabajo de los empleados.

Aprovechar al máximo el momento

Tomemos como ejemplo una simulación de phishing. Un empleado hace clic en un enlace en el que no debería haber hecho clic, lo que proporciona al equipo de seguridad una indicación útil sobre en qué aspectos podría necesitar apoyo adicional. Esto supone una oportunidad de aprendizaje realmente valiosa, ya que el escenario aún está fresco en la memoria de ese empleado.

Si a esa experiencia le sigue poco después una formación pertinente, se establece un vínculo mucho más sólido entre ambas. El empleado puede identificar las señales de alerta que se le pasaron por alto, comprender por qué el correo electrónico resultaba sospechoso y aprender qué podría hacer de forma diferente la próxima vez. Ese contexto puede hacer que el aprendizajeresultará mucho más útil que abordar la misma técnica de phishing varios meses después en un módulo de formación general.

Aquí es donde entran en juego las intervenciones integradas en el flujo de trabajo. Las señales de comportamiento y de riesgo pueden ayudar a las organizaciones a identificar oportunidades para ofrecer apoyo adicional en el momento más oportuno, en lugar de esperar a la siguiente actividad prevista en el calendario de sensibilización.

Un fallo en una simulación de phishing, por ejemplo, podría dar lugar a una breve sesión de formación relacionada con la técnica a la que el empleado acaba de enfrentarse. Un equipo que sea objeto de un tipo concreto de ataque podría recibir formación diseñada en función de esa amenaza, mientras que los empleados que muestren comportamientos de riesgo recurrentes podrían beneficiarse de apoyo o refuerzo adicionales.

Por supuesto, nadie desea que los empleados reciban una notificación de formación cada vez que realizan una acción que genera una señal de riesgo; eso es el camino más rápido hacia un mayor cansancio ante la formación. El valor reside en utilizar la información de la que ya dispone sobre sus empleados para tomar decisiones más acertadas sobre cuándo una intervención sería realmente útil y cómo debería ser dicha intervención.

Una mejor segmentación depende de una mayor visibilidad

Para que todo esto funcione, los equipos de seguridad deben saber dónde se concentra el riesgo cibernético humano en toda la organización, y ese es un ámbito en el que muchos siguen teniendo dificultades.

Nuestra investigación ha revelado que el 76 % de los CISO no tiene una idea clara de qué medidas son más eficaces para los distintos puestos o perfiles de riesgo. Sin embargo, el 81 % coincide en que una mejor orientación es la clave para mejorar la concienciación en materia de seguridad, lo que pone de manifiesto una brecha significativa entre el objetivo que persiguen las organizaciones y la visibilidad de la que disponen en la actualidad.

Para lograr esa visibilidad, es necesario analizar las diferentes señales que ya generan los empleados y los programas de seguridad. Los resultados de las simulaciones de phishing, las actividades de formación y otras señales de comportamiento o de seguridad más amplias pueden contribuir a obtener una visión más clara de dónde se encuentran los riesgos, qué grupos podrían necesitar más apoyo y cómo evoluciona esa situación con el tiempo.

Una vez que los equipos de seguridad cuenten con esa información, podrán actuar de forma mucho más deliberada en cuanto a los pasos a seguir. Un grupo que presente un mayor riesgo frente a una amenaza concreta puede recibir formación que aborde directamente dicha amenaza, mientras que los empleados que demuestren de forma constante unos hábitos de seguridad sólidos podrían necesitar menos intervención.

Además, proporciona a las organizaciones una base más sólida para responder a una pregunta mucho más amplia: ¿está el programa de concienciación reduciendo realmente el riesgo?

A los equipos de seguridad no les faltan datos, desde luego. Las tasas de finalización de la formación, los clics en mensajes de phishing, los correos electrónicos denunciados y muchas otras métricas pueden registrarse e incorporarse a un panel de control. Lo más complicado es determinar qué indican realmente esas cifras en cuanto a si las personas están modificando su comportamiento.

Este reto quedó claramente de manifiesto en nuestro estudio. Casi tres cuartas partes (74 %) de los CISO afirman que sus actuales informes sobre riesgos cibernéticos relacionados con el factor humano les proporcionan paneles de control que no ofrecen una visión lo suficientemente clara como para tomar mejores decisiones. Y lo que es aún más llamativo, el 89 % no puede establecer con seguridad una relación entre las actividades de sensibilización y la reducción de incidentes o conatos de incidente.

Las intervenciones oportunas y específicas pueden ayudar a que esa relación resulte más evidente. Si un comportamiento concreto da lugar a una intervención, los equipos de seguridad pueden analizar lo que ocurre a continuación. Quizás un empleado mejore a la hora de detectar la técnica de phishing con la que antes tenía dificultades, un grupo de mayor riesgo mejore tras varias simulaciones o el comportamiento a la hora de notificar incidentes comience a cambiar tras una formación específica.

El análisis de esas tendencias a lo largo del tiempo puede aportar a los equipos de seguridad mucha más información sobre si una intervención ha surtido efecto y en qué aspectos podrían tener que ajustar su enfoque. Además, facilita la asignación del tiempo y el presupuesto a aquellas actividades que están teniendo mayor repercusión.

Esto resulta especialmente valioso cuando se pide a los CISO que justifiquen sus gastos. Nuestra investigación reveló que se espera que el 77 % demuestre el retorno de la inversión (ROI) de forma más rigurosa en el caso de las iniciativas relacionadas con los riesgos cibernéticos humanos que en el de los controles técnicos. El hecho de poder demostrar cómo una intervención ha influido en el comportamiento proporciona a los responsables de seguridad argumentos mucho más sólidos que presentar ante el consejo de administración que las mer tasas de cumplimiento.

Mejorar la concienciación en materia de seguridad sin tener que empezar de cero

Todo esto puede parecer un gran cambio, pero las organizaciones no necesitan volver a crear sus programas de concienciación sobre seguridad desde cero. De hecho, nuestra investigación sugiere que la mayoría de los CISO preferirían desarrollar lo que ya tienen mediante proyectos piloto y mejoras graduales.

Las simulaciones de phishing pueden constituir un punto de partida práctico. Las organizaciones podrían comenzar por vincular los resultados de las simulaciones con la formación de seguimiento pertinente y analizar si el comportamiento de los empleados mejora posteriormente. A partir de ahí, pueden introducir una formación más específica para cada puesto, utilizar la puntuación de riesgo a nivel de grupo para ayudar a priorizar las intervenciones e incorporar una gama más amplia de señales de comportamiento a medida que su enfoque va madurando.

Estos cambios pueden producirse de forma gradual, basándose en las actividades de formación y sensibilización ya existentes. Con el tiempo, el programa se adapta mejor a las experiencias de los empleados y a los puntos en los que surgen riesgos en toda la organización.

El mensaje adecuado. El momento adecuado. Un impacto real.

La sensibilización en materia de seguridad sigue requiriendo una mayor constancia. Los empleados necesitan oportunidades periódicas para actualizar sus conocimientos, informarse sobre las amenazas emergentes y mantener la seguridad como prioridad. Sin embargo, las organizaciones pueden hacer mucho más aprovechando los momentos que transcurren entre esas actividades programadas.

Cuando alguien muestra un comportamiento de riesgo o un grupo concreto empieza a dar señales de un mayor riesgo, surge la oportunidad de actuar mientras ese apoyo siga siendo pertinente. Con una mayor visibilidad, los equipos de seguridad pueden identificar dónde se encuentran esas oportunidades y tomar decisiones mucho más fundamentadas sobre la formación que imparten.

Además, establece una conexión mucho más estrecha entre las actividades de concienciación y la gestión general del riesgo cibernético humano. Los equipos de seguridad pueden identificar dónde se concentra el riesgo, decidir dónde centrar sus esfuerzos, observar cómo cambia el comportamiento y utilizar esos resultados para definir los próximos pasos.

En definitiva, toda organización dispone de una cantidad limitada de tiempo, presupuesto y atención por parte de los empleados. Hacer que la formación en materia de seguridad resulte más relevante y se imparta en el momento adecuado brinda a los equipos de seguridad la oportunidad de aprovechar estos tres recursos de forma más eficaz, al tiempo que ofrece a los empleados un apoyo que resulte pertinente en el contexto de su jornada laboral.

Desarrollar un enfoque más ágil frente al riesgo cibernético de origen humano

MetaCompliance ayuda a las organizaciones a desarrollar programas de sensibilización en materia de seguridad centrados en los riesgos a los que se enfrentan realmente sus empleados. Formación personalizada formación en concienciación sobre seguridad, simulaciones avanzadas de phishinge información sobre riesgos e intervenciones automatizadas ayudan a los equipos de seguridad a identificar dónde se necesita apoyo y a impartir formación pertinente en función de los riesgos y el comportamiento de los empleados.

Esto proporciona a las organizaciones una mayor visibilidad del riesgo cibernético humano y un mayor control sobre su forma de responder, lo que les ayuda a aprovechar mejor las señales de comportamiento, orientar las intervenciones de forma más eficaz y medir cómo evoluciona el riesgo a lo largo del tiempo.

Esto no es más que una parte de un cambio mucho más amplio en la forma en que las organizaciones abordan el riesgo cibernético humano. Nuestra investigación analiza los retos más generales a los que se enfrentan los responsables de seguridad, desde hacer que la formación resulte más relevante y comprender qué medidas son eficaces, hasta medir el cambio de comportamiento y demostrar el valor de la concienciación en materia de seguridad ante el consejo de administración.

Descargue nuestro informe completo Informe «Rethinking Human Cyber Risk» para conocer todas las opiniones de 200 CISO de Francia, Alemania, Suecia y el Reino Unido, junto con orientaciones prácticas sobre cómo las organizaciones pueden adaptar su enfoque y desarrollar una estrategia de gestión de riesgos humanos más específica, cuantificable y eficaz.

Preguntas frecuentes

¿En qué consisten las intervenciones en el flujo de trabajo en el ámbito de la sensibilización en materia de seguridad?

Las intervenciones en el flujo de trabajo consisten en formación u orientación en materia de seguridad específicas, impartidas en respuesta al comportamiento o al riesgo de un empleado perfil de riesgo o una señal de seguridad relevante. Por ejemplo, un empleado que participe en una simulación de phishing podría recibir formación inmediata relacionada con la técnica con la que se ha encontrado. Esto contribuye a vincular la formación en seguridad a un momento real y relevante, en lugar de depender exclusivamente de la formación programada.