El Mes de la Concienciación sobre la Ciberseguridad, tanto en Europa como en Estados Unidos, forma parte de una amplia campaña destinada a ayudar a las personas a mantenerse seguras en Internet. La iniciativa se puso en marcha en 2004 en Estados Unidos y en 2012 en Europa. Este año, la campaña estadounidense se centró en el lema «See Yourself in Cyber». En Europa, la iniciativa promovió la concienciación sobre el phishing y el ransomware.
Obviamente, respaldamos cualquier iniciativa destinada a fomentar la concienciación sobre la ciberseguridad. Las personas constituyen el eslabón más débil en las medidas de seguridad de una organización. Es importante enseñarles medidas sencillas que puedan adoptar para protegerse en Internet. Para un atacante, sigue siendo mucho más fácil engañar a alguien para que revele una contraseña o haga clic en un enlace de un correo electrónico que penetrar en una red bien protegida. Una buena concienciación en materia de ciberseguridad puede proteger a las organizaciones frente a pérdidas económicas, sanciones por incumplimiento normativo y daños a su reputación.
Sin embargo, tras años de iniciativas en torno a un «mes de concienciación» anual, el aprovechamiento de la escasa concienciación en materia de ciberseguridad sigue siendo el principal vector de ataque en las filtraciones de datos.
El Informe de investigación sobre fugas de datos de Verizon de 2022 reveló que el 82 % de las fugas registradas el año anterior se debieron a técnicas de ingeniería social y que las tasas de clics en mensajes de phishing siguen aumentando. Una vez que los atacantes logran introducirse en el sistema, pueden establecer canales de mando y control, desplazarse lateralmente para identificar los datos objetivo, cifrar datos con el fin de exigir un rescate o sustraer información confidencial.
¿«Mes» de la concienciación sobre la ciberseguridad?
Así pues, sí, apoyamos el Mes de la Concienciación sobre la Ciberseguridad. Este mes aporta la atención necesaria a un problema en cuya resolución llevamos años trabajando. Puede que anime a algunas organizaciones a dar sus primeros pasos para mejorar la concienciación en materia de seguridad entre su personal o a reforzar los programas que ya cuentan. Simplemente nos oponemos a que la concienciación sobre la ciberseguridad se trate como un evento anual.
El aprendizaje no es algo que se haga una sola vez. No se aprende a hablar un nuevo idioma ni a tocar un instrumento musical dedicándose a ello solo una vez al año. Lo mismo ocurre con la capacidad de reconocer y evitar las amenazas a la ciberseguridad. Aprender a hacer cualquiera de estas cosas requiere tiempo y repetición.
Cuando las sesiones de formación son eventos que se celebran una o dos veces al año con el fin de cumplir los requisitos de cumplimiento normativo, los alumnos no retienen los conocimientos. La famosa curva del olvido de Ebbinghaus demuestra que los alumnos olvidan más del 75 % de lo aprendido en una lección solo durante la primera semana. Al cabo de un mes, los alumnos solo retienen el 21 % de lo aprendido.
Sensibilización de los empleados
La enseñanza es un proceso, no un hecho aislado. Esto incluye la formación en materia de concienciación sobre la ciberseguridad. Los estudios demuestran que la pendiente descendente de la curva del olvido puede reducirse mediante un refuerzo periódico de las lecciones. No es necesario que estos refuerzos incluyan toda la información de la lección. El objetivo es que el alumno siga reflexionando sobre el material y lo aplique en la práctica.
Creación de una cultura de concienciación cibernética
El «mes» de la concienciación sobre la ciberseguridad puede parecer una mera estrategia publicitaria. Un programa eficaz de concienciación sobre la ciberseguridad debe llevarse a cabo durante los 12 meses del año, utilizando una variedad de herramientas y técnicas.
Las lecciones de formación en línea son, sin duda, parte de cualquier programa eficaz, pero los equipos deben reforzar los contenidos de forma periódica mediante recordatorios, simulaciones de phishing, microlecciones, salvapantallas y carteles. Las lecciones deben adaptarse a las diferentes amenazas a las que se enfrenta una organización.
La formación dirigida a los equipos financieros debe adaptarse a las amenazas específicas que afectan al departamento. Los departamentos de TI deben estar atentos al robo de credenciales privilegiadas. Todo el mundo necesita formación continua sobre los ataques de phishing y ransomware.
Un programa de sensibilización en materia de ciberseguridad constituye una parte importante de una evaluación global de riesgos. Los responsables de dichos programas deben poder realizar un seguimiento de los avances mediante la elaboración de informes e iniciar medidas correctoras cuando persistan riesgos en la organización. Si las personas o los equipos obtienen malos resultados en la formación, se debería programar automáticamente una formación de recuperación.
Y lo que es más importante, las organizaciones comprometidas con la sensibilización sobre la ciberseguridad y la seguridad en línea reconocen la necesidad de contar con el apoyo de la dirección. Los mensajes periódicos, procedentes directamente de la alta dirección, sobre la necesidad de mantener buenas prácticas de ciberseguridad —y por qué constituyen una prioridad para la empresa— contribuyen a forjar una cultura de seguridad duradera.