Fomentar una sólida cultura de concienciación sobre la seguridad en su organización

La mejor forma de detener los ataques a la seguridad centrados en las personas es crear una cultura de concienciación sobre la seguridad centrada en las personas. He aquí cómo hacerlo.

Un gran negocio se construye sobre grandes personas: una organización depende de tener personal en el que pueda confiar, que haga un buen trabajo y en el que se pueda confiar. Las personas hacen que un negocio funcione, pero también pueden hacer que caiga. Los ciberdelincuentes también se centran en las personas.

En el 85% de los ciberataques, es necesario que un ser humano realice alguna acción en beneficio del atacante: puede tratarse del clic de un enlace en un correo electrónico; la descarga de un archivo adjunto infectado; la introducción de credenciales de acceso y contraseña en un sitio web falso; o algo similar.

¿Qué es exactamente una cultura de concienciación sobre la seguridad centrada en las personas?

Las estadísticas hablan por sí solas, el comportamiento humano es susceptible de manipulación y el resultado es ransomware, violaciones de datos y daños e interrupciones generales en las TI y las empresas. En el 91% de los casos, un ciberataque comienza con un correo electrónico de phishing, según un informe de Deloitte. Los ciberataques basados en la ingeniería social, de los que el phishing es un ejemplo, aumentaron un 270% en 2021.

Un post de MetaCompliance «Ingeniería social: Hackear lo humano» exploraba los aspectos más arraigados del comportamiento humano de los que se aprovechan los ciberdelincuentes. Es la ruptura de los comportamientos de seguridad deficientes para convertirlos en comportamientos de seguridad positivos lo que impulsa una cultura de concienciación sobre la seguridad centrada en las personas: las personas son el centro de atención de los ciberdelincuentes y, a su vez, son la mejor forma de hacer frente a los ciberataques.

Capacitar a los empleados con conocimientos sobre estafas de ciberseguridad crea una mentalidad de «la seguridad es lo primero» en las personas que están en primera línea de los ataques: nuestro personal. Utilizando el enfoque adecuado para impartir y cultivar esta concienciación sobre la seguridad, el resultado es la formación de una cultura de concienciación sobre la seguridad centrada en las personas.

Los componentes de una cultura de concienciación sobre la seguridad centrada en las personas

Una cultura se define por las normas y los comportamientos que conforman un grupo o una sociedad. En otras palabras, el término «cultura» describe el modo de vida y el sistema de creencias que un grupo de personas utiliza para crear una sociedad sostenible.

Típicamente, una cultura tendrá entretejidos en su matriz, sistemas que hacen la vida más fácil y exitosa para los individuos dentro de esa sociedad. Una organización, del mismo modo que un grupo, un pueblo, una ciudad o un país, puede crear una cultura, ya que también está formada por individuos.

Las buenas prácticas de seguridad requieren un cambio de comportamiento en los empleados que se beneficia de la incorporación de estos comportamientos de seguridad en una cultura: la mejor forma de lograrlo es garantizar que la seguridad se convierta en una parte intrínseca de la cultura general de la empresa. Sin embargo, la concienciación por sí sola no crea esta cultura. He aquí los componentes necesarios para crear una cultura de concienciación sobre la seguridad centrada en las personas:

• • Establezca su línea de base del comportamiento esperado y utilícela para adaptar su programa de concienciación sobre la seguridad centrado en las personas.

• • Elija un programa de concienciación sobre ciberseguridad que ofrezca contenidos atractivos que incorporen contenidos personalizados y creen comportamientos de seguridad positivos que puedan compartirse.

• • Mantenga una cultura de la seguridad realizando actualizaciones periódicas de la formación en materia de concienciación sobre la seguridad.

• • Capacite a su personal con la notificación de incidentes de seguridad.

Establezca expectativas

Establezca una línea de base de los comportamientos de seguridad esperados.

Esta línea de base se establece a partir de la comprensión de la postura de seguridad actual de su organización y de lo que hay que hacer para mejorarla. Se pueden utilizar varios métodos para recopilar los datos necesarios para establecer la línea de base requerida de un buen comportamiento de seguridad. Esto incluye métricas cuantitativas a partir de la ejecución de pruebas iniciales utilizando programas de simulación de phishing y aportaciones cualitativas a partir de encuestas y grupos de discusión.

A continuación, este ejercicio de recopilación de información se asigna a un programa de formación sobre concienciación en materia de seguridad para impartir una educación centrada en las personas. Este mapeo de los puntos débiles conocidos del comportamiento de seguridad a las personas en la fuerza de trabajo, ayuda a establecer un programa eficaz y adaptado de la educación que se puede utilizar para influir en el comportamiento a través de individuos, departamentos y toda la organización.

A partir de esta línea de base, con un conjunto de expectativas claras, se ofrece a los trabajadores un camino a seguir que ayuda a establecer la creación de una cultura en la que la seguridad es lo primero.

Aprender socialmente

La gente quiere formar parte de algo más grande que ellos mismos.

Las culturas se construyen sobre la columna vertebral de la interacción social humana. Las teorías de la evolución cultural ofrecen explicaciones sobre cómo se desarrollan las culturas. Una de estas teorías se refiere al aprendizaje social: las personas aprenden mejor mediante la observación de sus iguales y el modelado de escenarios, por ejemplo, las historias. La cultura nace de la transmisión de información, conocimientos y habilidades entre las personas.

Los cuentos populares son un gran ejemplo de aprendizaje social a menudo diseñado para cambiar el comportamiento, por ejemplo, no vayas solo al bosque, de lo contrario, el lobo feroz te comerá; muchos cuentos pueden rastrearse en múltiples culturas del mundo a lo largo de milenios. El aprendizaje sobre la concienciación en materia de seguridad debe ser una empresa cooperativa en la que los empleados trabajen juntos, aprendiendo de forma social, interactiva y atractiva.

El aprendizaje de la concienciación sobre la seguridad mediante escenarios de tipo aprendizaje social, suele implicar el uso de juegos, módulos interactivos y la aportación de educadores expertos. El uso de expertos se asocia con el concepto de «aprendizaje social con sesgo de prestigio» en los seres humanos, que se sabe que ayuda a los adultos a aprender conceptos difíciles.

Mantener un comportamiento positivo en materia de seguridad

Parte de la creación de una cultura de concienciación sobre la seguridad centrada en las personas pasa por una persistencia eficaz.

Mantener un comportamiento positivo en materia de seguridad requiere una formación continua en materia de concienciación sobre la seguridad. La formación periódica en materia de concienciación sobre la seguridad tiene una doble razón de ser. En primer lugar, las actualizaciones periódicas de la formación garantizan que el panorama cambiante de las amenazas se refleje en los paquetes de formación. Esto es vital, ya que los ciberdelincuentes cambian continuamente su comportamiento y sus tácticas para engañar más fácilmente a los empleados. En segundo lugar, la formación regular mantiene la seguridad en el primer plano de la mente de los empleados y esto ayuda a mantener la cultura de seguridad corporativa.

Valorar las aportaciones de los empleados

La seguridad es responsabilidad de todos; elimine la culpa de su cultura.

Un estudio de PwC reveló que casi tres cuartas partes de los encuestados temían represalias si informaban de problemas de seguridad. Una cultura de seguridad sólo puede persistir si se elimina el miedo de la ecuación. No culpe a un empleado que abre accidentalmente un mensaje de phishing y hace clic en un enlace malicioso. En su lugar, utilícelo como un ejercicio de aprendizaje.

Asegúrese de que sus empleados saben que forman parte de la solución, no del problema. Haga de la notificación de incidentes de seguridad una parte intrínseca de su cultura de concienciación sobre la seguridad centrada en las personas. Proporcione a los empleados las herramientas para que la notificación sea fácil y forme parte de su vida laboral cotidiana. Muéstreles cómo los informes de seguridad conducen a una mejor detección y prevención de la ciberseguridad.

Cultive una cultura de seguridad centrada en las personas

Una cultura de concienciación sobre la seguridad centrada en las personas no se crea de la noche a la mañana. Sin embargo, si pone en marcha las estructuras adecuadas, su organización empezará a ver rápidamente el desarrollo de comportamientos persistentes y positivos en materia de seguridad de la información.

¿Listo para reforzar su postura de seguridad? Descubra nuestros perspicaces posts«Cree campeones de ciberseguridad para su organización» y«5 áreas clave para maximizar su presupuesto de ciberseguridad«. También puede explorar nuestra completa biblioteca de contenidos de ciberseguridad eLearning para equipar a su equipo con los conocimientos necesarios para prosperar en el panorama digital actual.

Dé el primer paso hacia un futuro más seguro: ¡sumérjase hoy mismo en estos recursos!