La pandemia del coronavirus ha dado lugar a un renovado interés por la formación en concienciación cibernética, ya que las organizaciones buscan formas de reducir el riesgo y formar a su personal sobre las amenazas en constante evolución.
En el último año se ha registrado un aumento del 715 % en los ataques de ransomware, del 600 % en los ataques de phishing y del 200 % en las estafas de suplantación de identidad en el correo electrónico empresarial (BEC).
Estas estadísticas, que invitan a la reflexión, ponen de relieve las amenazas constantes e implacables a las que se enfrentan las organizaciones y, lo que quizá resulte aún más preocupante, es que el 90 % de todos los ciberataques se deben a errores humanos.
Apuntar al «factor humano» se ha convertido en la forma más sencilla de atacar a una organización y obtener acceso a datos valiosos de la empresa. Los ciberdelincuentes cambian continuamente sus tácticas y utilizan sofisticadas técnicas de ingeniería social para infiltrarse en las redes corporativas.
En lo que respecta a la ciberseguridad, sus empleados son, sin duda, su primera línea de defensa frente a la ciberdelincuencia. Inculcar buenos hábitos de ciberseguridad a su personal es la mejor forma de defenderse de los ataques y evitar convertirse en la próxima empresa en aparecer en todos los titulares.
Consejos prácticos para que los nuevos empleados se impliquen en la formación sobre concienciación cibernética
1. La formación en concienciación cibernética debería comenzar desde el primer día
Para garantizar que su personal comprenda la importancia de la ciberseguridad en el lugar de trabajo, es fundamental que la formación en concienciación cibernética comience desde el primer día. Desarrollar una cultura de ciberseguridad lleva tiempo, pero si se inculca a sus empleados el comportamiento adecuado desde el principio, actuarán de forma responsable y comprenderán mejor cómo sus acciones contribuyen a la seguridad general de la empresa.
2. Haga que la formación sea relevante
Para que la formación en concienciación cibernética resulte eficaz entre el personal, debe estar adaptada específicamente a su organización. Cada organización se enfrenta a amenazas diferentes, por lo que la formación debe reflejar las amenazas reales a las que se enfrenta su personal en el día a día. Estas pueden abarcar desde correos electrónicos de phishing hasta estafas dirigidas de tipo «Business Email Compromise» (BEC).
3. Conseguir el apoyo de la alta dirección
Para que el personal se tome en serio las amenazas cibernéticas, el equipo directivo de una organización debe asumir la responsabilidad de la ciberseguridad y establecer los procedimientos y la formación adecuados que aborden todos los riesgos. El ejemplo que se dé desde los altos cargos será, en última instancia, el motor que impulse la creación de una cultura de mayor concienciación sobre la ciberseguridad.
4. Informe a sus empleados sobre el elevado coste que supone una filtración de datos
Muchos empleados simplemente desconocen las devastadoras consecuencias que una filtración de datos podría tener para su organización. Ya se trate de una caída del precio de las acciones, un daño a la reputación, la pérdida de clientes o la imposición de multas, los empleados deben comprender el impacto real que podría tener una brecha de seguridad y cómo podría afectar directamente a su empresa. Formar al personal sobre los riesgos es fundamental para crear un sentido compartido de responsabilidad respecto a los datos confidenciales con los que trabajan.
5. Formación periódica en materia de concienciación cibernética
Impartir formación sobre ciberseguridad a los empleados una vez al año no es suficiente para prepararlos para hacer frente a la avalancha de amenazas en constante evolución. El enfoque tradicional de la ciberseguridad, basado en marcar casillas, ya no es suficiente en una época en la que las organizaciones se ven sometidas a continuos ataques. Los ciberdelincuentes están recurriendo a métodos de ataque cada vez más sofisticados, por lo que los empleados deben recibir formación periódica en materia de concienciación cibernética que les ayude a reconocer las amenazas más recientes y a responder ante ellas de forma adecuada.
6. Evaluar el nivel de concienciación de los empleados
La concienciación en materia de seguridad solo puede lograrse mediante la formación; por lo tanto, para evaluar con precisión el grado de comprensión de sus empleados respecto a la formación recibida, es importante poner a prueba sus conocimientos y habilidades. Las simulaciones de phishing ayudan a las organizaciones a determinar en qué medida su empresa es vulnerable a los correos electrónicos fraudulentos de phishing y a identificar al personal que necesita formación adicional. Las pruebas de simulación controladas ayudarán a los empleados a reconocer, evitar y notificar posibles amenazas que puedan poner en peligro la seguridad de su organización.
7. Fomentar la notificación de incidentes
A medida que sus empleados adquieran una mayor concienciación sobre la ciberseguridad y comprendan mejor el panorama de amenazas, se les debe animar a que informen a la alta dirección de cualquier posible incidente de seguridad. Podría tratarse de un correo electrónico de phishing, una actividad sospechosa en Internet o incluso la presencia de una persona no autorizada en el lugar de trabajo.
8. Destacar la importancia de la ciberseguridad tanto en el trabajo como en casa
La clave para una buena ciberseguridad en el lugar de trabajo consiste en enseñar a los empleados a adoptar estas prácticas cuando se encuentran en casa, fuera de los perímetros seguros de las defensas de seguridad de la empresa. La mayoría de las estafas de ingeniería social se desarrollan en varias frentes, y los atacantes pueden pasar semanas investigando a sus víctimas en las redes sociales antes de intentar acceder a las redes de la empresa. Si el personal es capaz de comprender la importancia de unos buenos hábitos cibernéticos en casa, estos comportamientos se trasladarán al lugar de trabajo.