Cómo reducir los riesgos humanos en su organización

El riesgo humano en la ciberseguridad es una preocupación creciente, ya que numerosos estudios indican que los errores humanos, ya sean intencionados o accidentales, son una de las principales causas de las violaciones de la seguridad. Según una investigación de la Universidad de Stanford y Tessian, el 88% de las violaciones de datos están causadas por errores de los empleados. La implicación de los humanos en la cadena de la ciberseguridad es un factor de riesgo importante, ya que las organizaciones suelen tener pruebas anecdóticas del impacto de los errores humanos en los incidentes de seguridad. Para mitigar eficazmente estas amenazas, las organizaciones deben hacer frente a los riesgos de la gestión de los recursos humanos abordando las vulnerabilidades no sólo de los empleados, sino también de los no empleados.

Esta guía explora los distintos tipos de riesgos humanos dentro de una organización y ofrece estrategias para reducirlos, centrándose en la creación de una plantilla segura y resistente.

Errar es humano: Definir el riesgo humano

Definir lo que significa «error humano» es importante para saber cómo minimizar el riesgo de un error de seguridad relacionado con el ser humano.

El error humano puede clasificarse a grandes rasgos en dos áreas:

Supervisiones

Los fallos y los errores ocurren, y cuando lo hacen, la amenaza para una organización aumenta. Un ejemplo típico de descuido es el envío accidental por parte de un empleado de un correo electrónico con información sensible a la persona equivocada, es decir, la entrega errónea de un correo electrónico.

Otro ejemplo de descuido es la configuración incorrecta de un componente de la nube, como una base de datos. Otro más, es pensar que está bien compartir una contraseña con un colega. Los descuidos abarcan el ámbito general de la mala gestión de datos sensibles por parte de los empleados, que puede dar lugar a incumplimientos, multas y pérdida de confianza de los clientes.

Engaño

Las estafas de ingeniería social aumentan el riesgo humano en una organización. Las estafas de ingeniería social, como los correos electrónicos de phishing que contienen archivos adjuntos o enlaces maliciosos, pueden aumentar el riesgo humano en una organización.

Otro ejemplo de un empleado engañado por un actor malicioso es el Business Email Compromise (BEC), una estafa por la que un ciberdelincuente engaña a los empleados para que paguen facturas fraudulentas. Tanto si un empleado es engañado como si comete un error sin querer, el resultado puede ser catastrófico. El informe de la unidad de delitos en Internet del FBI, IC3, sobre delitos BEC, por ejemplo, descubrió que las pérdidas debidas a BEC en 2020 ascendieron a 1.800 millones de dólares.

Para un debate más detallado sobre el papel de los empleados en la ciberseguridad de la organización, consulte el artículo Construir un cortafuegos humano, que destaca la importancia de la formación y la concienciación de los empleados para crear una primera línea de defensa sólida.

Cinco estrategias para mitigar el riesgo humano

Para reducir los riesgos de la gestión de los recursos humanos, las organizaciones pueden aplicar cinco estrategias clave para mejorar la higiene de la seguridad y disminuir el riesgo asociado a los errores humanos:

1) Rompa el ciclo del clic

Los hábitos de los empleados, influenciados por un diseño UI/UX fácil de usar, pueden conducir a acciones descuidadas, como hacer clic en enlaces maliciosos sin pensar. Para contrarrestar esto, las pruebas de phishing controladas pueden ayudar a modificar el comportamiento de clic, animando a los empleados a ser más cautelosos en sus acciones.

2) Cree una cultura de seguridad

El riesgo cibernético es asunto de todos. A la hora de crear una cultura de ciberseguridad, debe centrarse claramente en las áreas que aumentan el riesgo en una empresa o un proceso, siendo consciente al mismo tiempo de que puede haber diferentes o distintos niveles de riesgo en función del departamento o incluso del empleado. Los ejercicios de creación de una cultura de ciberseguridad deben reflejar las necesidades granulares de una empresa y, al crear una cultura de concienciación sobre la ciberseguridad, puede ayudar a reducir los riesgos mediante el conocimiento.  

3) Apoyar mejores decisiones

Muchos errores humanos que conducen a un mayor riesgo cibernético son simplemente un mal juicio. El error humano abarca una amplia gama de cuestiones que conducen a la exposición de datos y a otros incidentes de seguridad. A veces, se trata simplemente de no disponer de la información necesaria para tomar una buena decisión. Y a veces, se trata de poner en marcha estructuras para que no se pueda tomar una decisión equivocada. La higiene de la seguridad es un ejemplo de ello.

Una investigación de Yubico reveló que el 69% de los empleados comparten contraseñas para facilitar el acceso a sus cuentas. Para reducir el riesgo del factor humano en el trabajo, enseñe al personal la importancia de no compartir las contraseñas y respáldelo imponiendo el uso de la autenticación de segundo factor (2FA) a cualquier aplicación que admita 2FA.

4) Ciberhigiene para reducir el riesgo de error humano

Enseñar a los empleados sobre la higiene cibernética añade peso a las cuestiones de higiene de la seguridad mencionadas anteriormente. La ciberhigiene abarca una serie de áreas e incluye una política de escritorio limpio que se pueda hacer cumplir. Las buenas prácticas de ciberhigiene minimizarán los riesgos de seguridad en línea y mantendrán sanos los sistemas informáticos. También contribuirá al cumplimiento de normas de seguridad como la ISO 27001.

La práctica de la ciberhigiene se extiende de los empleados a una atención general a la salud de los sistemas informáticos; esto incluye el uso de herramientas apropiadas para vigilar las amenazas potenciales, asegurarse de que los certificados digitales están actualizados, que los parches se despliegan rápidamente, etc. Las buenas prácticas de ciberhigiene implican asegurarse de que cualquier error humano en la configuración de los sistemas o en los procesos empresariales, se detecta antes de ser explotado.

Para más información sobre cómo aplicar la ciberhigiene y minimizar el riesgo humano, consulte el artículo Gestión del riesgo humano en la ciberseguridad: Proteja su organización con prácticas de higiene eficaces.

5) Haga que las personas formen parte de su enfoque estratificado de la seguridad

Los empleados son a menudo la fuente de un aumento del riesgo cibernético, pero también es en ellos donde una organización puede eliminar el riesgo del factor humano. Al asegurarse de que los empleados y los no empleados forman parte de un enfoque estratificado de la ciberseguridad, su empresa puede garantizar la eliminación holística del riesgo de «las personas, los procesos y la tecnología».

Involucrando a todo el personal en la formación, desde el director general hasta el recién nombrado, cubrirá todas las lagunas por las que pueden filtrarse datos o en las que pueden producirse contratiempos de seguridad.

Reducir el riesgo en la gestión de recursos humanos

Los errores humanos y la ingeniería social siguen siendo algunas de las mayores amenazas para la ciberseguridad de una organización. Sin embargo, si se toman medidas proactivas -como fomentar una cultura de seguridad sólida, promover la ciberhigiene e integrar a los empleados en un marco de seguridad sólido-, las organizaciones pueden reducir significativamente sus riesgos de gestión de recursos humanos. Una plantilla bien informada y comprometida es esencial para transformar la vulnerabilidad humana en un activo estratégico, reforzando la resistencia general de la organización frente a las ciberamenazas.

[faq_posts]