El riesgo humano en la ciberseguridad es una preocupación creciente, con numerosos estudios que indican que los errores humanos, ya sean intencionados o accidentales, son una de las principales causas de las brechas de seguridad. Según una investigación de la Universidad de Stanford y Tessian, el 88% de las violaciones de datos están causadas por errores de los empleados. La participación de seres humanos en la cadena de ciberseguridad es un factor de riesgo importante, ya que las organizaciones suelen tener pruebas anecdóticas del impacto de los errores humanos en los incidentes de seguridad. Para mitigar eficazmente estas amenazas, las organizaciones deben hacer frente a los riesgos de gestión de los recursos humanos abordando las vulnerabilidades no sólo de los empleados, sino también de los no empleados.
Esta guía explora los distintos tipos de riesgo humano dentro de una organización y ofrece estrategias para reducirlos, centrándose en la creación de una plantilla segura y resistente.
Errar es humano: Definir el riesgo humano
Definir lo que significa "error humano" es importante para saber cómo minimizar el riesgo de un error de seguridad relacionado con el ser humano.
El error humano puede clasificarse en dos áreas:
Supervisiones
Los fallos y errores ocurren, y cuando lo hacen, la amenaza para una organización aumenta. Un ejemplo típico de descuido es el de un empleado que envía accidentalmente un correo electrónico con información sensible a la persona equivocada, es decir, el envío erróneo de un correo electrónico.
Otro ejemplo de descuido es la mala configuración de un componente de la nube, como una base de datos. Otro es pensar que está bien compartir una contraseña con un colega. Los descuidos cubren el área general del mal manejo de los datos sensibles por parte de los empleados, que puede llevar al incumplimiento, las multas y la pérdida de confianza de los clientes.
Engaño
Las estafas de ingeniería social aumentan el riesgo humano en una organización. Las estafas de ingeniería social, como los correos electrónicos de phishing que contienen archivos adjuntos o enlaces maliciosos, pueden aumentar el riesgo humano en una organización.
Otro ejemplo de un empleado engañado por un actor malicioso es el Business Email Compromise (BEC), una estafa mediante la cual un ciberdelincuente engaña a los empleados para que paguen facturas fraudulentas. Tanto si un empleado es engañado como si comete un error sin querer, el resultado puede ser catastrófico. El informe de la unidad de delitos en Internet del FBI, IC3, sobre delitos BEC, por ejemplo, descubrió que las pérdidas debidas a BEC en 2020 ascendieron a 1.800 millones de dólares.
Para un análisis más detallado del papel de los empleados en la ciberseguridad de la organización, consulte el artículo Human Firewall: ¿Qué es un Human Firewall y cómo construir uno?, que destaca la importancia de la formación y la concienciación de los empleados para crear una primera línea de defensa sólida.
Cinco estrategias para mitigar el riesgo humano
Para reducir los riesgos de la gestión de los recursos humanos, las organizaciones pueden aplicar cinco estrategias clave para mejorar la higiene de la seguridad y disminuir el riesgo asociado a los errores humanos:
1) Romper el ciclo del clic
Los hábitos de los empleados, influenciados por un diseño UI/UX fácil de usar, pueden conducir a acciones descuidadas, como hacer clic en enlaces maliciosos sin pensar. Para contrarrestar esto, las pruebas de phishing controladas pueden ayudar a modificar el comportamiento de clic, animando a los empleados a ser más cautelosos en sus acciones.
2) Construir una cultura de seguridad
El riesgo cibernético es asunto de todos. A la hora de crear una cultura de ciberseguridad, hay que centrarse claramente en las áreas que aumentan el riesgo en una empresa o un proceso, siendo conscientes al mismo tiempo de que puede haber niveles de riesgo diferentes o variables en función del departamento o incluso del empleado. Los ejercicios de creación de una cultura de ciberseguridad deben reflejar las necesidades granulares de una empresa y, al crear una cultura de concienciación sobre la ciberseguridad, se puede ayudar a reducir los riesgos mediante el conocimiento.
3) Ayudar a tomar mejores decisiones
Muchos de los errores humanos que conducen a un mayor riesgo cibernético son simplemente errores de juicio. El error humano abarca una amplia gama de cuestiones que conducen a la exposición de datos y otros incidentes de seguridad. A veces, se trata simplemente de no disponer de la información necesaria para tomar una buena decisión. Y a veces, se trata de establecer estructuras para que no se pueda tomar una decisión equivocada. La higiene de la seguridad es un buen ejemplo.
Un estudio de Yubico reveló que el 69% de los empleados comparten sus contraseñas para facilitar el acceso a sus cuentas. Para reducir el riesgo del factor humano en el trabajo, enseñe al personal la importancia de no compartir las contraseñas y respáldelo imponiendo el uso del segundo factor de autenticación (2FA) en todas las aplicaciones que lo admitan.
4) Ciberhigiene para reducir el riesgo de error humano
Enseñar a los empleados sobre ciberhigiene añade peso a las cuestiones de higiene de la seguridad mencionadas anteriormente. La ciberhigiene abarca una serie de áreas e incluye una política de escritorio limpio que se pueda hacer cumplir. Las buenas prácticas de ciberhigiene minimizarán los riesgos de seguridad en línea y mantendrán los sistemas informáticos en buen estado. También ayudará a cumplir normas de seguridad como la ISO 27001.
La práctica de la ciberhigiene se extiende de los empleados a una atención general al cuidado de la salud de los sistemas informáticos; esto incluye el uso de herramientas apropiadas para vigilar las amenazas potenciales, asegurarse de que los certificados digitales están actualizados, que los parches se despliegan rápidamente, etc. Las buenas prácticas de ciberhigiene implican asegurarse de que cualquier error humano en la configuración de los sistemas o en los procesos empresariales se detecta antes de ser explotado.
Para más información sobre cómo aplicar la ciberhigiene y minimizar el riesgo humano, consulte el artículo Human Risk Management: gestión del riesgo humano en ciberseguridad.
5) Haga que las personas formen parte de su enfoque de seguridad por capas
Los empleados son a menudo la fuente de un aumento del riesgo cibernético, pero también es en ellos donde una organización puede reducir el riesgo del factor humano. Al asegurarse de que los empleados y los no empleados forman parte de un enfoque estratificado de la ciberseguridad, su empresa puede garantizar una reducción holística del riesgo de "personas, procesos y tecnología".
Al involucrar a todo el personal en la formación, desde el director general hasta el más reciente, se cubren todas las lagunas en las que pueden filtrarse datos o en las que pueden producirse percances de seguridad.
Reducción de riesgos en la gestión de recursos humanos
Los errores humanos y la ingeniería social siguen siendo algunas de las mayores amenazas para la ciberseguridad de una organización. Sin embargo, si se toman medidas proactivas -como fomentar una cultura de seguridad sólida, promover la ciberhigiene e integrar a los empleados en un marco de seguridad sólido-, las organizaciones pueden reducir significativamente sus riesgos de gestión de recursos humanos. Una plantilla bien informada y comprometida es esencial para transformar la vulnerabilidad humana en un activo estratégico, reforzando la resistencia general de la organización a las ciberamenazas.
