La ciberseguridad en el lugar de trabajo ha cobrado cada vez más importancia a medida que más empresas adoptan recursos digitales y la nube. El ransomware encabeza la lista de amenazas que pueden paralizar a una organización, y estos ataques suelen comenzar con un correo electrónico de phishing malicioso dirigido a empleados concretos. Basta con que un solo empleado caiga víctima de un ataque sofisticado para que su organización se vea paralizada por el bloqueo del acceso a los archivos, el robo de datos y las amenazas persistentes avanzadas ocultas en la red.
El oleoducto Colonial Pipeline, que transporta gas y combustible para aviones desde Texas hasta la costa este, ha sido víctima de un ataque de ransomware. El ataque paralizó la producción y obligó a cerrar esta infraestructura energética. Este tipo de ataques no ha hecho más que intensificarse, y suelen comenzar dirigiéndose a un empleado de la empresa que no se da cuenta de que un mensaje es malicioso. A menudo se debe a una falta de formación y concienciación en materia de ciberseguridad en el lugar de trabajo.
CryptoLocker, uno de los primeros y más populares ataques de ransomware, se inició con un correo electrónico de phishing. Afectó a casi 500 000 ordenadores y provocó una pérdida generalizada de datos en todo el mundo. El malware se propagó mediante el envío masivo de mensajes de correo electrónico que contenían un archivo ZIP adjunto. Una vez abierto, el ransomware escaneaba los ordenadores y cifraba los archivos, de modo que quedaban bloqueados y no se podía acceder a ellos a menos que se pagara un rescate. Los usuarios deben saber que cualquier correo electrónico con un archivo ZIP adjunto debe considerarse sospechoso.
CISO: El valor de un «devorador de pecados»
La función de un director de seguridad de la información (CISO) se asemeja mucho a la del mítico «comedor de pecados» de la tradición popular inglesa de la Edad Media. Un comedor de pecados consumía una comida y absorbía los pecados de los difuntos. A continuación, llevaba consigo los pecados de otras personas para liberarlas de la culpa, la vergüenza y las repercusiones en el más allá.
Un CISO desempeña una función similar, en la que las faltas de los empleados internos afectan a su reputación, a su rendimiento laboral y a sus perspectivas de futuro. En caso de que un empleado sea víctima de escándalos internos relacionados con la ciberseguridad, estos arruinan la reputación de la organización y paralizan los servicios de producción. Para proteger a un empleado concreto del impacto negativo y las consecuencias, el CISO asume la responsabilidad de los errores de la desafortunada víctima y responde por su error.
El hecho de que solo haya un CISO en la organización no significa que la responsabilidad recaiga exclusivamente en una sola persona. La organización en su conjunto asume dicha responsabilidad. En el caso de la filtración de datos de Equifax, los administradores de servidores y el CISO responsable de la supervisión y la aplicación de parches al software podrían ser los únicos responsables de una de las mayores filtraciones de datos hasta la fecha; sin embargo, se consideró que la organización de Equifax en su conjunto había actuado de forma irresponsable y asumió la culpa de las consecuencias.
Además de ser responsable de la ciberseguridad interna, un CISO ve cómo aumenta su carga de trabajo a medida que más organizaciones se pasan a la nube y se digitalizan durante los confinamientos de la pandemia en 2020. Para mantener la productividad, las organizaciones se vieron obligadas a permitir el teletrabajo tras la propagación mundial de la COVID. Este cambio en los entornos de trabajo provocó un impulso repentino hacia la computación en la nube y los flujos de trabajo digitales. El resultado fue que las empresas se trasladaron a la nube sin prestar apenas atención a la ciberseguridad. La ciberseguridad quedó relegada a un segundo plano, y los autores de las amenazas aprovecharon al máximo este descuido. El phishing y el ransomware prosperaron a medida que más empleados caían víctimas de sofisticadas campañas dirigidas a particulares.
Los siete pecados capitales de la ciberseguridad en el ámbito laboral
La concienciación sobre la ciberseguridad es fundamental para evitar riesgos. Si sus empleados no conocen cómo se estructura un ataque de phishing, no se puede esperar que lo eviten. El error humano es un factor clave en las filtraciones de datos, pero a continuación le presentamos los siete pecados capitales y las formas de evitar convertirse en la próxima víctima:
- Contraseñas poco seguras. La complejidad y la longitud de las contraseñas reducen la probabilidad de que se produzca un ataque de fuerza bruta contra las credenciales de los empleados. Los administradores pueden establecer normas para las contraseñas que exijan una determinada longitud y complejidad, y que impidan que los usuarios reutilicen las mismas.
- Riesgos de las redes Wi-Fi públicas. Los usuarios deben ser conscientes de los riesgos asociados a las redes Wi-Fi públicas. Las aplicaciones críticas deben utilizarse a través de una red privada virtual (VPN), y los usuarios nunca deben transmitir datos sin cifrar.
- Antivirus instalado y actualizado. Las organizaciones que aplican una política de «traiga su propio dispositivo» (BYOD) deben concienciar a los usuarios sobre la importancia de contar con un antivirus y de mantenerlo actualizado. Los administradores pueden forzar las actualizaciones en las estaciones de trabajo, pero dependen de que los usuarios mantengan la seguridad de sus propios dispositivos con el software antivirus más reciente.
- Apertura de archivos adjuntos de correo electrónico. Los administradores pueden bloquear los mensajes de correo electrónico sospechosos, pero los falsos negativos brindan a los autores de amenazas la oportunidad de engañar a los destinatarios para que abran archivos adjuntos maliciosos. Los usuarios deben saber que no deben abrir archivos adjuntos, especialmente si proceden de remitentes externos.
- Hacer clic en enlaces de los correos electrónicos. Los enlaces maliciosos abren páginas web controladas por los atacantes, en las que se puede engañar a los usuarios para que revelen sus credenciales de red u otra información confidencial. Los usuarios deben saber que no deben introducir sus credenciales tras hacer clic en dichos enlaces. En su lugar, deben escribir el dominio directamente en su navegador para comprobar que el mensaje es legítimo.
- Compartir credenciales con otros usuarios. Los usuarios nunca deben compartir contraseñas. En caso de que lo hicieran, un empleado que ya no formara parte de la empresa podría seguir teniendo acceso a sistemas críticos, aunque su propia cuenta se hubiera desactivado.
- Falta de concienciación sobre la ciberseguridad. Sin formación, los usuarios no disponen de los recursos necesarios para identificar un ataque. Es responsabilidad del CISO crear un entorno en el que la formación en ciberseguridad fomente una mejor prevención de riesgos y reduzca los errores humanos.
Ayudar a los empleados a hacer frente a los ciberataques y a ser más conscientes de los riesgos cibernéticos
Si los responsables de seguridad de la información (CISO) no dedican tiempo a formar a los empleados, dejan una gran brecha en la armadura de ciberseguridad de la empresa. La concienciación en materia de ciberseguridad es la primera línea de defensa frente a ataques sofisticados que se aprovechan de los errores humanos, por lo que siempre debería ser una formación obligatoria tanto para los nuevos empleados como para el personal actual.
La sensibilización puede llevarse a cabo de diversas formas: formación en línea, formación práctica y políticas. Los empleados no son piratas informáticos, por lo que la información debe ser fácil de entender. Deben comprender las consecuencias de ser víctimas de un ataque, y deben contar con la información necesaria que les permita cuestionar la legitimidad de un correo electrónico, una llamada telefónica, un sitio web o cualquier otra forma de ciberataque. No necesitan conocimientos técnicos exhaustivos, pero deben disponer de la información adecuada.
Las mayores amenazas para una organización son el phishing y el ransomware, pero la formación reduce los riesgos que estas amenazas suponen. Los empleados que cuenten con los conocimientos adecuados podrán identificar el ataque, evitar convertirse en víctimas, alertar a las personas pertinentes y, de este modo, el CISO podrá desempeñar su labor con mucha más tranquilidad. Sin una concienciación adecuada en materia de ciberseguridad, el CISO seguirá respondiendo de forma reactiva ante ataques que podrían arruinar su reputación y la de la organización.