Gestión del riesgo cibernético humano: el desglose interfuncional del que nadie habla

Cuando se produce un incidente de ciberseguridad, la respuesta de las empresas suele ser inmediata. Los equipos de seguridad investigan lo ocurrido, la dirección busca explicaciones, el departamento de Recursos Humanos se comunica con los empleados, el departamento de TI trabaja para contener el problema y los equipos de cumplimiento normativo comienzan a evaluar las posibles implicaciones normativas.

Durante un breve periodo de tiempo, todos se centran en el mismo objetivo. A continuación, el incidente queda atrás, las prioridades cambian y cada departamento vuelve a sus propias responsabilidades. La concienciación en materia de seguridad vuelve a ser un asunto del equipo de seguridad, Recursos Humanos se centra en las iniciativas relacionadas con el personal, el departamento de TI retoma los proyectos de infraestructura y los responsables empresariales pasan a la siguiente prioridad estratégica.

Este ciclo se repite a diario en distintas organizaciones, y es una de las principales razones por las que sigue siendo tan difícil reducir el riesgo cibernético relacionado con el factor humano.

Nuestro Informe «Reconsiderar el riesgo cibernético humano» , basado en una encuesta realizada a 200 directores de seguridad de la información (CISO) del Reino Unido, Francia, Alemania y Suecia, reveló que, si bien las organizaciones reconocen en general la importancia de gestionar el riesgo cibernético humano, la responsabilidad de hacerlo rara vez se comparte de forma significativa. Mejorar la colaboración interfuncional entre los departamentos de Seguridad, Recursos Humanos, TI y Cumplimiento normativo se reveló como una prioridad fundamental para el 22 % de los CISO. Sin embargo, lograrlo no es sencillo. Uno de cada cuatro (25 %) afirmó que las prioridades empresariales contrapuestas siguen limitando el tiempo y la inversión disponibles para las iniciativas relacionadas con el riesgo humano, mientras que el 21 % señaló la capacidad limitada de los equipos y el 16 % identificó el escaso interés de la junta directiva como un obstáculo constante para el progreso.

Esto significa que el riesgo cibernético relacionado con el factor humano se encuentra en una situación delicada, ya que ninguna función concreta se hace cargo de él de principio a fin. Se espera que los equipos de seguridad reduzcan dicho riesgo, pero muchos de los factores que influyen en el comportamiento de los empleados —desde la incorporación y la cultura de la empresa hasta las prácticas de gestión y los procesos empresariales— dependen de otras áreas de la organización.

Mientras no se resuelva esa desconexión, los programas de sensibilización seguirán desarrollándose al margen del funcionamiento de la empresa, lo que dificultará considerablemente el cambio de comportamiento a largo plazo que las organizaciones persiguen para mitigar los riesgos de ciberseguridad.

¿Por qué el riesgo humano queda en el olvido?

Los riesgos técnicos relacionados con la ciberseguridad suelen tener una responsabilidad claramente definida. Ya se trate de la gestión de identidades y accesos, la gestión de vulnerabilidades o la aplicación de parches, suele haber un equipo concreto encargado de gestionar ese riesgo, respaldado por procesos establecidos, una responsabilidad clara y resultados cuantificables. Todo el mundo tiene claro quién es el responsable del problema y cómo se mide el éxito.

El riesgo humano funciona de manera diferente. Los equipos de seguridad pueden cumplir con su cometido, pero no controlan muchos de los factores que influyen en el comportamiento diario de los empleados.

Muchos de los factores que influyen en el riesgo cibernético humano se sitúan fuera del ámbito de la función de seguridad. El departamento de Recursos Humanos determina cómo se transmiten a los nuevos empleados las expectativas en materia de seguridad a través de la incorporación y la formación continua; el departamento de TI diseña los sistemas, las herramientas y los controles de acceso de los que dependen las personas a diario; los responsables influyen en los comportamientos mediante conversaciones periódicas con sus equipos; y la dirección determina qué iniciativas reciben inversión, atención y apoyo a largo plazo.

Cada una de estas funciones desempeña un papel importante a la hora de reducir el riesgo para las personas; sin embargo, a menudo persiguen objetivos distintos y miden el éxito de formas diferentes. Como consecuencia, la sensibilización en materia de seguridad puede convertirse en un programa aislado, gestionado casi en su totalidad por el equipo de seguridad, en lugar de formar parte de una estrategia organizativa más amplia destinada a fomentar un comportamiento seguro.

Esa desconexión quedó patente a lo largo de toda nuestra investigación. Si bien el 22 % de los CISO identificó la mejora de la colaboración entre los departamentos de Seguridad, Recursos Humanos, TI y Cumplimiento Normativo como una prioridad máxima, también destacaron los obstáculos prácticos que se interponen en el camino. Una cuarta parte (25 %) afirmó que las prioridades empresariales contrapuestas siguen limitando el tiempo y la inversión disponibles para las iniciativas relacionadas con los riesgos humanos; otro 21 % señaló la capacidad limitada de los equipos, y el 16 % citó el escaso interés de la junta directiva como un reto significativo.

Nada de esto sugiere que las organizaciones no estén invirtiendo tiempo ni esfuerzo en reducir el riesgo cibernético relacionado con el factor humano. Más bien, pone de manifiesto lo difícil que resulta avanzar cuando los equipos encargados de influir en el comportamiento de los empleados no comparten los mismos objetivos ni miden el éxito de la misma manera.

Cuando todos asumen la responsabilidad del riesgo humano, en realidad nadie la asume

A menudo se oye decir que la ciberseguridad es responsabilidad de todos y, a primera vista, es difícil rebatirlo. Cada empleado tiene un papel que desempeñar en la protección de la organización, ya sea notificando un correo electrónico sospechoso, gestionando la información confidencial de forma adecuada o siguiendo los procesos establecidos a la hora de autorizar pagos o conceder accesos.

La dificultad radica en que la responsabilidad compartida no implica automáticamente una titularidad compartida.

Si bien cada uno tiene un papel que desempeñar, sigue siendo necesario que alguien coordine la forma en que se desarrollan, refuerzan y miden los comportamientos seguros en toda la organización. ¿Quién decide si los programas de sensibilización están modificando los comportamientos? ¿Quién identifica dónde se necesita apoyo adicional? ¿Quién recopila los datos para determinar si el riesgo humano está aumentando o disminuyendo con el tiempo?

Sin respuestas claras a estas preguntas, la responsabilidad puede fragmentarse rápidamente. A menudo se espera que los equipos de seguridad reduzcan el riesgo cibernético derivado del factor humano y se les hace responsables cuando se producen incidentes; sin embargo, muchos de los factores que influyen en el comportamiento de los empleados escapan a su control. No pueden diseñar por sí solos los programas de incorporación, determinar las prioridades de la dirección ni integrar comportamientos seguros en todos los procesos empresariales.

Un CISO al que entrevistamos para nuestro estudio resumió este reto a la perfección: «No corresponde al CISO asumir el riesgo, sino a la empresa».

Esa observación va al meollo de la cuestión. El riesgo cibernético relacionado con el factor humano no es una cuestión que competa exclusivamente al departamento de seguridad; se trata de un riesgo empresarial que abarca múltiples departamentos, procesos y todas las etapas del ciclo de vida de los empleados. Hasta que las organizaciones no lo reconozcan como una responsabilidad operativa compartida, los equipos de seguridad seguirán asumiendo la responsabilidad sin disponer de la influencia necesaria para impulsar un cambio significativo en toda la organización.

Por qué el apoyo del consejo de administración no es lo mismo que la alineación del consejo de administración

Conseguir el apoyo de la dirección para las iniciativas relacionadas con los riesgos cibernéticos en el ámbito de los recursos humanos no suele ser el mayor reto; el verdadero reto es mantener ese apoyo a largo plazo.

Cuando se produce un incidente de seguridad, el riesgo cibernético relacionado con el factor humano pasa rápidamente a ocupar un lugar destacado en la agenda del consejo de administración. Los directivos desean comprender qué ha ocurrido, si podría volver a suceder y qué medidas se están adoptando para reducir la probabilidad de que se repita el incidente. Se revisan los presupuestos, se presta una atención renovada a los programas de sensibilización y la seguridad se convierte en una prioridad empresarial inmediata.

La dificultad radica en que este nivel de compromiso suele ser efímero. Nuestra investigación reveló que el 79 % de los CISO consideran que el interés del consejo de administración por los programas de sensibilización en materia de seguridad se desvanece una vez que ha pasado el impacto inmediato de un incidente. A medida que otras prioridades estratégicas compiten por la atención, las conversaciones sobre el riesgo cibernético humano se vuelven menos frecuentes hasta que otro incidente las vuelve a situar en el punto de mira.

Este enfoque intermitente dificulta la consecución de un cambio de comportamiento duradero. Cambiar la forma de pensar y actuar de las personas no es algo que se logre en el transcurso de unas pocas semanas tras un incidente; requiere un apoyo constante por parte de los responsables, un refuerzo sistemático y un compromiso compartido por parte de toda la organización.

Mantener ese impulso resulta aún más complicado cuando los responsables de seguridad tienen dificultades para demostrar el valor de sus programas de sensibilización. De hecho, solo el 39 % de los CISO se sienten totalmente seguros a la hora de explicar el valor de las iniciativas de sensibilización en materia de seguridad a su consejo de administración o a su equipo directivo.

Parte del problema radica en la forma en que muchas organizaciones miden el éxito. Los informes suelen centrarse en indicadores como las tasas de finalización de la formación o los resultados de las simulaciones de phishing, ya que son fáciles de recopilar y sencillos de presentar. Si bien estas cifras demuestran que se han llevado a cabo actividades de sensibilización en materia de seguridad, aportan poca información sobre si los empleados están tomando mejores decisiones en materia de seguridad o si se está reduciendo el riesgo cibernético humano en general.

Sin esas pruebas, a los CISO les resulta mucho más difícil demostrar el retorno de la inversión, justificar la continuidad de la financiación y mantener el riesgo cibernético relacionado con el personal como una prioridad estratégica de la empresa, en lugar de como un problema que solo atrae la atención cuando ya ha ocurrido algún incidente.

Cómo es una buena alineación

Las organizaciones que registran mayores avances no lo consiguen simplemente animando a los departamentos a colaborar más estrechamente. Por el contrario, establecen un enfoque común para gestionar el riesgo cibernético humano, en el que cada departamento comprende el papel que desempeña a la hora de influir en el comportamiento de los empleados y reducir el riesgo.

Los equipos de seguridad siguen siendo responsables de identificar los riesgos de comportamiento, llevar a cabo intervenciones específicas y aportar la información necesaria para comprender en qué ámbitos el riesgo está aumentando o disminuyendo. Esa información sirve, a su vez, de base para las medidas que se adoptan en el conjunto de la organización, en lugar de limitarse al ámbito del departamento de seguridad.

El departamento de Recursos Humanos refuerza estos esfuerzos integrando la seguridad en todas las etapas del ciclo de vida del empleado, desde la incorporación y la formación obligatoria hasta las comunicaciones y el desarrollo continuos. El departamento de TI complementa esta labor diseñando sistemas que hacen que el comportamiento seguro sea la opción más sencilla, mediante la utilización de configuraciones predeterminadas seguras, controles de acceso adecuados y procesos bien diseñados para reducir las posibilidades innecesarias de error humano.

Los responsables también desempeñan un papel importante, ya que suelen estar en la mejor posición para reforzar los comportamientos seguros como parte del trabajo diario. Tanto si se trata de gestionar información confidencial de los clientes, como de aprobar pagos a proveedores o de utilizar herramientas de inteligencia artificial, las conversaciones periódicas con los responsables directos pueden ayudar a los empleados a reconocer situaciones de mayor riesgo, a plantear preguntas cuando algo les parezca inusual y a seguir los procesos establecidos antes de tomar decisiones importantes.

El liderazgo completa el panorama al ofrecer un apoyo visible y constante. En lugar de permitir que el riesgo cibernético relacionado con el factor humano se convierta en una prioridad únicamente tras producirse un incidente, las organizaciones maduras lo tratan como un objetivo empresarial permanente, garantizando que la inversión, la presentación de informes y la rendición de cuentas sean constantes a lo largo de todo el año.

Cuando todas las partes de la organización trabajan con un mismo objetivo, la sensibilización en materia de seguridad deja de ser un simple programa de formación aislado. Se convierte en un elemento más de una estrategia más amplia, respaldada por un compromiso compartido, unos indicadores significativos y una actuación coordinada en toda la empresa.

La gestión de los riesgos humanos requiere una responsabilidad compartida

Muchas organizaciones siguen considerando el riesgo cibernético relacionado con el factor humano como algo que los equipos de seguridad deben resolver por sí solos.

Los datos indican que esa es una de las principales razones por las que resulta difícil avanzar.

El riesgo humano surge de las actividades empresariales cotidianas, está condicionado por la cultura, se ve reforzado por los directivos y viene determinado por los sistemas que utilizan los empleados. Reducir ese riesgo requiere el mismo nivel de coordinación.

Las organizaciones que están logrando mayores avances no son necesariamente aquellas que imparten más formación en materia de sensibilización que el resto. Lo que hacen es crear una mayor coordinación entre las personas encargadas de influir en el comportamiento, medir los aspectos que realmente importan y asignar a cada parte interesada una función clara en la reducción del riesgo.

Cuando el riesgo cibernético relacionado con las personas pasa a ser una responsabilidad compartida, en lugar de una mera iniciativa de seguridad, resulta mucho más sencillo pasar de las actividades de sensibilización a una reducción cuantificable del riesgo.

Cómo contribuye MetaCompliance a mejorar la gestión multifuncional de los riesgos relacionados con el personal

La gestión del riesgo cibernético relacionado con las personas requiere algo más que impartir formación en materia de concienciación sobre la seguridad. Depende de que los departamentos de Seguridad, Recursos Humanos, Tecnologías de la Información, Gestión de Riesgos y la dirección compartan una visión común sobre dónde existen riesgos de comportamiento, qué intervenciones están teniendo mayor impacto y dónde se necesita apoyo adicional.

Nuestra plataforma de gestión de riesgos humanos ayuda a las organizaciones a ir más allá de los programas de sensibilización genéricos, combinando formación personalizada en materia de seguridad, análisis del comportamiento, simulaciones de phishing, intervenciones automatizadas e informes sobre riesgos humanos en una única plataforma. Esto proporciona a los responsables de seguridad las pruebas que necesitan para demostrar los avances, dar prioridad a los usuarios de alto riesgo e involucrar a las partes interesadas de toda la empresa con resultados significativos y cuantificables.

Al ayudar a las organizaciones a comprender, medir y reducir el riesgo cibernético humano a lo largo del tiempo, MetaCompliance permite que la concienciación en materia de seguridad pase a formar parte de una estrategia empresarial coordinada, en lugar de ser una iniciativa de seguridad aislada.

¿Busca orientación práctica para reducir el riesgo cibernético humano mediante la coordinación de los equipos de toda su organización? Descargue nuestra guía práctica, «¿Quién es responsable del riesgo cibernético humano? Cinco principios para fomentar la responsabilidad compartida del riesgo cibernético humano entre los equipos», para descubrir cómo los departamentos de Seguridad, Recursos Humanos, TI, Gestión de Riesgos y la dirección pueden colaborar para desarrollar un enfoque más coordinado en la gestión del riesgo cibernético humano.

¿Está listo para desarrollar un enfoque más coherente frente al riesgo cibernético humano? Solicite una demostración hoy mismo para descubrir cómo MetaCompliance puede ayudar a su organización a medir, gestionar y reducir el riesgo humano a gran escala.