La formación en concienciación sobre seguridad es un método de prevención de amenazas cibernéticas del que pueden beneficiarse las empresas de servicios financieros. A continuación, se analizan las principales razones para recurrir a este tipo de formación si su organización se dedica a los servicios financieros.
El sector de los servicios financieros ha experimentado una transformación digital a gran escala en los últimos años. El sector está adoptando nuevas tecnologías para garantizar una mejor experiencia al cliente y optimizar sus operaciones.
Sin embargo, la transformación digital ha supuesto que el sector se haya convertido también en un objetivo para los ciberdelincuentes: una encuesta sobre ciberseguridad realizada en 2020 entre los responsables de seguridad de la información (CISO) y los directores de sistemas de información (CIO) del sector de los servicios financieros reveló que el 65 % de las grandes entidades financieras había sufrido un ciberataque en los últimos 12 meses. Otro informe, en este caso de Boston Consulting, reveló que el sector financiero sufrió hasta 300 veces más ciberataques que otros sectores.
Formación ciberseguridad para servicios financieros
El hacker ya no vive en el sótano de sus padres vestido con una sudadera con capucha. En su lugar, existen bandas de hackers sofisticadas, con motivaciones económicas y, en ocasiones, patrocinadas por el Estado, que están poniendo la ciberdelincuencia al alcance de todos.
En la dark web se pueden adquirir de forma fácil y económica modelos de negocio que ofrecen herramientas de piratería informática como servicio. Estas herramientas, unidas a las habilidades de ingeniería social cada vez más perfeccionadas de los ciberdelincuentes, han dado lugar a una avalancha de ciberataques. Si a todo ello le sumamos el teletrabajo o el trabajo desde casa, es evidente que se dan todas las condiciones para que se produzca una amenaza cibernética.
La COVID-19 ha servido para abrir los ojos a las organizaciones de todo el mundo, a medida que proliferaban las estafas que se aprovechaban del miedo generado por la pandemia. Estas estafas, dirigidas a los empleados, utilizaban técnicas de phishing basadas en temas relacionados con la COVID-19 para sustraer credenciales de acceso o datos personales, o para inducir a los empleados a instalar software malicioso (incluido el ransomware). A medida que cambia el panorama laboral, las tácticas de phishing y la ingeniería social siguen siendo las herramientas preferidas de los ciberdelincuentes decididos a causar daño.
Las consecuencias de la ingeniería social y el phishing son muy costosas. Un informe de Sophos de 2021 reveló que las empresas de servicios financieros de tamaño medio gastan alrededor de 2 millones de dólares en recuperarse de un ataque de ransomware; esta cifra supera la media mundial, que se sitúa en 1,85 millones de dólares. El informe también destaca que el 34 % de las organizaciones de servicios financieros sufrió un ataque de ransomware en 2020.
La formación en concienciación sobre seguridad constituye una respuesta eficaz frente a las técnicas de ingeniería social que utilizan los piratas informáticos.
Ventajas de la formación en concienciación sobre seguridad para el sector de los servicios financieros
Para evitar que los ciberdelincuentes se aprovechen de los empleados mediante técnicas de ingeniería social y phishing, las empresas pueden recurrir a la formación en concienciación sobre seguridad. En el sector de los servicios financieros, la participación en un programa de concienciación ofrece cinco ventajas clave:
Cambiar el comportamiento de seguridad de negativo a positivo
Los estafadores, los ciberdelincuentes, los timadores… sea cual sea el nombre que se utilice para describir estas actividades malintencionadas, todos ellos se centran en el comportamiento humano. La sensibilización en materia de seguridad se utiliza para modificar los hábitos de seguridad inadecuados y fomentar un enfoque positivo respecto a la seguridad de la empresa.
El fomento de comportamientos positivos en materia de seguridad sirve para concienciar al personal sobre los peligros de la ingeniería social. La formación en materia de concienciación también aborda los errores que pueden dar lugar a la exposición de datos: esto resulta importante si se tiene en cuenta que, según los resultados del EC-Council, el 64 % de los incidentes de pérdida de datos se atribuyen a personas de dentro de la organización que «tenían buenas intenciones».
La formación en concienciación sobre seguridad enseña a los empleados de toda la organización la importancia de la seguridad. Un programa de formación eficaz formará al personal mediante contenidos interactivos y atractivos sobre trucos y estafas de seguridad, además de ofrecer ejercicios de simulación de phishing que enseñen a los empleados a detectar los mensajes de phishing. Una formación en concienciación sobre seguridad continua y eficaz crea un círculo virtuoso que anima al personal a hacer frente a los ataques de seguridad.
Detiene en seco a los estafadores del BEC
Aunque el ransomware acapare los titulares de las noticias, el fraude por suplantación de identidad en el correo electrónico empresarial (BEC) afecta a un mayor número de empresas. Según los datos de 2020 del Centro de Denuncias de Delitos en Internet ( IC3) del FBI , el BEC afecta a cuatro veces más empresas que el ransomware. Las empresas de servicios financieros corren el mismo riesgo de sufrir fraudes de tipo BEC que cualquier otra organización.
Un reportaje publicado en 2020 por BankInfoSecurity detallaba varios casos de fraude de tipo BEC, entre ellos uno en el que estaba implicado un banco con sede en EE. UU. En dicho banco, un empleado recibió un correo electrónico de unos estafadores que se hacían pasar por el director general de la entidad. En el correo electrónico se le pedía al empleado que realizara con carácter urgente una transferencia programada previamente por valor de un millón de dólares. El mensaje incluía un cambio en los datos de la cuenta, en el que se especificaba que dicho cambio se debía «al brote de coronavirus y a los procesos y medidas de cuarentena».
Las estafas de tipo BEC suelen implicar una vigilancia compleja de los empleados. Los estafadores llegan incluso a entablar relaciones con los operadores del servicio de asistencia técnica y con otras personas de los departamentos pertinentes, con el fin de recabar información sobre los procesos de la empresa. La formación en concienciación sobre seguridad enseña a los empleados a reconocer los indicios de las estafas de tipo BEC y los tipos de técnicas de ingeniería social que utilizan los estafadores.
Contribuye a garantizar el cumplimiento normativo
Los empleados son una parte fundamental para garantizar la protección de datos y la privacidad. Sus acciones pueden llevar fácilmente a una entidad de servicios financieros a incurrir en incumplimientos normativos. Algo tan sencillo como enviar un correo electrónico a una dirección equivocada puede acarrear una multa. Una encuesta reciente reveló que el 58 % de los empleados admitió haber enviado un correo electrónico a la persona equivocada.
La formación en concienciación sobre seguridad ayuda a evitar que los empleados cometan errores. Contar con un programa eficaz que ofrezca métricas y automatice la formación también demuestra el compromiso de la empresa con la seguridad. La implantación de la formación en concienciación sobre seguridad es obligatoria o se recomienda encarecidamente en diversas normas y reglamentos, entre ellos la ISO 27001 y la PCI-DSS, que recoge lo siguiente en el Requisito 12:
«Implemente un programa formal de sensibilización en materia de seguridad para que todo el personal conozca la política y los procedimientos relativos a la seguridad de los datos de los titulares de tarjetas».
Cree un cortafuegos humano
Las medidas de seguridad, como un control de acceso riguroso, los cortafuegos, la protección de los terminales y el cifrado, son importantes; sin embargo, la ingeniería social está diseñada para eludir las soluciones de seguridad tradicionales. Contar con empleados bien informados y seguros de sí mismos en materia de seguridad constituye un elemento fundamental de las medidas de ciberseguridad de una empresa de servicios financieros.
Mediante la formación en concienciación sobre seguridad, una empresa puede crear un«cortafuegos humano». De este modo, cada miembro de un equipo de toda la organización contribuye a reforzar a los demás miembros de ese equipo. Al impartir formación periódica en materia de seguridad, el cortafuegos humano se vuelve más sólido y eficaz a la hora de detectar las tácticas de ingeniería social.
Fomentar la moral de los empleados
Un informe de Carbonite pone de manifiesto el impacto que tiene un ciberataque en las personas: el 24 % de los empleados experimenta una disminución de la moral tras sufrir un ataque. La confianza refuerza la moral del personal. La formación en concienciación sobre seguridad es un enfoque centrado en las personas para proteger los activos de una organización. Al proporcionar a los empleados las herramientas necesarias para luchar contra la ciberdelincuencia, una organización capacita a su personal para prevenir un ciberataque. La formación en concienciación sobre seguridad no solo contribuye a mantener la seguridad de la organización, sino que también favorece la moral del personal.
Las entidades de servicios financieros de todo el mundo constituyen un objetivo prioritario para los ciberdelincuentes y los estafadores. Contar con personal bien formado forma parte de una visión más amplia, de 360 grados, para proteger a una empresa de los estragos que causan estos ataques maliciosos y siniestros.