La mejor manera de detener los ataques a la seguridad centrados en las personas es crear una cultura de concienciación sobre la seguridad centrada en las personas. He aquí cómo hacerlo.
Una gran empresa se basa en grandes personas: una organización depende de tener personal en el que pueda confiar, que haga un buen trabajo y en el que se pueda confiar. Las personas hacen que una empresa funcione, pero también pueden hacer que caiga. Los ciberdelincuentes también se centran en las personas.
En el 85% de los ciberataques, es necesario que un ser humano realice alguna acción en beneficio del atacante: puede tratarse de un clic en un enlace de un correo electrónico; la descarga de un archivo adjunto infectado; la introducción de las credenciales de inicio de sesión y contraseña en un sitio web falso; o algo similar.
¿Qué es exactamente una cultura de concienciación sobre la seguridad centrada en las personas?
Las estadísticas hablan por sí solas, el comportamiento humano es susceptible de ser manipulado y el resultado es el ransomware, las violaciones de datos y los daños e interrupciones generales de las TI y las empresas. En el 91% de los casos, un ciberataque comienza con un correo electrónico de phishing, según un informe de Deloitte. Los ciberataques basados en la ingeniería social, de los que el phishing es un ejemplo, aumentaron un 270% en 2021.
Un post de MetaCompliance "Ingeniería social: Hacking the Human" exploraba los aspectos más arraigados del comportamiento humano de los que se aprovechan los ciberdelincuentes. La ruptura de los malos comportamientos de seguridad para convertirlos en comportamientos de seguridad positivos es lo que impulsa una cultura de concienciación sobre la seguridad centrada en las personas: las personas son el objetivo de los ciberdelincuentes y, a su vez, son la mejor manera de hacer frente a los ciberataques.
La capacitación de los empleados con conocimientos sobre estafas de ciberseguridad crea una mentalidad de seguridad en las personas que están en primera línea de los ataques: nuestro personal. Si se utiliza el enfoque adecuado para impartir y cultivar esta conciencia de seguridad, el resultado es la formación de una cultura de conciencia de seguridad centrada en las personas.
Los componentes de una cultura de concienciación sobre la seguridad centrada en las personas
Una cultura se define por las normas y comportamientos que conforman un grupo o una sociedad. En otras palabras, el término "cultura" describe el modo de vida y el sistema de creencias que un grupo de personas utiliza para crear una sociedad sostenible.
Normalmente, una cultura tendrá entretejidos en su matriz, sistemas que facilitan la vida y el éxito de los individuos de esa sociedad. Una organización, al igual que un grupo, un pueblo, una ciudad o un país, puede crear una cultura, ya que también está formada por individuos.
Las buenas prácticas de seguridad requieren un cambio de comportamiento en los empleados que se beneficia de la incorporación de estos comportamientos de seguridad en una cultura: la mejor manera de conseguirlo es garantizar que la seguridad se convierta en una parte intrínseca de la cultura general de la empresa. Sin embargo, la concienciación por sí sola no crea esta cultura. Estos son los componentes necesarios para crear una cultura de seguridad centrada en las personas:
Establecer expectativas
Establezca una línea de base de los comportamientos de seguridad esperados.
Esta línea de base se establece a partir de la comprensión de la postura de seguridad actual de su organización y de lo que hay que hacer para mejorarla. Se pueden utilizar varios métodos para recopilar los datos necesarios para establecer la línea de base requerida de un buen comportamiento de seguridad. Esto incluye métricas cuantitativas a partir de la ejecución de pruebas iniciales utilizando programas de simulación de phishing y aportaciones cualitativas a partir de encuestas y grupos de discusión.
Este ejercicio de recopilación de información se asocia a un programa de formación en materia de concienciación sobre la seguridad para impartir educación centrada en las personas. Este mapeo de los puntos débiles conocidos del comportamiento de seguridad a las personas en la fuerza de trabajo, ayuda a establecer un programa eficaz y adaptado de la educación que se puede utilizar para influir en el comportamiento a través de individuos, departamentos y toda la organización.
La entrega de esta línea de base, con un conjunto de expectativas claras, ofrece a la fuerza de trabajo un camino a seguir que ayuda a establecer la creación de una cultura que da prioridad a la seguridad.
- Establezca la línea de base de los comportamientos esperados y utilícela para adaptar su programa de concienciación sobre la seguridad centrado en las personas.
Aprender socialmente
La gente quiere formar parte de algo más grande que ellos mismos.
Las culturas se construyen sobre la columna vertebral de la interacción social humana. Las teorías de la evolución cultural ofrecen explicaciones sobre cómo se desarrollan las culturas. Una de estas teorías se refiere al aprendizaje social: las personas aprenden mejor a través de la observación de sus compañeros y el modelado de escenarios, por ejemplo, las historias. La cultura nace de la transmisión de información, conocimientos y habilidades entre las personas.
Loscuentos populares son un gran ejemplo de aprendizaje social, a menudo diseñado para cambiar el comportamiento, por ejemplo, no vayas al bosque solo, de lo contrario, el lobo feroz te comerá; muchos cuentos se remontan a múltiples culturas del mundo durante milenios. El aprendizaje sobre la concienciación en materia de seguridad debe ser una empresa cooperativa en la que los empleados trabajen juntos, aprendiendo de forma social, interactiva y atractiva.
El aprendizaje de la concienciación sobre la seguridad mediante escenarios del tipo de aprendizaje social, suele implicar el uso de juegos, módulos interactivos y la aportación de educadores expertos. El uso de expertos se asocia con el concepto de "aprendizaje social basado en el prestigio" en los seres humanos, que se sabe que ayuda a los adultos a aprender conceptos difíciles.
- Elija un programa de concienciación sobre ciberseguridad que ofrezca un contenido atractivo que incorpore contenido personalizado y cree un comportamiento de seguridad positivo que se pueda compartir.
Mantener un comportamiento de seguridad positivo
Parte de la creación de una cultura de concienciación sobre la seguridad centrada en las personas pasa por una persistencia eficaz.
Mantener un comportamiento positivo en materia de seguridad requiere una formación continuada en materia de concienciación sobre la seguridad. La formación periódica en materia de concienciación sobre la seguridad tiene un doble motivo. En primer lugar, las actualizaciones periódicas de la formación garantizan que el panorama cambiante de las amenazas se refleje en los paquetes de formación. Esto es vital, ya que los ciberdelincuentes cambian continuamente su comportamiento y sus tácticas para engañar más fácilmente a los empleados. En segundo lugar, la formación regular mantiene la seguridad en la mente de los empleados y esto ayuda a mantener la cultura de seguridad corporativa.
- Mantener una cultura de seguridad mediante la realización de actualizaciones periódicas de la formación en materia de sensibilización sobre la seguridad.
Valorar la aportación de los empleados
La seguridad es responsabilidad de todos; elimine la culpa de su cultura.
Un estudio de PwC descubrió que casi tres cuartas partes de los encuestados tenían miedo a las represalias si denunciaban problemas de seguridad. Una cultura de seguridad sólo puede persistir si se elimina el miedo de la ecuación. No culpes a un empleado que abre accidentalmente un mensaje de phishing y hace clic en un enlace malicioso. En su lugar, utilícelo como un ejercicio de aprendizaje.
Asegúrese de que sus empleados saben que son parte de la solución, no del problema. Haga que la notificación de incidentes de seguridad sea una parte intrínseca de su cultura de concienciación sobre la seguridad centrada en las personas. Proporcione a los empleados las herramientas para que la notificación sea fácil y forme parte de su vida laboral cotidiana. Muéstreles cómo los informes de seguridad conducen a una mejor detección y prevención de la ciberseguridad.
- Capacite a su personal con la notificación de incidentes de seguridad.
Una cultura de concienciación sobre la seguridad centrada en las personas no se crea de la noche a la mañana. Sin embargo, si se ponen en marcha las estructuras adecuadas, su organización empezará a ver rápidamente el desarrollo de comportamientos de seguridad de la información persistentes y positivos.
