Índice
- ¿Qué mide un panel de control típico de riesgos humanos?
- Por qué las métricas de actividad solo reflejan una parte de la realidad
- El problema de basarse en las tasas de clics en mensajes de phishing
- Lo que los CISO realmente necesitan de los informes sobre riesgos humanos
- Pasar de la actividad a la reducción del riesgo
- Reconsidere cómo mide el riesgo cibernético humano
Los equipos de seguridad disponen de más datos al alcance de la mano que nunca. Las tasas de finalización de la formación, los resultados de las simulaciones de phishing, las tasas de notificación, las interacciones con las políticas y una lista cada vez mayor de otros indicadores pueden integrarse en paneles de control y presentarse a la empresa.
El problema es que disponer de más datos no implica necesariamente tener una visión más clara del riesgo cibernético relacionado con las personas.
Nuestro Estudio «Rethinking Human Cyber Risk» reveló que el 74 % de los CISO afirman que sus actuales informes sobre el riesgo cibernético humano generan paneles de control, pero no proporcionan una comprensión lo suficientemente clara como para tomar mejores decisiones. Y lo que es aún más revelador, el 89 % no puede establecer con seguridad una relación entre las actividades de concienciación en materia de seguridad y la reducción de incidentes o conatos de incidente.
Esto plantea una situación complicada para los responsables de seguridad. Por un lado, recopilan datos y elaboran informes sobre sus programas de sensibilización; por otro, se enfrentan a una presión cada vez mayor para demostrar que dichos programas están reduciendo el riesgo.
Entonces, ¿qué falta?
¿Qué se mide en un panel de control típico de riesgos humanos?
La mayoría de los paneles de control de concienciación en materia de seguridad son eficaces a la hora de mostrar la actividad. Le permiten saber cuántos empleados han completado un curso de formación, quién ha abierto un correo electrónico de phishing simulado, quién ha hecho clic en un enlace, cuántos correos electrónicos sospechosos se han denunciado o si una campaña concreta ha llegado a su público objetivo.
Cada una de estas métricas tiene una finalidad. Las tasas de finalización pueden ayudar a demostrar el cumplimiento normativo, mientras que los datos de las simulaciones de phishing pueden poner de relieve comportamientos que podrían requerir una mayor atención. El problema surge cuando la actividad se convierte en el principal criterio para evaluar el éxito.
Según nuestro estudio, el 70 % de los CISO afirman que sus informes actuales sobre concienciación en materia de seguridad se basan en métricas de actividad, como el número de cursos de formación completados o las tasas de clics en mensajes de phishing. Estas cifras son fáciles de recopilar, de incluir en un panel de control y de presentar a los responsables de alto nivel.
Lo que no saben responder tan bien es la pregunta que los CISO deben abordar cada vez con mayor frecuencia: ¿está disminuyendo el riesgo cibernético relacionado con el factor humano?
Por qué las métricas de actividad solo reflejan una parte de la realidad
Imagine que el 98 % de los empleados completan su formación anual en ciberseguridad. Sobre el papel, parece excelente, pero ¿qué le indica eso sobre cómo reaccionarán esos empleados cuando, tres meses más tarde, reciban en su bandeja de entrada un correo electrónico de phishing muy convincente? ¿Reconocen las señales de alerta? ¿Saben qué hacer? ¿Hay algún equipo, puesto o ubicación que muestre sistemáticamente un comportamiento más arriesgado que otros?
La tasa de finalización por sí sola no es suficiente para saberlo. Este mismo problema se da en muchas de las métricas en las que los equipos de seguridad han confiado tradicionalmente. Estas confirman que se ha producido una actividad, pero a menudo aportan poca información sobre si el comportamiento ha cambiado como consecuencia de ello.
Los CISO se ven sometidos a una presión cada vez mayor para demostrar su valor, ya que el 77 % de los CISO encuestados afirma que se espera de ellos que demuestren el retorno de la inversión (ROI) de forma más rigurosa en las iniciativas relacionadas con los riesgos cibernéticos de carácter humano que en los controles técnicos.
Si los datos de que disponen miden principalmente la actividad, demostrar ese rendimiento resulta mucho más complicado. Los responsables de seguridad pueden demostrar que se ha impartido formación a los empleados o que se han llevado a cabo simulacros, pero establecer una relación creíble entre esa actividad y una reducción significativa del riesgo es otra cuestión totalmente distinta.
El problema de basarse en las tasas de clics del phishing
Las tasas de clics en simulaciones de phishing constituyen uno de los indicadores más habituales del rendimiento en materia de concienciación sobre seguridad, y pueden resultar útiles. Una tasa de clics elevada puede indicar un ámbito que merece atención, mientras que los cambios a lo largo del tiempo pueden ofrecer otra señal sobre el comportamiento de los empleados.
Sin embargo, no debe esperarse que la tasa de clics explique por sí sola el riesgo cibernético de las personas. El hecho de que alguien haga clic en un correo electrónico de phishing simulado no le convierte necesariamente en un empleado de alto riesgo de forma permanente. Del mismo modo, alguien que no haga clic en una simulación no es automáticamente de bajo riesgo.
En este caso, el contexto es importante. ¿Qué tipo de ataque de phishing se utilizó? ¿Estaba relacionado con las funciones de ese empleado? ¿Resultó difícil detectarlo? ¿Había mostrado el empleado un comportamiento similar anteriormente? ¿Denunció el correo electrónico posteriormente? ¿Qué ocurrió tras la simulación? ¿Mejoró su comportamiento la siguiente vez que se enfrentó a una amenaza similar?
Analizar un porcentaje aislado puede hacer que se pierda gran parte de ese contexto. El comportamiento humano cambia con el tiempo y varía en función del puesto, la situación y las amenazas a las que se enfrentan los empleados. Por lo tanto, para medirlo de forma eficaz se requiere algo más que un conjunto de indicadores de actividad individuales.
Lo que los CISO necesitan de los informes sobre riesgos humanos
Un panel de control de riesgos humanos útil debería ayudar a los equipos de seguridad a decidir qué medidas adoptar a continuación. Esto implica ir más allá de preguntas como «¿Cuántas personas han completado la formación?» y centrarse en cuestiones que revelen cómo está evolucionando el riesgo en toda la organización.
¿Dónde se concentra el riesgo cibernético humano? ¿Qué grupos muestran comportamientos que podrían aumentar la exposición al riesgo? ¿Están mejorando esos comportamientos tras una intervención? ¿Qué tipos de formación o simulaciones de phishing parecen dar buenos resultados con determinados grupos? ¿En qué debería centrar su atención el equipo de seguridad a continuación?
Estas preguntas resultan mucho más útiles, ya que vinculan la medición con la acción. Sin embargo, nuestra investigación pone de manifiesto lo difícil que sigue resultando esto para muchas organizaciones. El 76 % de los CISO afirman que las distintas partes interesadas esperan métricas diferentes en materia de riesgos cibernéticos relacionados con el factor humano, mientras que los CISO de los cuatro países en los que realizamos la encuesta señalaron dificultades a la hora de establecer una medición coherente entre funciones, regiones y unidades de negocio.
Sin una visión común de lo que constituye un avance significativo, los paneles de control pueden convertirse rápidamente en meras recopilaciones de cifras destinadas a cumplir distintos requisitos de presentación de informes, en lugar de ser herramientas que faciliten la toma de mejores decisiones en materia de seguridad.
Pasar de la actividad a la reducción de riesgos
Para evaluar mejor el riesgo cibernético humano, no es necesario que deje de tener en cuenta los indicadores de los que ya dispone. Las tasas de finalización, los resultados de las simulaciones de phishing y el comportamiento a la hora de notificar incidentes pueden aportar información útil. La oportunidad radica en reunir todas esas señales y utilizarlas para obtener una visión más clara de cómo está evolucionando el riesgo cibernético humano.
En lugar de limitarse a analizar si una persona ha completado una formación de forma aislada, por ejemplo, las organizaciones pueden examinar si su comportamiento posterior ha cambiado. En lugar de considerar que hacer clic en un enlace de phishing supone el final de la historia, pueden utilizarlo como una señal que ayude a determinar si un empleado o un grupo se beneficiaría de una intervención adecuada.
Con el tiempo, esto permite obtener una visión mucho más completa del riesgo. Puede ayudar a los equipos de seguridad a identificar patrones entre los distintos grupos, comprender dónde se necesita apoyo adicional y comprobar si las intervenciones están surtiendo el efecto deseado. Además, proporciona a los CISO información mucho más relevante para aportar en sus reuniones con el consejo de administración.
Esto reviste especial importancia si se tiene en cuenta que, en la actualidad, solo el 39 % de los CISO se sienten totalmente seguros a la hora de explicar el valor de las iniciativas de sensibilización en materia de seguridad a su consejo de administración o a la alta dirección.
Un cuadro de mando que indica que el 97 % de los empleados ha completado la formación solo indica al consejo de administración que se ha llevado a cabo una actividad. Un enfoque de gestión del comportamiento que permita demostrar dónde se concentran los riesgos, qué medidas se han adoptado y si el comportamiento está mejorando les aporta información mucho más útil.
Reconsidere la forma en que mide el riesgo cibernético humano
Para medir mejor los riesgos relacionados con las personas, es necesario relacionar los indicadores de los que ya dispone y utilizarlos para comprender dónde están cambiando los riesgos y dónde es necesario actuar.
MetaCompliance ayuda a las organizaciones a hacer precisamente eso. Nuestra plataforma de gestión de riesgos humanos reúne datos procedentes de la formación en concienciación sobre seguridad, simulaciones de phishing y el comportamiento de los empleados para ofrecer a los equipos de seguridad una mayor visibilidad de los riesgos en toda su plantilla.
A continuación, esa información puede utilizarse para dar prioridad a los grupos de mayor riesgo, aplicar medidas más pertinentes y hacer un seguimiento de si el comportamiento mejora con el tiempo. Los equipos de seguridad obtienen una visión más clara de dónde es necesario centrar la atención, mientras que los CISO disponen de datos más significativos para respaldar sus decisiones y sus conversaciones con el consejo de administración.
El objetivo es que las mediciones resulten útiles: ayudarle a comprender dónde se encuentra el riesgo, cómo está evolucionando y qué medidas debe adoptar a continuación, en lugar de limitarse a informar sobre la actividad que ya ha tenido lugar.
Descargue el informe completo Informe «Repensar el riesgo cibernético humano» para descubrir lo que nos han contado 200 CISO de Francia, Alemania, Suecia y el Reino Unido sobre el reto que supone la medición de este riesgo, así como los cambios prácticos que, en opinión de los responsables de seguridad, pueden contribuir a mejorar la gestión del riesgo humano.
Preguntas frecuentes
¿Qué es un panel de control de riesgos humanos?
Un panel de control de riesgos humanos reúne datos y señales de comportamiento para ayudar a las organizaciones a comprender y supervisar los riesgos de ciberseguridad asociados al comportamiento de los empleados. Dependiendo de la organización, esto puede incluir formación en concienciación sobre seguridad, resultados de simulaciones de phishing o la notificación de de comportamiento y otros indicadores de riesgo cibernético humano.
¿Cómo se mide el riesgo cibernético relacionado con el factor humano?
El riesgo cibernético humano puede medirse mediante una combinación de señales de comportamiento y datos sobre la concienciación en materia de seguridad. En lugar de basarse en un único indicador, las organizaciones deberían buscar patrones entre los distintos grupos de empleados y a lo largo del tiempo para comprender dónde se concentra el riesgo, si el comportamiento está cambiando y dónde podría ser necesaria puede ser necesaria.
¿Por qué las tasas de finalización de la formación no son suficientes para evaluar la concienciación en materia de seguridad?
Las tasas de finalización de la formación indican si los empleados han completado los cursos que se les han asignado, pero no demuestran si ese aprendizaje ha modificado el comportamiento o ha reducido el riesgo cibernético. Son útiles como indicador de la actividad del programa, especialmente a efectos de cumplimiento normativo, pero deben considerarse junto con los indicadores de comportamiento y de riesgo.
¿Son las tasas de clics en el phishing un buen indicador del riesgo cibernético humano?
Las tasas de clics en los mensajes de phishing pueden constituir un indicador de comportamiento útil, pero no deben analizarse de forma aislada. Factores como la dificultad de la simulación, la función del empleado, el comportamiento , la presentación de informes y y las intervenciones intervenciones proporcionan un contexto importante a la hora de evaluar el riesgo cibernético humano.
¿Qué indicadores deberían utilizar los CISO para evaluar la eficacia de las campañas de sensibilización en materia de seguridad?
Los CISO deberían tener en cuenta indicadores que ayuden a poner de manifiesto los cambios en el comportamiento y el riesgo a lo largo del tiempo, además de las medidas tradicionales de actividad. Entre ellos pueden figurar los patrones observados en el comportamiento durante las simulaciones de phishing, el comportamiento a la hora de notificar incidentes, los cambios en los distintos grupos de riesgo y las pruebas de que las intervenciones específicas están mejorando los comportamientos para los que fueron diseñadas.