Los ciberataques son tan habituales que aparecen con frecuencia en las noticias nacionales. Existen muchas razones por las que las estafas y la ciberdelincuencia se han disparado. No obstante, la manipulación y la ingeniería social dirigidas a nuestros empleados y al software que utilizan constituyen un punto de partida habitual para estos ataques.
Organizaciones de todo el mundo trabajan para fomentar una cultura de seguridad que contrarreste el factor humano en los ciberataques. Sin embargo, si su organización aún tiene que desarrollar esta mentalidad centrada en la seguridad, y las amenazas y vulnerabilidades suponen un riesgo cada vez mayor para su empresa, debe preguntarse: ¿puede una buena formación en ciberseguridad cambiar una cultura de ciberseguridad deficiente?
Señales de una cultura de ciberseguridad deficiente y formas de subsanarla
Una cultura de ciberseguridad deficiente presenta señales de alerta reveladoras a las que hay que prestar atención. A continuación se enumeran algunas de las más evidentes, junto con una serie de medidas que pueden contribuir a mejorar una cultura de ciberseguridad deficiente mediante el uso de técnicas adecuadas de formación en ciberseguridad:
Muchas palabras y pocas obras
La cultura de la seguridad se impregna tanto de arriba abajo como de abajo arriba. Se debe animar a todos a formar parte de un todo más amplio, trabajando en pos de un objetivo común en el que la seguridad se tome en serio. Todos, desde los miembros del consejo de administración hasta el personal temporal, deben comprender qué significa dar prioridad a la seguridad y cómo hacerlo exactamente.
Nada cambiará si su organización habla de seguridad pero no ofrece medidas prácticas para hacer frente a las amenazas. Al explicar cómo protegerse, el personal podrá reaccionar adecuadamente ante posibles ciberataques, como correos electrónicos de phishing o casos de ingeniería social.
Cómo pasar de las palabras a los hechos: para pasar de las palabras a los hechos, los responsables deben poner en práctica medidas concretas que respalden las iniciativas de seguridad. Para ello, será necesario impartir una formación en materia de seguridad positiva y continua en toda la organización, dotando al personal de las herramientas necesarias para contribuir a las iniciativas de seguridad de la empresa.
Una cultura de la culpa, no de la seguridad
La tendencia a buscar culpables es una cultura tóxica y perjudicial que puede surgir rápidamente cuando se producen ciberataques, sobre todo si estos se repiten. Es fácil señalar con el dedo y culpar al personal por contratiempos, como abrir un correo electrónico potencialmente malicioso. Sin embargo, cuanto más se señale con el dedo, más se deteriorará el ambiente general en torno a las prácticas de seguridad.
Además, esta actitud de culpar a los demás resulta tan perjudicial como hacer clic en un enlace de phishing, ya que genera un ambiente de desconfianza y perpetúa las malas prácticas en materia de seguridad.
Ponga fin a la búsqueda de culpables mediante una comunicación abierta: buscar chivos expiatorios y culpar a otros son la antítesis de una buena cultura de ciberseguridad. En su lugar, trabaje para fomentar la confianza, de modo que, si un empleado comete un error, se sienta cómodo al revelar ese contratiempo. Una buena cultura de seguridad requiere una buena comunicación. Si un empleado informa al departamento de TI de un error de seguridad, como la divulgación accidental de datos confidenciales, el equipo podrá actuar con mayor rapidez para mitigar la exposición de los datos.
Hacer caso omiso de lo que indican los indicadores
Cuando la cultura de seguridad se desvía, el problema se refleja en los indicadores de vulnerabilidad de la organización: el factor humano en la ciberseguridad es un aspecto ampliamente reconocido, con estadísticas alarmantes como que el 82 % de todos los ciberataques implican un elemento humano. El error humano se produce cuando las personas no son conscientes de cómo sus acciones pueden provocar fugas de datos o poner en riesgo a una empresa. Por lo tanto, si observa un aumento de las infracciones potenciales o reales, es posible que estas se deban a empleados y a otras personas ajenas a la empresa.
Las métricas son su aliado: utilice las métricas que proporcionan los programas de formación en concienciación sobre seguridad y los programas de simulación de phishing para identificar los puntos que suscitan preocupación. Las métricas le permiten adaptar la formación para que resulte más eficaz. Además, la formación puede ajustarse en función de los puestos de trabajo para centrar la atención en áreas vulnerables específicas.
Por un oído entra y por el otro sale
Una cultura de seguridad ineficaz puede dar lugar a un aprendizaje ineficaz en materia de seguridad. Un material formativo aburrido y repetitivo, al estilo de las clases presenciales, puede desmotivar a los empleados y mermar sus posibilidades de crear una cultura de seguridad sólida.
El aprendizaje activo se produce cuando las personas se implican y logran conectar con el material a nivel emocional. Por ejemplo, si no se ofrece contenido de sensibilización en materia de seguridad que haya demostrado su eficacia. En ese caso, es posible que la información entre por un oído y salga por el otro, de modo que los empleados olviden experiencias de aprendizaje fundamentales y los comportamientos inadecuados en materia de seguridad sigan sin cambiar.
El material estimulante hace maravillas: proporcione material didáctico estimulante que resulte atractivo para sus empleados. Recurra a la formación orientada a las necesidades concretas, de modo que los empleados aprendan a medida que se forman y contribuyan a cambiar los comportamientos negativos por otros positivos. El material atractivo cala en los empleados y fomenta esa mentalidad de «la seguridad ante todo» necesaria para consolidar una cultura de seguridad.
La formación está desconectada
Las culturas de todo tipo se basan en la confianza y la comunicación. Puede surgir una cultura de seguridad deficiente si los empleados no comentan sus inquietudes o problemas con sus superiores directos. El problema se produce cuando esos mismos superiores directos se sienten desconectados de la cultura de seguridad. Esto puede ocurrir cuando los programas de formación no incluyen a los directivos o cuando el material formativo no se adapta a los departamentos y funciones específicos.
Relación entre funciones y departamentos:
- Establezca vínculos y elimine barreras a la hora de desarrollar programas de formación en materia de seguridad, diseñando campañas centradas en funciones específicas.
- Incluya a todos los empleados en la formación; cada persona de una organización desempeña su papel en la empresa, y todos deben formar parte de la cultura de seguridad.
- Utilice material formativo que fomente las relaciones entre la dirección y los empleados mediante actividades formativas colaborativas, como los juegos tipo «escape room».
Falta de implicación
Las culturas prosperan cuando se involucra a todo el mundo. Las personas son seres sociales y el comportamiento prosocial forma parte de la construcción de comunidades sólidas y cooperativas. Si no se incluye a todos en su formación en concienciación sobre seguridad, se formarán grupos cuyo comportamiento en materia de seguridad será menos adecuado que el de quienes hayan recibido la formación. La falta de implicación de algunos afectará al desarrollo de una cultura y una comunidad de seguridad cohesionadas.
Escuche y aprenda: escuchar a su personal puede ayudar a fomentar un sentido de comunidad y confianza. Adopte una política de puertas abiertas para establecer vínculos, lo que se traducirá en mejores respuestas en materia de seguridad. Escuche y aprenda, e involucre a los empleados en la formación en concienciación sobre seguridad mediante iniciativas como la semana anual de concienciación sobre ciberseguridad. Una buena capacidad de escucha constituye una excelente estrategia de implicación. Además, contribuye a fomentar un espíritu de comunidad que resulta fundamental para desarrollar una cultura de seguridad sólida y eficaz.
Existe un proverbio que sin duda habrá oído: «Unidos vencemos, divididos caemos». Este dicho resume la importancia de trabajar juntos hacia un objetivo común; al hacerlo, «el todo es mayor que la suma de las partes». La formación en concienciación sobre seguridad debe involucrar a toda la comunidad de la organización y tender puentes basados en experiencias y preocupaciones compartidas. Al ofrecer un programa de formación en concienciación sobre seguridad ameno, atractivo e informativo, su empresa puede crear esa cultura de seguridad tan difícil de alcanzar, pero tan vital.