Estrategias eficaces para minimizar los riesgos de ciberseguridad

El «factor humano» es un aspecto fundamental a tener en cuenta a la hora de elaborar una estrategia eficaz para minimizar los riesgos de ciberseguridad. Sin embargo, esta afirmación encierra múltiples facetas, ya que nuestros empleados son una parte esencial del éxito de nuestra organización; en lugar de buscar culpables, debemos distinguir entre los actos maliciosos y los accidentales, detectando los primeros y previniendo los segundos.

Mediante una formación específica en concienciación sobre seguridad, es posible mitigar los factores humanos que dan lugar a errores humanos. A continuación se explica cómo y por qué se pueden gestionar los riesgos de ciberseguridad a través de la concienciación sobre seguridad.

Por qué los factores humanos suponen un riesgo para la ciberseguridad

El factor humano en el riesgo de ciberseguridad suele denominarse «amenaza interna». Los «agentes internos» pueden ser tanto empleados como personas ajenas a la plantilla, como, por ejemplo, consultores. El mero hecho de que los agentes internos formen parte integrante de los procesos de una organización y utilicen los recursos informáticos con autorización dificulta abordar los errores humanos que dan lugar a riesgos de ciberseguridad.

El riesgo de ciberseguridad relacionado con el personal interno constituye un problema grave: un informe sobre amenazas internas de 2020 elaborado por Cyber Security Insiders señala que el 68 % de las organizaciones se sienten «de moderadamente a extremadamente vulnerables» ante las amenazas internas. Esto no resulta sorprendente si se analizan algunos de los titulares de última hora sobre ciberataques del último año, como el ataque a Twitter de 2020, en el que se accedió a cuentas de Twitter de gran relevancia, incluida la de Barack Obama, y se utilizaron para engañar a los usuarios de Twitter y que estos realizaran transacciones ilícitas con bitcoins. Se estima que las pérdidas rondan los 180 millones de dólares (129 millones de libras esterlinas) y que el precio de las acciones de Twitter se desplomó un 4 %. El ataque consistió en llevar a cabo ataques de spear-phishing contra empleados de Twitter y en el robo de credenciales privilegiadas.

Los ciberdelincuentes se aprovechan de los factores humanos para obtener acceso no autorizado, sustraer credenciales e infectar sistemas informáticos y dispositivos finales con malware, como el ransomware. Sin el factor humano, la ciberdelincuencia resultaría mucho más difícil.

Los factores humanos que dan lugar a los errores humanos

Según un estudio de IBM, las tres áreas principales en las que hay que centrar la atención a la hora de elaborar estrategias de seguridad para mitigar los riesgos de ciberseguridad son:

1. 1. Phishing

1. 1. Analizar y aprovechar

1. 1. Uso no autorizado de credenciales

Los tres vectores cuentan con un elemento que implica un factor humano en algún punto de la cadena de ataque.

Phishing y spear-phishing: factores humanos. Para que se inicie la cadena de infección, es necesario que una persona haga clic en un enlace o abra un archivo adjunto infectado. A menudo, el phishing se utiliza para atacar a usuarios con privilegios (spear-phishing) con el fin de obtener sus credenciales. Los usuarios con privilegios tienen acceso a recursos más importantes; el robo de credenciales privilegiadas es el santo grial de la piratería informática. En este caso, entra en juego un factor humano, como la respuesta de clic automatizada.

Análisis y explotación: el error humano. Los piratas informáticos aprovechan cualquier cosa que les facilite la tarea, y la capacidad de detectar vulnerabilidades de forma automática constituye un vector útil para la infección por malware. Los componentes de los sistemas informáticos, como los servidores web, las bases de datos y las aplicaciones en la nube, pueden acabar mal configurados si no se comprende plenamente el impacto de una seguridad deficiente. Las aplicaciones y los componentes web inseguros dan lugar a brechas de seguridad que los piratas informáticos pueden aprovechar. En este caso, el error humano da lugar a un riesgo para la ciberseguridad.

Uso no autorizado de credenciales: errores humanos y factores humanos: el robo de credenciales da lugar a un acceso no autorizado a los sistemas y recursos informáticos. Entre las formas en que las credenciales pueden utilizarse sin autorización se incluyen:

• • Espiar por encima del hombro: las credenciales se roban cuando una persona malintencionada observa cómo otra persona introduce una contraseña.

• • Phishing: engañar a una persona para que introduzca sus datos de acceso en una página de inicio de sesión falsa.

• • Ingeniería social: engañar a una persona para que facilite sus credenciales de acceso por teléfono, a través de las redes sociales o mediante otros medios de comunicación, como el correo electrónico, los servicios de asistencia técnica y los mensajes de texto.

En los tres vectores de ataque informático más frecuentes, tanto el factor humano como los errores humanos desempeñan un papel fundamental. El riesgo de ciberseguridad se concentra en nuestros empleados y en personas ajenas a la empresa, pero ¿cómo podemos reducir este riesgo?

¿Las mejores prácticas evitan que los factores humanos se conviertan en fallos humanos?

Un estudio realizado por Kaspersky, que se centró en el papel que desempeñan los factores humanos en el riesgo de ciberseguridad, reveló que «el personal descuidado o desinformado» es la segunda causa más probable de una brecha de seguridad grave; la infección por malware es la primera, pero a menudo está provocada, a su vez, por personal descuidado o desinformado. Dados los elevados niveles de riesgo asociados a los factores humanos, reducir los fallos resulta fundamental para mitigar el riesgo de seguridad.

Destacan dos aspectos que abarcan tanto al personal descuidado como al desinformado:

Decisiones imprudentes que provocan fallos de seguridad: tomar decisiones erróneas en materia de seguridad, como configurar incorrectamente los sistemas y componentes informáticos, o hacer clic en un enlace de phishing sin pensarlo dos veces, son errores humanos que aumentan el riesgo de ciberseguridad. La configuración incorrecta de los sistemas y componentes informáticos es un ejemplo de decisión imprudente en materia de seguridad. Hacer clic en un enlace de phishing es otro ejemplo. Tanto el personal informático como el no informático son capaces de tomar decisiones imprudentes que provocan fallos de seguridad. Garantizar que todo el personal, tanto técnico como no técnico, sea consciente del impacto de sus decisiones es una medida fundamental para mitigar el riesgo de ciberseguridad.

La falta de información del personal conduce a fallos de seguridad: si el personal no es consciente de sus acciones, ¿cómo podría conocer las consecuencias en materia de seguridad? Las empresas forman habitualmente a su personal en otras áreas del negocio, y esto debería ampliarse a la formación en concienciación sobre seguridad. La formación del personal en materia de seguridad incluye comprender cómo funciona el phishing, así como otros fallos de seguridad habituales, como compartir contraseñas y el envío erróneo de correos electrónicos. Cabe destacar que, según el Informe de Investigación sobre Fugas de Datos (DBIR) de Verizon, el envío erróneo sigue aumentando como forma de error humano.

Cómo mitigar el factor humano en los riesgos de ciberseguridad

El estudio de Kaspersky identificó un elemento crucial del fallo humano en materia de seguridad: la necesidad de ocultar los errores. La encuesta reveló que, en el 40 % de las empresas, los empleados ocultaban los incidentes de seguridad. Esta cifra debería hacer saltar las alarmas y llevar a las personas a reforzar su formación en materia de seguridad. Aunque el empleado comprendiera las implicaciones de un incidente de seguridad, seguía sintiéndose obligado a ocultar la información. Esto plantea la pregunta de por qué, y la respuesta consta de dos partes:

Convierta la seguridad en parte de su cultura corporativa: puede parecer un tópico, pero si el concepto de seguridad está arraigado en su cultura corporativa, es menos probable que el personal se sienta abrumado y asustado cuando ocurra algo. La cultura de la seguridad se crea mediante la formación en concienciación sobre seguridad, que ayuda a fomentar hábitos positivos en materia de seguridad entre los empleados.

Facilite la notificación de incidentes de seguridad: es necesario notificar los incidentes para que el personal cualificado adecuado, en función del nivel de riesgo, pueda tomar las medidas oportunas. Un sistema de notificación diseñado para que a los empleados les resulte muy sencillo informar de los incidentes eliminará las dificultades que esto conlleva y aumentará la probabilidad de que se produzcan dichas notificaciones.

Los factores humanos dan lugar a fallos humanos. Mediante la formación en sensibilización sobre ciberseguridad, las organizaciones pueden abordar los comportamientos humanos que provocan errores por descuido y decisiones erróneas, reduciendo así el riesgo de ciberseguridad.