24 de octubre de 2023 - Cyber security
El 95% de los hackeos y fugas de datos se deben a errores humanos, como:
- Haciendo clic en un enlace phishing
- No actualizar regularmente el software
- Trabajar en redes Wi-Fi públicas sin VPN
- Utilizar contraseñas débiles
La mayoría de estos errores humanos pueden evitarse mejorando el estado de la ciber security awareness dentro de su organización.
En este artículo, aprenderá los conceptos básicos de security awareness y cómo su organización puede empezar a mejorarlo hoy mismo.
Qué es security awareness: una definición
Security awareness se refiere a la comprensión de las ciberamenazas y las mejores prácticas para salvaguardar la información y los sistemas sensibles. Implica reconocer los riesgos potenciales, adoptar comportamientos seguros y mantenerse informado sobre la evolución de las ciberamenazas para protegerse de las filtraciones de datos, el malware y otros problemas de seguridad en línea.
Por qué security awareness es más importante que nunca
Hay muchas ideas equivocadas sobre security awareness. He aquí algunas de las que oímos con frecuencia:
→ "La seguridad es responsabilidad del departamento informático, no mía"
→ "Los ciberdelincuentes están demasiado avanzados para que la formación de security awareness sea eficaz"
→ "Los ciberdelincuentes solo piratean a grandes empresas, ¿por qué iban a atacarme a mí?".
→ "Mis empleados no necesitan formación, son internautas experimentados"
Como se indica en la introducción de este artículo, el 95% de los hackeos y fugas de datos se deben a errores humanos.. Por mucho software cyber security que tenga instalado, no puede protegerle de errores humanos como hacer clic en un enlace de phishing o utilizar contraseñas débiles. Esto significa que todos y cada uno de los empleados de su organización tienen la responsabilidad de mantener a salvo los datos de su empresa.
Muchas de las tácticas que utilizan los ciberdelincuentes no son tan avanzadas como la gente piensa. Una vez que su equipo conozca los aspectos básicos, las posibilidades de que se produzca una filtración de datos disminuirán en gran medida. Por ejemplo, la mayoría de las filtraciones de datos siguen estando causadas por contraseñas débiles y la ausencia de autenticación de dos factores.
He aquí un ejemplo de hacker ético que piratea el sistema de una organización. No con herramientas sofisticadas, sino con simple ingeniería social:
Si su organización es consciente de estas amenazas y cuenta con los procedimientos adecuados, es mucho menos probable que se produzcan casos de piratería informática como éste.
La mayoría de las grandes empresas han invertido a fondo en cyber security. Por eso, los ciberdelincuentes están ampliando su radio de acción y apuntando a empresas de cualquier tamaño. En 2022, los ciberataques a pequeñas empresas fueron más frecuentes que los ataques a empresas más grandes. Ese mismo año, se produjo un aumento global de los ciberataques mundiales del 22%.
Todo lo anterior significa que es imprescindible que empresas de todos los tamaños inviertan en security awareness para toda su organización.
Cómo desarrollar security awareness dentro de una organización
Para desarrollar un programa sólido de security awareness en su organización, deberá seguir los siguientes pasos.
Conseguir la aprobación de los dirigentes
Antes de iniciar cualquier campaña en security awareness , asegúrese de contar con el apoyo de su equipo directivo. Si la dirección no se implica, al final todo el trabajo será en vano. Si a tu director general no le importa, ¿por qué debería importarle al resto de la empresa?
Comparte la importancia de security awareness (o simplemente comparte este artículo 😉 ) y crea una cadencia regular en la que les pongas al día de los proyectos de seguridad en curso.
Una vez que su equipo directivo crea realmente en la necesidad de la ciberseguridad security awareness, puede empezar a centrarse en los llamados campeones departamentales. Suele tratarse de jefes de equipo que están más cerca del resto de la empresa y pueden tener que ayudarle a llevar a cabo iniciativas de seguridad. Son las personas a través de las cuales se comunican las preocupaciones y las nuevas medidas de seguridad.
Si trabajas en una organización más grande y tienes que convencer a muchas partes interesadas, puede ser útil llevar un registro de ellas en una plantilla de gestión de partes interesadas.
Al presentar sus planes al equipo directivo, es importante dejar claro que se trata de un programa a largo plazo. Si esto no queda claro, algunos pueden pensar que organizará un acto puntual. Pero su programa de concienciación tiene que ser un maratón, no un sprint, para ser eficaz.
Establecer políticas y procedimientos claros
Las políticas y procedimientos de seguridad son la base de la defensa de cualquier organización contra los ciberataques. Estas políticas sirven como un conjunto de directrices que no solo definen cómo proteger los datos, los sistemas y las redes, sino que también dictan cómo deben comportarse los empleados en el mundo digital.
Dos ejemplos de políticas de seguridad esenciales son:
- Política de control de acceso a los datos: Esta política define quién puede acceder a los datos sensibles y en qué circunstancias. Define las funciones y permisos de los usuarios, los métodos de autenticación de acceso y las restricciones para compartir datos. Así se impide que personas no autorizadas vean y modifiquen información confidencial.
- Política de contraseñas: Una política de contraseñas sólida establece directrices para la creación y gestión de contraseñas. Dicta los criterios de complejidad, caducidad y protección de las contraseñas. Esto reduce el riesgo de acceso no autorizado a cuentas.
También necesita procedimientos claros sobre cómo deben actuar los empleados cuando se enfrentan a una amenaza cibernética o incluso a una infracción.
Establezca una formación periódica para los empleados
Una vez que cuente con la aprobación del equipo directivo, es el momento de organizar formación de sensibilización para todos dentro de la organización. Durante estos cursos, los empleados deben conocer todas las ciberamenazas relevantes, que analizaremos más adelante en este artículo.
Cuando busque una solución de formación, tenga en cuenta los siguientes aspectos:
- Elija una solución de formación basada en la gamificación. Un juego de security awareness como Guardey permite a los usuarios aprender de forma activa.
- Ofrezca formación recurrente. A menudo, las empresas ofrecen formación anual que proporciona un rápido impulso de conocimientos, pero no se traduce en un cambio de comportamiento duradero. Busque soluciones de formación que ofrezcan una formación semanal y breve.
- Asegúrese de que ofrece formación sobre todas las ciberamenazas actuales. Por ejemplo, si una solución de formación no tiene contenido sobre las amenazas de la IA, no es la solución adecuada. Los ciberdelincuentes se mueven con rapidez, lo que significa que su solución de formación debe evolucionar con la misma rapidez para mantener a sus empleados informados.
Enmarque su programa en un tono positivo
La comunicación en torno a cyber security suele tener un tono negativo. Cuando los empleados suspenden un examen de phishing o no obtienen puntuaciones altas durante la formación de concienciación, pueden sentir que se les va a juzgar o incluso castigar por ello. Por eso es fundamental posicionar el programa como algo que beneficia tanto a la organización como al empleado.
Con esto en mente, entienda también que a la gente no le importará su programa de seguridad de la misma manera que a usted. Por tanto, comunicar el porqué puede marcar realmente la diferencia. Presente una imagen vívida del impacto que puede tener la ausencia de un programa security awareness .
¿Qué ciberamenazas deben incluirse en la formación?
Security awareness implica algo más que phishing y la gestión de contraseñas. Cuando forme a su personal, debe asegurarse de que cubre todas las ciberamenazas a las que puede enfrentarse. He aquí una lista nada completa que le dará una idea de las amenazas que debería incluir en la formación.
- Phishing ataques: Enseñe a su equipo a reconocer los correos electrónicos de phishing y los enlaces sospechosos, y haga hincapié en la importancia de no compartir información confidencial con fuentes desconocidas.
- ransomware: Proporcionar orientación sobre la identificación de posibles amenazas de ransomware y destacar la importancia de realizar copias de seguridad de los datos con regularidad.
- Ingeniería social: Forme a los empleados para que sean precavidos a la hora de compartir información confidencial en persona, por teléfono o en línea, y para que verifiquen la identidad de las personas que solicitan datos confidenciales.
- Seguridad de contraseñas: Promueva prácticas de contraseñas seguras, incluyendo el uso de contraseñas complejas y únicas, habilitando la autenticación de dos factores y evitando compartir contraseñas.
- Malware: Eduque a los empleados sobre los riesgos de descargar software o archivos de fuentes no fiables y la importancia de utilizar software antivirus de confianza.
- Amenazas internas: Concienciar sobre el potencial de acciones maliciosas por parte de empleados o socios, haciendo hincapié en la necesidad de una cultura de vigilancia y confianza.
- Riesgos BYOD (Bring Your Own Device): Proporcionar directrices para utilizar de forma segura los dispositivos personales en el lugar de trabajo y reconocer las posibles amenazas de seguridad asociadas a ellos.
- Manipulación y protección de datos: Instruye a los empleados sobre cómo manejar, almacenar y transmitir adecuadamente los datos sensibles para evitar violaciones de datos y accesos no autorizados.
- Seguridad Wi-Fi: Eduque a los empleados sobre los peligros de utilizar redes Wi-Fi públicas no seguras y la importancia de utilizar una red privada virtual (VPN) cuando sea necesario.
- Seguridad del correo electrónico: Destaque las mejores prácticas de correo electrónico, como verificar los remitentes de correo electrónico, no abrir archivos adjuntos ni hacer clic en enlaces de correos electrónicos sospechosos, e informar de los intentos de phishing .
Y la lista sigue y sigue. Si una solución de formación de security awareness no cubre algunos de los temas anteriores, considérala incompleta y no la más adecuada.
Lo esencial
Contrariamente a la creencia popular, se puede ser más astuto que los hackers. Las organizaciones concienciadas con la seguridad tienen menos probabilidades de sufrir ciberataques. La mayoría de los hackeos y filtraciones de datos siguen produciéndose por simples errores humanos: hacer clic en enlaces de phishing , trabajar desde una red no segura o no utilizar la autenticación de doble factor.
Para establecer la ciberseguridad en security awareness dentro de su organización, debería considerar la posibilidad de ofrecer formación periódica en security awareness . Esto permite a sus empleados conocer los mayores riesgos cibernéticos y actuar en consecuencia cuando se enfrentan a uno.
Con el juego security awareness de Guardey, tu equipo recibe un reto semanal de 3 minutos sobre un tema de seguridad específico. El juego se elabora en colaboración con hackers éticos y pedagogos para lograr un cambio de comportamiento duradero. Ya puedes empezar una prueba gratuita de 14 días.
