Sensibilización en materia de seguridad y fomento de una cultura de seguridad
Una formación anual sobre cumplimiento normativo que nadie recuerda una semana después no es concienciación sobre seguridad, es una partida presupuestaria para un auditor. Las organizaciones que realmente reducen su exposición al riesgo humano no son aquellas que cuentan con los vídeos de formación más sofisticados, sino aquellas en las que las personas se sienten seguras al informar de que «creo que he hecho clic en algo peligroso» sin que se les regañe, y en las que la formación refleja las formas específicas en que su personal es realmente objeto de ataques.
Considero que el trabajo de sensibilización se articula en dos niveles. El primero es la base: asegurarse de que las personas sean capaces de reconocer el phishing, comprendan por qué es importante la autenticación multifactorial (MFA), sepan qué hacer ante un archivo adjunto sospechoso y sepan a quién llamar. Esa parte es necesaria, pero no es donde se produce la verdadera reducción del riesgo. El segundo nivel es la cultura: si las personas consideran la seguridad como algo que el departamento de TI les impone o como algo de lo que forman parte, si informar de un error es seguro y si la dirección trata de forma visible la seguridad como una prioridad real, en lugar de como una diapositiva más en una presentación para toda la plantilla.
Mi enfoque
Empiezo por determinar cuál es su exposición real, sin dar por sentado que el riesgo de todas las empresas es el mismo. El principal vector de riesgo humano de un bufete de abogados suele ser el compromiso del correo electrónico empresarial (BEC), dirigido a las transferencias bancarias y a las cuentas fiduciarias de los clientes. En el caso de una consulta médica, suele tratarse del phishing de credenciales para acceder a la historia clínica electrónica (EHR). Elaboro escenarios y contenidos formativos en función de lo que realmente es probable que le afecte, realizo simulaciones realistas de phishing que reflejan esas amenazas y hago un seguimiento para comprobar si el comportamiento está cambiando de verdad, y no solo si las personas han completado un módulo.
También presto atención a la estructura de incentivos. Si se avergüenza públicamente a alguien por caer en una estafa de phishing simulada, esa persona dejará de informar de las auténticas. Prefiero crear un programa en el que el primer instinto cuando algo parece sospechoso sea reenviarlo al departamento de seguridad, en lugar de esperar en silencio a que el asunto se olvide.
¿A quién va dirigido?
Si su formación actual consiste en un vídeo que se reproduce una vez al año y que nadie ve más allá de la primera pantalla, si ha estado a punto de caer en un intento de phishing y desea saber hasta qué punto está realmente expuesto, o si una aseguradora o un auditor le pregunta cómo es realmente su programa de sensibilización más allá de una simple casilla de verificación, merece la pena que hablemos de ello.
Póngase en contacto conmigo y dígame cuáles son los puntos débiles de su equipo, o dónde sospecha que podrían estar.