Tus Empleados Son Tu Mayor Riesgo de Seguridad y Tu Mejor Defensa

Pregúntale a cualquier profesional de ciberseguridad cuál es su mayor preocupación sobre la seguridad de las pequeñas empresas y la respuesta casi nunca es "el firewall". Son las personas. Específicamente: la recepcionista que no quiere parecer paranoica, así que llama al número del correo sospechoso. El gerente que le da su contraseña al soporte de IT por teléfono porque la persona que llamó conocía su nombre y el nombre de su jefe. La contadora que procesa una transferencia bancaria porque recibió un correo urgente del CFO aunque el CFO estaba sentado a un metro de distancia. Estos no son escenarios hipotéticos. Son incidentes reales que le pasaron a negocios reales de Miami en 2019. Ningún firewall detiene ninguno de ellos.

El Panorama de Ingeniería Social de 2019

Los ataques de ingeniería social ataques que manipulan a las personas en lugar de explotar vulnerabilidades técnicas representaron más del 33% de todas las brechas de ciberseguridad en la primera mitad de 2019, según el Informe de Investigaciones de Brechas de Datos de Verizon. El phishing sigue siendo el mecanismo de entrega dominante: más del 78% de los incidentes de ciberespionaje y el 32% de todas las brechas involucraron phishing de alguna forma.

Lo que ha cambiado en 2019 es la sofisticación de la focalización. Los correos de phishing masivo genéricos la variedad de "has ganado un premio, haz clic aquí" son cada vez más raros en las bandejas de correo empresarial porque los filtros de spam son buenos detectándolos. Lo que está llegando en su lugar son correos de spear-phishing altamente dirigidos que hacen referencia a colegas reales, proyectos reales, relaciones reales y contextos de negocio reales. Los atacantes pasan horas investigando a sus objetivos en LinkedIn, sitios web de empresas y redes sociales antes de elaborar un mensaje casi indistinguible de la comunicación interna legítima.

Cómo Se Ve Realmente la Capacitación Efectiva en Concientización de Seguridad en 2019

El enfoque de casilla de cumplimiento para la capacitación en seguridad un video anual de 45 minutos que los empleados atraviesan para obtener su certificación es activamente dañino. Crea una falsa sensación de seguridad, trata a los empleados como riesgos de cumplimiento en lugar de activos de seguridad, y no cambia ningún comportamiento. La investigación de los proveedores de capacitación en concientización de seguridad muestra consistentemente que los empleados que reciben solo capacitación anual son casi tan vulnerables al phishing como aquellos que no reciben capacitación alguna.

La capacitación efectiva en concientización de seguridad en 2019 tiene cinco características:

• Frecuencia: Módulos de capacitación mensuales o bimensuales de 5–10 minutos superan a los cursos anuales de 45 minutos por un amplio margen en las tasas de clic de las simulaciones de phishing
• Phishing simulado: Las campañas regulares de phishing simulado donde se envían correos de phishing falsos a los empleados para probar su respuesta son el mecanismo de capacitación más efectivo porque crean una consecuencia realista (vergüenza y aprendizaje) sin un costo real
• Retroalimentación contextual: Cuando un empleado hace clic en un enlace de phishing simulado, debe ver una explicación inmediata de lo que no vio y por qué no solo una notificación de que falló
• Encuadre positivo: Las culturas donde los empleados se sienten seguros reportando correos sospechosos generan mucha más inteligencia de amenazas que las culturas donde reportar se siente como admitir un fracaso
• Modelado del liderazgo: Cuando los dueños y el liderazgo senior participan visiblemente en la capacitación en seguridad, esto señala que es una prioridad de negocio, no un requisito de RRHH

Construyendo una Cultura de Reporte de Seguridad en una Pequeña Empresa

Lo más valioso que un empleado de una pequeña empresa puede hacer es reportar un correo sospechoso antes de hacer clic. O llamar a IT inmediatamente después de hacer clic en algo que no debería. La ventana entre "alguien hizo clic en un enlace de phishing" y "el malware ha establecido persistencia" a veces se mide en minutos. Cada minuto de detección temprana vale miles de dólares en costos de remediación.

Ese comportamiento de reporte no ocurrirá espontáneamente en una cultura donde admitir un error se siente arriesgado. Los líderes de pequeñas empresas que quieren que sus empleados sean un activo de seguridad necesitan establecer explícitamente que: los correos sospechosos deben reportarse sin juicio, hacer clic accidentalmente en algo no te mete en problemas ocultarlo sí, y atrapar una amenaza antes de que aterrice es algo de lo que estar genuinamente orgulloso.