Empoderar a los empleados para hacer frente a los ciberataques

La pandemia de covid-19 y las consiguientes medidas restrictivas sin duda han cambiado el mundo profesional y económico. Para mantenerse a flote, las empresas, ya sean públicas o privadas, han tenido que negociar un giro que en ocasiones llega hasta los 180°. Desafortunadamente, más allá de los muchos desafíos que ya enfrentan, estas organizaciones también se han enfrentado al aumento de los ciberataques.

Mientras las empresas hacen todo lo posible para recuperarse, están surgiendo muchas organizaciones maliciosas y aumentando su ingenio para desarrollar nuevas técnicas que las debiliten aún más. Por sofisticadas que sean, las medidas de seguridad por sí solas ya no son suficientes para contrarrestar los ciberataques. Por eso parece más apropiado combinarlos con la responsabilidad de los empleados. Este artículo hace un balance de lo que los líderes deben hacer para lograrlo de manera efectiva.

Empoderar a los empleados frente a los ataques de phishing

Cuando hablamos de ciberataques, queda claro que el phishing es, con diferencia, el más sofisticado.

¿Qué es el phishing?

Se trata de una amenaza que pesa cada vez más sobre todas las empresas y que se basa en el principio deIngeniería social. Los phishers explotan más precisamente el factor humano, es decir, los defectos relacionados con el comportamiento de los empleados para lograr sus fines.

Durante sus campañas de phishing, se hacen pasar por una organización conocida por las empresas objetivo (CAF, banco, servicio tributario, etc.) utilizando su nombre y logotipo. Estos estafadores envían un correo electrónico en el que generalmente piden a sus víctimas que “confirmen” o “actualicen” su información tras un incidente técnico, en particular sus datos bancarios. También pueden actuar mediante una llamada telefónica.

En resumen, el phishing es una práctica de delito cibernético que utiliza engaños, engaños o fraude para engañar a las empresas para que revelen datos personales confidenciales.

Seguridad informática: ¿cómo movilizar a los empleados para afrontar los riesgos del phishing?

Dado que más vale prevenir que curar, el primer reflejo que deben tener los directivos para protegerse de esa ingeniería social es empoderar a todos los usuarios. En la mayoría de los casos, estos últimos desconocen por completo los riesgos que conlleva y no tienen idea de los métodos utilizados por el piratas informáticos para engañar su vigilancia. Por eso los delincuentes prefieren atacar el vínculo humano en las empresas debido a su vulnerabilidad en lugar de buscar un fallo de software. Se ha descubierto que casi el 85% de los ciberataques a nivel mundial dependen del factor humano.

El empoderamiento de los empleados se puede lograr mediante una metodología de tres pasos. El primer paso consiste en comprender los riesgos del phishing así como sus problemas y todo lo que se debe hacer para evitarlos. En cuanto al segundo, se trata de informar a los usuarios sobre las consecuencias e impactos del comportamiento humano. En el paso final, los líderes deben capacitar y luego probar a cada empleado para que pueda convertirse en un actor de ciberseguridad. Para ello, pueden utilizar soluciones como las propuestas en Arsen y optar por un software que permite la formación práctica de los usuarios contra intentos de phishing.

Los administradores pueden aprovechar esto para implementar simulaciones de phishing realistas. Para crear ataques sofisticados y entrenar a sus empleados en condiciones reales, pueden utilizar escenarios preinstalados o crear otros.

Desde la misma plataforma, los gestores pueden seguir en directo la evolución de sus campañas falsas y ver cómo se comporta cada usuario ante ataques realistas. De esta manera, pueden transformar fácilmente el elemento humano de su negocio en una verdadera cortafuegos humano. El software también proporciona a sus usuarios una amplia gama de herramientas de formación desarrolladas teniendo en cuenta el cumplimiento.

Sensibilizar permanentemente a los empleados para protegerse de los ciberataques

Ahora que los empleados saben cómo reconocer el phishing y cómo contrarrestarlo, es hora de integrarlo en una estrategia concreta de ciberseguridad. De este modo, los directivos pueden concienciar constantemente sobre los requisitos de seguridad de TI, pero también sobre otros métodos utilizados por los piratas informáticos y sus impactos:

• descarga sigilosa,
• ataque distribuido de denegación de servicio,
• ataque de denegación de servicio,
• descifrar contraseñas,
• ransomware o ransomware (aplicación maliciosa para tomar como “rehenes” datos personales y exigir un rescate a cambio de desbloquearlos),
• Inyección SQL,
• secuencias de comandos entre sitios,
• escuchando a escondidas…

Esto implica lógicamente el desarrollo de una carta de TI, que tiene como objetivo formalizar y compartir buenas prácticas. Constituyendo la primera línea de defensa en materia de protección de datos, define el marco de utilización de los programas y herramientas informáticas puestos a disposición de los empleados.

Una carta de TI también define las normas que deben cumplir el procesamiento de datos, así como las barreras entre la vida profesional y privada.

Los gerentes también pueden implementar sesiones de aprendizaje electrónico para permitir que todos los empleados se capaciten de forma independiente y a su propio ritmo. EL entrenamiento en grupo En ningún caso debe descuidarse la emulación y el intercambio de experiencias.

Para concienciar, formar y empoderar a los empleados, los empresarios pueden optar por herramientas participativas y divertidas. Y sobre todo, es necesario planificar de vez en cuando sesiones de hacking en vivo o reproducción falsa de ciberataques utilizando el software de formación.

Todos los métodos de sensibilización mencionados anteriormente deben respetar una serie de reglas. En primer lugar, deben contar con el apoyo y el estímulo de la dirección, ofreciendo al mismo tiempo contenidos vinculados a los usos reales de los empleados. La sensibilización también debería centrarse únicamente en los temas más relevantes y debería afectar a toda la base de usuarios. También debe ir acompañado de una evaluación de los conocimientos adquiridos para comprobar si todo ha ido como debería al final de cada formación. Se debe concienciar a los usuarios con la mayor regularidad posible, ya que las amenazas evolucionan constantemente.

Por último, cabe señalar que la concientización, la responsabilidad y la movilización de los empleados son parte de un sistema de seguridad de múltiples capas en el que cada usuario constituye la capa final.