Saca el lado hacker de tus empleados para defenderte de los ciberataques

El 80% de los ciberataques a empresas se deben a errores humanos. Los mecanismos psicológicos de los ciberdelincuentes son tremendamente hábiles sacando partido de supuestas fortalezas corporativas que, en realidad, dejan la puerta abierta a que se expresen debilidades humanas como la obedicencia ciega, el exceso de confianza o la sensación de urgencia. Por ello, cualquier programa de ciberseguridad ha de entrenar a los empleados para identificar en un correo, en una conversación o en una comunicación del tipo que sea, estos mensajes ocultos que delatan una potencial situación de riesgo.

Y ha de hacerlo en el contexto de la estrategia de adquisición de habilidades críticas pilotada desde las áreas de RR.HH. y que se desglosan tanto en actividades de concienciación como de formación. Aunque ambos términos se utilizan a menudo de manera intercambiable en realidad, y en lo que al ámbito de la ciberseguridad se refiere, tienen objertivos distintos y metodologías de aprendizaje distintas.

Así, por ejemplo, los dos tienen en común que pueden ser:

1. • Capacitaciones regulares, a través de talleres y sesiones informativas sobre las últimas amenazas cibernéticas, cómo identificar correos electrónicos fraudulentos (phishing) y de buenas prácticas de seguridad en línea.
   • Simulacros de ataques, por ejemplo de phishing, para evaluar la conciencia de los empleados y identificar áreas de mejora.
   • Materiales informativos, a modo de guías y carteles con consejos prácticos para proteger los datos de la empresa.

Pero mientras que la formación se enfoca en el «qué hacer» en una situación de ciberseguridad, la concienciación se enfoca en el «por qué» es importante la seguridad y cómo cada empleado puede contribuir.

• La formación en ciberseguridad:
  • Implica la adquisición de conocimientos y habilidades técnicas específicas: es un proceso más estructurado y formal que busca dotar a los empleados de las herramientas necesarias para identificar, prevenir y responder a amenazas cibernéticas. La formación suele incluir temas como:
  • Transmite conceptos básicos de seguridad: redes, sistemas operativos, protocolos de seguridad.
  • Explica distintos tipos de amenazas: phishing, malware, ransomware, etc.
  • Propone ,edidas de protección: uso de contraseñas seguras, firewalls, antivirus.
  • Orienta sobre incidentes de seguridad: cómo responder a una brecha de seguridad.

• La concienciación en ciberseguridad:
  • Se centra en cambiar las actitudes y comportamientos de los empleados en relación con la seguridad de la información. Busca generar una cultura de seguridad dentro de la organización, haciendo que los empleados sean conscientes de los riesgos y de su papel en la protección de los activos de la empresa. Se logra a través de:
    • campañas de sensibilización: difusión de mensajes clave sobre seguridad.
    • simulacros de ataques: para evaluar la efectividad de las medidas de concienciación.
    • formaciones interactivas y diferenciales: fomentar la participación y el aprendizaje activo.