Cómo reforzar la ciberseguridad en la empresa
La mejor defensa contra los ciberataques está en el refuerzo del factor humano. Los avances tecnológicos en cuestiones de seguridad cibernética son evidentes, tanto desde el punto de vista de las soluciones de protección como, por supuesto, desde el punto de vista de los atacantes. Sin embargo, ninguna solución tecnológica es útil si se utiliza mal, se desactiva o se compromete por parte de un usuario inexperto, poco cuidadoso o, como sucede en ocasiones, malicioso.
Hablamos sobre este aspecto en un artículo reciente, cuando comentamos algunas de las principales vulnerabilidades del Cloud y cómo mitigarlas o evitarlas. Ya sea porque haya usuarios que filtren datos confidenciales o credenciales, o empleados despistados que desactiven el firewall, por ejemplo, las consecuencias son igualmente desastrosas.
Un informe de Verizon de agosto de este mismo año revela que el factor humano está involucrado en el 82% de los incidentes de seguridad, nada menos. Entre esos incidentes están, por supuesto, los ataques basados en ingeniería social, como los que utilizan el engaño, la manipulación o la intimidación para conseguir información o acceso, pero también están presentes los errores.
Hay un dato muy interesante que nos revela el alcance que tienen, por ejemplo, los ataques basados en phishing. Se estima que el 2,9 % de los empleados hacen clic en un email de phishing.
Si esto, que parece poco, lo aplicamos a los números que se manejan cuando se reporta una filtración de datos, nos daremos cuenta del peligro real del phishing. Si los atacantes se hacen con, por ejemplo, 100 millones de direcciones, serán 2,9 millones de posibles casos de phishing.
Cómo trabajar teniendo en cuenta el factor humano
El capital humano de una empresa es uno de sus más grandes valores. Sin embargo, en ocasiones, ese mismo factor humano puede comprometer la seguridad por genuino despiste o error. La formación de los trabajadores en ciberseguridad es cada vez mayor, al menos desde el punto de vista informativo. Cada vez más gente conoce las amenazas más comunes, ya sea en forma de mensaje de texto malicioso, correos electrónicos de phishing, o el peligro de los archivos adjuntos infectados.
Sin embargo, existe una brecha importante entre los conocimientos y buenas intenciones de las personas, y las acciones que, finalmente, se ponen en práctica. En resumen, que un trabajador conozca las amenazas y tenga serias intenciones de no abrir puertas al delincuente no es suficiente. Por eso el 82% de los incidentes de seguridad dependen del factor humano, como ya adelantamos.
Es lo que se conoce como la brecha conocimiento-intención-comportamiento. Es posible revertir esta situación, pero, para ello, las empresas deben trabajar en el conocimiento y la intención y fomentar los comportamientos correctos entre sus trabajadores. Esto requiere un enfoque específico con el que el sector de la ciberseguridad no está muy familiarizado: trabajar con las personas (y no con las amenazas y las soluciones técnicas).
La pregunta clave en este punto es la siguiente: ¿Por qué triunfan las estrategias de los ciberdelincuentes? Son, sin duda, estrategias basadas en desarrollos de malware altamente sofisticados, pero las compañías de ciberseguridad también tienen skills de desarrollo capaces de contrarrestar a las primeras.
La clave del éxito de los ciberdelincuentes es que saben manipular las emociones humanas. Los atacantes aprovechan la curiosidad natural, la impulsividad, la ambición y la empatía. Pero también existen otros motivos por los que las personas terminan cayendo en la trampa del ciberdelincuente. Los anuncios de clickbait pueden ser increíblemente efectivos porque generan una irresistible voluntad por saber más.
Esto los convierte en una de las maneras predilectas de los delincuentes para introducir malware o ransomware en los equipos de sus víctimas. A partir de ahí, la red de la compañía puede quedar comprometida en cuestión de horas.
La empatía también es una herramienta de acceso para los delincuentes. En 2020, el FBI alertó acerca de esquemas de fraude emergentes relacionados con la COVID-19; a raíz de la guerra en Ucrania, las estafas y reclamos interesados se multiplicaron. No hay nada que frene a los ciberdelincuentes a la hora de utilizar las desgracias ajenas como la llave para conseguir sus fines.
Esta es la dificultad real en términos de ciberseguridad. Ya sea por errores inadvertidos, por satisfacer la curiosidad ante un anuncio atrayente o porque queremos ayudar en conflictos o crisis sanitarias, las personas somos el eslabón más vulnerable de toda la cadena. Tenemos el conocimiento y las buenas intenciones, pero necesitamos trabajar muy duro para que nuestro comportamiento sea acorde a ellos.
Para mantener seguros los datos ante cualquier eventualidad, y tener un plan de recuperación listo para deshacer los efectos de un ciberataque, en Arsys te ofrecemos una solución de Cloud Backup a la medida de tus necesidades. Entra en nuestra web e infórmate acerca de los detalles.
Jefe de Capacitación para Soluciones Cloud, posee una amplia experiencia en áreas comerciales y técnicas a nivel nacional e internacional. Con una base en Ingeniería de Telecomunicaciones y un MBA, destaca en el desarrollo de negocios, especialmente con grandes cuentas y partners en sectores tanto privados como públicos.