Construyendo una cultura de seguridad sólida en toda su organización

Octubre es el Mes Nacional de Concientización sobre Ciberseguridad.

También resulta ser (entre otras cosas) el Mes de Concientización sobre el Cáncer de Mama, Mes de Higiene Dental, Mes Nacional de Prevención del Acoso Escolar y mi favorito personal, Mes Nacional de la Pizza. Además, ¡es Halloween! Pero me desvío... estamos aquí para hablar de ciberseguridad.

Cada fabricante debería realizar capacitación de concientización sobre ciberseguridad para todo su personal al menos una vez al año. Mucha gente se asusta con la mera mención de las palabras "ciberseguridad" y "capacitación", así que octubre parece un momento apropiado para ello. Su capacitación debería, como mínimo, cubrir políticas relevantes de la empresa como su seguridad de TI, seguridad de la información y seguridad física.

A lo largo de los años, muchos de nosotros hemos tomado este tipo de capacitación y aprendido a temerla. Capacitación donde alguien da el mismo discurso de ciberseguridad que dio el año pasado y luego reparte un papel para que firme diciendo que estuvo allí. Un verdadero aburrimiento. Este tipo de capacitación hace su trabajo en cuanto a cumplir lo mínimo pero tiene poco impacto en moldear realmente el comportamiento de los empleados.

El verdadero propósito de los esfuerzos de concientización y capacitación en ciberseguridad debería ser crear una cultura de seguridad, lo que significa que los empleados deberían ver las buenas prácticas de ciberseguridad como buen negocio y como parte de "cómo hacemos negocios aquí". Los empleados deberían sentirse capacitados para tomar buenas decisiones de ciberseguridad y entender qué hace una buena decisión. La concientización y capacitación deberían enfocarse en:

• Detener comportamiento riesgoso: Ayudar a los empleados a saber qué decisiones pueden llevar a un mal resultado. Por ejemplo, abrir adjuntos de correo electrónico de fuentes desconocidas.
• Fomentar comportamiento menos riesgoso: Ayudar a los empleados a entender e importarles implementar procesos que aumenten la seguridad. Por ejemplo, cómo hacer contraseñas fuertes.
• Convertir empleados en centinelas: Ayudar a los empleados a reconocer y responder a un evento de ciberseguridad. Por ejemplo, qué hacer si un invitado conecta una unidad USB no autorizada a una máquina.

Idealmente, la capacitación debería ser un esfuerzo continuo. Algunas ideas sobre cómo incluir capacitación de ciberseguridad en el funcionamiento diario de su negocio incluyen:

• Enfatizar regularmente la ciberseguridad como un objetivo importante de su empresa.
• Integrar un consejo, truco o recordatorio de ciberseguridad en cada reunión.
• Colocar recordatorios en el lugar de trabajo sobre prácticas de seguridad apropiadas.
• Tener reuniones regulares para discutir posibles mejoras de procesos que puedan hacer más fácil para los empleados tomar mejores decisiones de seguridad.

Ha habido mucha investigación sobre cómo se ve una buena capacitación de ciberseguridad para empleados. En general, se puede resumir usando el acrónimo "RAINSTORMS". Sí, acabo de inventarlo ahora mismo.

• Real: Usar casos de estudio del mundo real o escenarios realistas ayuda a llevar las lecciones a casa.
• Accionable: Incluir algo que los empleados puedan hacer inmediatamente. Esto puede incluir cambiar sus contraseñas, hacer un inventario de sus activos de TI o asegurarse de que tengan información de contacto para la persona u organización a la que deben reportar un incidente en sus teléfonos. A veces una tarea a largo plazo también es apropiada, pero tener una meta inmediata siempre es útil.
• Interactivo: Juegos de rol, discusiones en grupos pequeños o ejercicios prácticos son excelentes formas de hacer la capacitación más interactiva. Idealmente, las interacciones deberían incluir conversaciones bidireccionales involucrando todos los niveles de gerencia para asegurar que todos sepan que todos tienen las mismas responsabilidades, y todos están en la misma página.
• Nuevo: Algo de repetición es apropiado en capacitación, especialmente cuando se habla de políticas, pero no debería volverse rancio. Diferentes formatos de capacitación (ej. conferencia, juegos de rol, videos) pueden ayudar.
• Simple: Trozos pequeños de información son mucho más fáciles de digerir que un título completo en ciencias de la computación forzado sobre los empleados. Un tema a la vez es generalmente preferible.
• Testable: Debe haber una meta medible y comprobable para la capacitación de ciberseguridad. Si es concientización general, quizás se puede desarrollar un cuestionario. Si una meta es mitigar ataques de phishing, quizás se puede enviar un correo de phishing falso tanto unas semanas antes como unas semanas después del evento. Esto ayudará a mostrar qué tan efectiva fue la capacitación.
• Owned: Los empleados deberían salir de la capacitación sintiendo un sentido de propiedad y que la ciberseguridad es su responsabilidad; deberían sentirse empoderados para tomar buenas decisiones de ciberseguridad.
• Relevante: La mayoría de las empresas tienen diferentes tipos de usuarios. Adaptar la capacitación a cada tipo de usuario la hace más real. Esto puede significar tener diferente capacitación para empleados de planta versus empleados de oficina.
• Memorable: Use acrónimos, mnemotécnicos ingeniosos, o, mi favorito personal, humor. Los humanos recordamos cosas graciosas —juegos de palabras, videos musicales malos, memes ridículos de gatos— mucho mejor que una conferencia aburrida. No tenga miedo de hacerlo poco convencional y divertido.
• Simple: Ante todo, la capacitación debe ser simple. Lecciones demasiado técnicas llenas de tecnojerga solo sirven para dormir a la gente.

La Iniciativa Nacional para la Educación en Ciberseguridad (NICE) tiene una pequeña lista de recursos gratuitos y de bajo costo para ayudar con la capacitación de empleados. También hay muchos recursos adicionales disponibles en línea. Solo haga una búsqueda en internet y será bombardeado con opciones. Evalúe esas opciones usando la plantilla RAINSTORMS arriba.

Durante todo el mes de octubre, NIST MEP publicará una serie de blogs siguiendo vagamente el tema y esquema proporcionado por la Alianza Nacional de Ciberseguridad (NCSA). El tema para este año es "Haga Su Parte. #BeCyberSmart". Ahora, personalmente, nunca he sido fan de autopromocionar un hashtag, pero si tuitea o bloguea sobre ciberseguridad durante este mes, considere usar el hashtag #BeCyberSmart —veremos qué tan lejos llega.

El esquema que NCSA ha publicado es el siguiente:

• Semana del 5 de octubre (Semana 1): Si Lo Conecta, Protéjalo
• Semana del 12 de octubre (Semana 2): Asegurando Dispositivos en el Hogar y el Trabajo
• Semana del 19 de octubre (Semana 3): Asegurando Dispositivos Conectados a Internet en Salud
• Semana del 26 de octubre (Semana 4): El Futuro de los Dispositivos Conectados

¿No sabe por dónde empezar? Puede aprender más sobre cómo implementar un programa efectivo de capacitación en ciberseguridad contactando a su Centro MEP local. También puede acceder a recursos de ciberseguridad para fabricantes en el sitio web de NIST MEP.

Este blog es parte de una serie publicada para el Mes Nacional de Concientización sobre Ciberseguridad (NCSAM). Otros blogs en la serie incluyen Si Lo Conecta, Protéjalo por Zane Patalive, Mentes Sospechosas: Signos No Técnicos de que su Negocio Podría Haber Sido Hackeado por Pat Toth, Asegurando Dispositivos Médicos Conectados a Internet por Jennifer Kurtz y El Futuro de los Dispositivos Conectados por Erik Fogleman y Jeff Orszak.