Por qué el factor humano es esencial para el éxito en ciberseguridad

La complejidad de la ciberseguridad ha crecido exponencialmente a medida que el número de dispositivos digitales interconectables ha aumentado. Debido a que infraestructuras informáticas interdependientes soportan casi todas las organizaciones hoy, proteger datos digitales se ha vuelto crucial.

El 37% de CEOs encuestados dice que riesgo significativo reside dentro del negocio extendido y socios empresariales clave. Y las medidas preventivas por sí solas ya no son suficientes. El nuevo entorno demanda monitoreo vigilante e innovación creativa. Requiere participación de todas las partes interesadas.

El elemento humano es clave. Qué tan bien evalúes, formes y equipes a los empleados hará o romperá tu sistema de ciberseguridad, tu reputación con clientes y socios, y quizás incluso tu negocio mismo.

Mientras el 89% de la alta dirección cree que los empleados protegerán responsablemente la información, el 22% dice que sus empleados desconocen políticas de datos fuera del sitio. Los dispositivos más en riesgo son teléfonos celulares de la empresa (50%), laptops de la empresa (45%), y dispositivos de almacenamiento USB (41%).

En su informe sobre Vistas desde la C-Suite 2018, A.T. Kearney encontró que el 85% de las empresas experimentaron brechas de seguridad en el último año. Solo el 40% diseñó e implementó estrategias de ciberseguridad en respuesta.

Además de enfocarse en empleados, es importante incorporar a toda la cadena de suministro. Los líderes corporativos citan cuatro tácticas principales para asegurar ciberseguridad viable:

• Medidas integrales de seguridad de la información,
• Contratación de profesionales de TI altamente calificados,
• Analítica de comportamiento de ciberseguridad, y
• Programas de capacitación de empleados.

El nuevo paradigma para ciberseguridad es involucrar, convencer, educar, convertir, y recompensar. Los usuarios finales a menudo son estereotipados injustamente como no cooperativos, adversos al control, e incapaces de cambiar comportamiento. Al mismo tiempo, son el eslabón más débil en ciberseguridad. Incluso expertos técnicos profundos pueden ser tan vulnerables como usuarios regulares menos entrenados y preparados.

Un ejemplo real: Hace años, como CISO de un operador inalámbrico en Sudamérica, me encargaron reducir el número creciente de fugas de datos. Un ejecutivo senior recomendó aplicación severa de políticas de seguridad. Los usuarios finales, dijo, habían sido no comprometidos con la seguridad, y no respondieron a campañas para mejorar controles internos.

Decidí tomar una postura contraria. La experiencia me había convencido de que para crear soluciones viables, teníamos que involucrar a todas las partes interesadas, cada individuo impactado por políticas, tecnologías, y decisiones, no solo a los sentados en salas de juntas.

En lugar de castigar a usuarios finales y enfocarse solo en forzar controles, convocamos una serie de reuniones con empleados para compartir mejores prácticas, determinar sus puntos de dolor, y dar guía paso a paso sobre cómo emplear correctamente herramientas de seguridad.

Resultó que muchas políticas de seguridad estaban desactualizadas debido a una serie de fusiones. Además, los usuarios lidiaban con una engorrosa práctica de expiración de contraseña a 30 días escribiendo sus códigos de acceso en notas Post-It. Gente malintencionada había estado obteniendo acceso no autorizado así.

Basado en retroalimentación de empleados, actualizamos políticas y reescribimos procedimientos y estándares para que fueran relevantes y claros. Se usaron tarjetas de puntuación para rastrear progreso, e instituyó un sistema de recompensas. Las fugas de datos cayeron, y se estableció un bucle de retroalimentación entre usuarios y el departamento de seguridad para mantener el programa relevante. Los usuarios finales fueron incorporados al proceso, con bucles educativos para detectar problemas potenciales.

La experiencia reconfirmó que un proceso de diseño centrado en partes interesadas y humano, basado en involucrar, educar, convertir, y recompensar en lugar de castigar, produce las soluciones de ciberseguridad más completas y sostenibles.

J. Eduardo Campos dirige la firma consultora Embedded-Knowledge Inc.