El elemento humano crítico en la estrategia de ciberseguridad

La complejidad de la ciberseguridad ha crecido exponencialmente a medida que ha aumentado la cantidad de dispositivos digitales interconectables. Debido a que las infraestructuras informáticas interdependientes dan soporte a casi todas las organizaciones en la actualidad, la protección de los datos digitales se ha vuelto crucial.

El treinta y siete por ciento de los directores ejecutivos encuestados dice que un riesgo significativo radica en el negocio extendido y los socios empresariales clave. Y las medidas preventivas por sí solas ya no son suficientes. El nuevo entorno exige un seguimiento atento y una innovación creativa. Requiere la participación de todos los interesados.

El elemento humano es clave. Lo bien que investigue, capacite y equipe a los empleados hará o deshará su sistema de ciberseguridad, su reputación con los clientes y socios, y quizás incluso su propia empresa.

Mientras que el 89 por ciento de la alta dirección cree que los empleados protegerán la información de manera responsable, el 22 por ciento dice que sus empleados desconocen las políticas de datos externos. Los dispositivos con mayor riesgo son los teléfonos móviles de la empresa (50 por ciento), las computadoras portátiles de la empresa (45 por ciento) y los dispositivos de almacenamiento USB (41 por ciento).

En su informe sobre Vistas de 2018 del C-Suite , EN. Kearney descubrió que el 85 por ciento de las empresas experimentaron violaciones de seguridad durante el último año. Solo el 40 por ciento diseñó e implementó estrategias de ciberseguridad en respuesta.

Además de centrarse en los empleados, es importante incorporar toda la cadena de suministro. Los líderes corporativos citan cuatro tácticas principales para garantizar una ciberseguridad viable:

• Medidas integrales de seguridad de la información,
• Contratación de profesionales de TI altamente capacitados,
• Análisis de comportamiento de ciberseguridad y
• Programas de capacitación para empleados.

El nuevo paradigma de la ciberseguridad es involucrar, convencer, educar, convertir y recompensar. Los usuarios finales a menudo son estereotipados injustamente como poco cooperativos, reacios al control y no dispuestos a cambiar su comportamiento. Al mismo tiempo, son el eslabón más débil de la ciberseguridad. Incluso los expertos técnicos profundos pueden ser tan vulnerables como los usuarios habituales menos capacitados y preparados.

Un ejemplo de la vida real:hace años, como CISO de un operador inalámbrico en Sudamérica, se me encomendó la tarea de reducir el número creciente de fugas de datos. Un alto ejecutivo recomendó la aplicación estricta de las políticas de seguridad. Los usuarios finales, dijo, no se habían comprometido con la seguridad y no habían respondido a las campañas para mejorar los controles internos.

Decidí adoptar una postura contraria. La experiencia me había convencido de que para crear soluciones viables, teníamos que involucrar a todas las partes interesadas, cada individuo afectado por políticas, tecnologías y decisiones, no solo a los que se sientan en las salas de juntas.

En lugar de castigar a los usuarios finales y centrarnos únicamente en hacer cumplir los controles, organizamos una serie de reuniones con los empleados para compartir las mejores prácticas, determinar sus puntos débiles y brindar orientación paso a paso sobre cómo emplear correctamente las herramientas de seguridad.

Resultó que muchas políticas de seguridad estaban desactualizadas debido a una serie de fusiones. Además, los usuarios estaban lidiando con una práctica engorrosa de expiración de contraseñas de 30 días al escribir sus códigos de acceso en notas Post-It. De ese modo, personas malintencionadas habían obtenido acceso no autorizado.

Basándonos en los comentarios de los empleados, actualizamos las políticas y reescribimos los procedimientos y estándares para que fueran relevantes y claros. Se utilizaron tarjetas de puntuación para realizar un seguimiento del progreso y se instituyó un sistema de recompensas. Se redujeron las filtraciones de datos y se estableció un circuito de retroalimentación entre los usuarios y el departamento de seguridad para mantener la relevancia del programa. Los usuarios finales se incorporaron al proceso, con circuitos educativos para detectar problemas potenciales.

La experiencia reconfirmó que un proceso de diseño que está centrado en las partes interesadas y en el ser humano, que se basa en involucrar, educar, convertir y recompensar en lugar de castigar, produce las soluciones de ciberseguridad más completas y sostenibles.

J. Eduardo Campos dirige la consultora Embedded-Knowledge Inc.