Ante la diversidad de amenazas, las empresas deben intensificar sus esfuerzos para aumentar la concienciación de los empleados y la formación en ciberseguridad para TI, desarrolladores y usuarios, adaptándolos a los contextos empresariales y a las personas. Aquí tienes 3 consejos para mejorar tu estrategia de formación en ciberseguridad…
Aunque muchas empresas están invirtiendo más que nunca para financiar herramientas y tecnologías de ciberseguridad avanzadas, los expertos creen que para las empresas estadounidenses el costo de los ataques cibernéticos aumentará drásticamente en 2023.
Los ciberdelincuentes profesionales y los actores de amenazas de países extranjeros que llevan a cabo ataques extremadamente sofisticados siguen ocupando los titulares. Sin embargo, según las tendencias observadas, podemos esperar muchos incidentes como resultado de amenazas extremadamente efectivas y difíciles de detectar, como intentos de phishing y ataques de ingeniería social.
Incluso si requieren menos habilidad técnica, estos ataques aún logran eludir las tecnologías de ciberseguridad más avanzadas, ya que están atentos a los errores humanos que pueden atribuirse 95% de vulnerabilidades de ciberseguridadsegún un estudio de IBM.
Para neutralizar estas amenazas y reducir cualquier riesgo de error humano que pueda causar un incidente, las empresas están reforzando su tecnología de ciberseguridad a través de programas de capacitación para empleados. Cuando se implementan de manera efectiva, estos programas pueden mejorar el conocimiento de los empleados sobre ciberseguridad y reducir el riesgo de que un empleado sea víctima de un ataque. Dado que hoy en día cualquier incumplimiento promedio puede costar millones, esta capacitación es más importante que nunca.
Aquí hay tres consejos que pueden ayudarlo a mejorar el programa de capacitación en ciberseguridad de su empresa.
1- Simulación de ataques para mejorar comportamientos
el viejo proverbio Es la práctica la que hace al maestro realmente tiene sentido, especialmente cuando se trata de capacitación en ciberseguridad.
Pero, ¿cómo pueden las empresas “capacitarse” para detectar y prevenir varios tipos de ciberataques? ¡Gracias a las simulaciones!
Para enseñar a los empleados cómo reconocer, evitar y reportar amenazas potenciales, pocos métodos son tan efectivos como simular ataques que probablemente ocurran en el mundo real..
Afortunadamente, varias empresas y programas, estos últimos a menudo disponibles a través de un modelo SaaS (Software as a Service) fácil de usar, actualmente pueden ayudar a las organizaciones a mejorar su seguridad generando estafas de phishing y simulando malware, así como otros ciberataques que pueden empleados objetivo. Estas campañas de prueba luego se dirigen a los miembros del personal, quienes deben detectar y neutralizar estos intentos de piratería.
Estas simulaciones de escenarios reales y relevantes pueden ayudar a los empleados a estar más atentos y mejor preparados para las amenazas en un entorno sin desafíos. Es más probable que un entorno de refuerzo positivo aliente a los empleados a denunciar posibles intentos de phishing/phishing por mensaje de texto, incluso si sus sospechas resultan ser injustificadas. Eventualmente necesitarán verificar más informes, pero estarán más conscientes de las amenazas y serán más sospechosos.
2- Reducir la desensibilización a los mensajes de seguridad en pequeños pasos y asociar las amenazas con el contexto
Parece que cada semana un nuevo ciberataque aparece en los titulares. Esta profusión de noticias ha dado lugar a un fenómeno peligroso conocido como «insensibilización del mensaje de seguridad» o «insensibilización por exposición repetida al mismo mensaje a lo largo del tiempo».
Según un estudio de Malwarebytes, El 80% de los encuestados informaron algún nivel de «insensibilización de mensajes de seguridad» en términos de ciberseguridad. Esta insensibilización a los mensajes de seguridad es peligrosa y puede resultar en un comportamiento descuidado que puede socavar y amenazar seriamente la ciberseguridad.
Verter combatir la desensibilización a los mensajes de seguridad y recordando a los empleados que sus acciones son fundamentales para la seguridad general de la empresa, las empresas pueden proceder inicialmente con pequeños pasos. Para empezar, pueden considerar implementar protocolos de contraseñas en toda la empresa. Al exigir a los empleados que cambien sus contraseñas cada pocos meses y utilicen la autenticación de dos factores, las empresas les recuerdan de manera simple pero firme que deben contribuir activamente a la posición general de la empresa en términos de ciberseguridad.
Las empresas también pueden contextualizar las comunicaciones de seguridad cibernética para que los empleados comprendan mejor las verdaderas consecuencias de un incidente potencial, por ejemplo, informando el impacto monetario potencial de un incidente cibernético en sus bonos y salarios.
3- Implementación de un entorno de privilegios mínimos y Zero Trust, y aplicación de los principios Secure by Design
A pesar de sus mejores esfuerzos, las empresas no pueden darse el lujo de depender únicamente de los empleados para prevenir ataques cibernéticos. Por lo tanto, todos deberían considerar implementar medidas de ciberseguridad Zero Trust y un entorno de privilegios mínimos.
El modelo de ciberseguridad de confianza cero esencialmente protege los activos corporativos mientras adopta una mentalidad de «asumir incumplimiento». Esto significa que cada solicitud de acceso a la información o los servicios de una empresa se verifica para evitar el acceso no autorizado a la red.
Del mismo modo, un entorno de privilegios mínimos puede evitar el acceso no deseado a software, servicios, servidores, hardware, etc., desde cuentas que no requieren dicho acceso. Al imponer controles de acceso efectivos que se evalúan y actualizan regularmente, las organizaciones limitan significativamente la superficie de ataque.
A medida que más empresas adoptan entornos de trabajo híbridos a largo plazo, los principios de confianza cero y privilegios mínimos son herramientas poderosas para prevenir y mitigar vulnerabilidades.
En el futuro, las empresas deben crear productos y software que se adhieran a los principios de Diseño seguro, que incorporen características de seguridad. Al adoptar el enfoque Secure by Design, las empresas se centran en las personas, la infraestructura y el desarrollo de software para optimizar su infraestructura de seguridad. Si las empresas aplican este nuevo modelo, puede prevenir y mitigar futuros ciberataques.
____________________________
Par cristal taylorexperto jefe friki™ chez Vientos solares
Lea también:
Sobre el uso de la palabra “Zero” en el enfoque Zero Trust
De camino a la Confianza Cero
Zero Trust, un modelo de seguridad adaptado a la era del trabajo híbrido
¡Zero Trust no es un producto!
Encuesta: ¿Las consecuencias de SolarWinds en el enfoque de seguridad de las empresas?
[
