No permitas que tu equipo sea la mayor vulnerabilidad

Muchas empresas cuentan con una estrategia de ciberseguridad reactiva, que interviene cuando ya se ha producido el ataque o implementan una estrategia de seguridad y se olvidan. Es fundamental que las empresas se conciencien de que la seguridad es un proceso, no algo estático, por lo que observar y estar alerta es obligatorio. Predecir, prevenir, detectar y responder son las cuatro necesidades que todas las empresas deben ser capaces de cubrir para estar a salvo del cibercrimen.

Las empresas necesitan una combinación de tecnología, inteligencia y experiencia; y han de ver la seguridad como un proceso en continua evolución, no como un estado o un producto. Son muchas las vulnerabilidades, las brechas por las que puede adentrarse el cibercrimen, pero lo cierto es que uno de los principales problemas está en los empleados, que suelen ocultar los incidentes de seguridad en el 40% de las empresas españolas, tal y como se desprende del informe elaborado por Kaspersky Lab y B2B International: “El factor humano en la seguridad TI: los empleados hacen vulnerables a las empresas” que se la llevado a cabo este año. Con un 46% de los incidentes de seguridad TI causados anualmente por los empleados, esta vulnerabilidad empresarial debe ser trabajada en muchos niveles, no sólo por el departamento de seguridad TI.

Cerrar la puerta al cibercrimen

Empleados poco cuidadosos o desinformados son una de las principales causas que existen tras los incidentes de ciberseguridad. Mientras que el malware es cada vez más sofisticado, la realidad es que el factor humano puede suponer un peligro cada vez mayor.

En concreto, los empleados descuidados son una de las principales brechas en la armadura de la ciberseguridad corporativa en lo referente a ataques dirigidos. Mientras que los cibercriminales más expertos pueden utilizar un malware hecho a medida y unas técnicas de alta tecnología para planear un atraco, al final suelen aprovechar el punto de acceso más sencillo: la naturaleza humana.

Uno de cada tres (29,6%) ataques dirigidos contra las empresas en España durante el año pasado utilizó el phishing/ingeniería social como base. Por ejemplo, un administrativo descuidado puede abrir fácilmente un archivo malicioso simulando ser una factura de alguno de los numerosos proveedores. Este incidente puede afectar la infraestructura de una organización, haciendo que el contable llegue a ser cómplice de los ciberdelincuentes sin saberlo.

Los cibercriminales suelen utilizar a los empleados como punto de acceso a la infraestructura corporativa. Correos phishing, contraseñas débiles, llamadas falsas de soporte técnico… hemos llegado a ver de todo. Incluso una tarjeta flash olvidada o caída en el suelo del garaje o cerca de la mesa de alguien, puede llegar a comprometer a toda la empresa. Lo único que se necesita es que alguien no sea consciente de ello o no preste atención a la seguridad, y un dispositivo que pueda conectarse fácilmente a la red donde pueda causar estragos.

Los ataques sofisticados a empresas no suceden todos los días, pero el malware convencional sí. Desafortunadamente, los empleados descuidados siguen jugando un papel importante y causando infecciones de malware en el 46% de los incidentes en España.

¿Quién se responsabiliza de este problema?

Que los empleados oculten aquellos incidentes en los que se han visto involucrados puede derivar en consecuencias dramáticas y que el daño causado sea mayor. Incluso, un evento no informado puede ser la punta del iceberg de una brecha todavía mayor, y los equipos de seguridad necesitan ser capaces de identificar rápidamente las amenazas a las que se enfrentan para tomar las medidas oportunas.

Los trabajadores suelen poner a las organizaciones en peligro al no informar de un problema porque suelen tener miedo del castigo o se avergüenzan si son responsables de algo que no ha ido bien. Algunas empresas han introducido reglas estrictas e impuesto responsabilidades adicionales sobre los empleados, que no sólo son sobre tecnología, sino también en la cultura y formación de la organización. Y es ahí donde RRHH y la alta dirección necesitan involucrarse.

El problema derivado de ocultar incidentes debe transmitirse no sólo a los empleados, sino también a la alta dirección y al departamento de recursos humanos. Si los empleados ocultan esos incidentes debe haber un porqué. En algunos casos, las empresas cuentan con unas políticas muy estrictas, pero poco claras, que ponen una gran presión sobre los empleados, indicándoles que no deben o pueden hacer esto o aquello, y que serán responsables de si algo sale mal. Este tipo de políticas suelen crear gran ansiedad y dejar a los empleados ante una única posibilidad, la de evitar la penalización. Si su cultura de ciberseguridad es positiva, basada en un enfoque educativo en lugar de restrictivo, desde la cima a la base, los resultados serán evidentes.

Cómo evitar ser vulnerables

Empresas y organizaciones de todo el mundo se están dando cuenta del problema que puede llegar a suponer que los empleados las hagan vulnerables. La necesidad de implementar medidas dirigidas al personal es cada vez más evidente: el 22% de las empresas en nuestro país están analizando cómo mejorar la seguridad mediante la formación, haciendo que este sea el tercer método de ciberdefensa más popular, después de la implementación de un software más sofisticado (40%) y la incorporación de más personal de seguridad TI (31.6%)

La mejor manera de proteger a las organizaciones frente a las ciberamenazas relacionadas con las personas es combinar las herramientas con prácticas adecuadas. Se debe involucrar a RRHH y a la alta dirección para motivar y animar a los empleados a que sean diligentes y soliciten ayuda en el caso de incidentes. La formación sobre seguridad a los empleados, aportando unas claras instrucciones en lugar de unos documentos voluminosos, la construcción de habilidades y la motivación junto con la creación de la atmósfera adecuada, son los primeros pasos que toda organización debe dar.

Alfonso Ramírez, Director General de Kaspersky España y Portugal