Una empresa puede invertir en firewalls, sistemas de detección, antivirus, copias de seguridad y controles de acceso y seguir teniendo un punto especialmente difícil de proteger: las personas que utilizan sus sistemas cada día.

Un correo aparentemente legítimo. Una contraseña reutilizada. Un archivo descargado sin comprobar su procedencia. Un acceso compartido. Información corporativa enviada a través de una herramienta no autorizada.

La seguridad tecnológica es imprescindible, pero no puede evitar por sí sola todas las decisiones que toman los usuarios.

Por eso, la formación en ciberseguridad para empleados debe formar parte de la estrategia de seguridad de cualquier organización que quiera reducir su exposición a incidentes.

Y no consiste únicamente en impartir un curso una vez al año.

¿Por qué los empleados forman parte de la estrategia de ciberseguridad?

Los empleados necesitan acceder a información, aplicaciones, correo electrónico, dispositivos y sistemas corporativos para realizar su trabajo.

Eso los convierte inevitablemente en parte del perímetro de seguridad de la organización.

Los ciberdelincuentes lo saben.

En lugar de intentar superar directamente las defensas técnicas de una empresa, determinados ataques buscan conseguir que sea una persona quien facilite involuntariamente el acceso.

El phishing y otras técnicas de ingeniería social explotan precisamente esta posibilidad: engañar al usuario para que revele información, introduzca sus credenciales, descargue un archivo o realice una acción que comprometa la seguridad.

Pero el riesgo humano no procede exclusivamente de ataques externos.

También puede aparecer por errores cotidianos, desconocimiento de las políticas internas o prácticas que los empleados no identifican como peligrosas.

Por eso la formación debe perseguir un objetivo muy concreto: conseguir que las personas sepan identificar situaciones de riesgo y conozcan cómo deben actuar ante ellas.

Los errores de ciberseguridad más habituales entre empleados

No todos los incidentes empiezan con una vulnerabilidad técnica sofisticada.

Algunas prácticas aparentemente pequeñas pueden aumentar considerablemente la exposición de una organización.

Contraseñas débiles o reutilizadas

Utilizar la misma contraseña en diferentes servicios puede provocar que una filtración externa termine comprometiendo también cuentas corporativas.

La formación debe acompañarse de medidas técnicas como políticas adecuadas de contraseñas y autenticación multifactor.

Phishing e ingeniería social

Los ataques de phishing han evolucionado mucho más allá del clásico correo mal escrito solicitando una contraseña.

Los atacantes pueden hacerse pasar por proveedores, responsables de la empresa, entidades financieras o servicios utilizados habitualmente por los empleados.

El objetivo puede ser obtener credenciales, instalar malware o incluso provocar una transferencia económica.

Compartir información mediante canales no autorizados

Servicios personales de almacenamiento, aplicaciones de mensajería, cuentas de correo privadas o herramientas no aprobadas pueden sacar información fuera del entorno controlado por la organización.

Aquí el problema no siempre es una mala intención. Muchas veces el empleado simplemente intenta resolver una necesidad de la forma más rápida posible.

Uso inadecuado de dispositivos corporativos

Instalar aplicaciones sin autorización, conectar dispositivos externos o almacenar información empresarial localmente puede introducir nuevos riesgos.

Por eso la formación debe estar respaldada por una adecuada gestión de dispositivos corporativos y políticas técnicas que reduzcan aquello que no debería depender exclusivamente de una decisión del usuario.

No comunicar un posible incidente

Un empleado puede detectar algo extraño y no saber si debe comunicarlo, a quién hacerlo o si realmente tiene importancia.

Cuanto más tarde se identifica y escala un incidente, más difícil puede resultar contenerlo.

Formación y concienciación en ciberseguridad: no son exactamente lo mismo

Aquí sí meteremos la keyword fea, pero donde tiene sentido.

La formación permite transmitir conocimientos y enseñar cómo actuar ante determinadas situaciones.

La concienciación en ciberseguridad busca algo más amplio: conseguir que la seguridad forme parte de los hábitos cotidianos de la organización.

Un empleado puede saber qué es el phishing después de realizar un curso y, aun así, bajar la guardia seis meses después.

Por eso una estrategia efectiva no debería limitarse a una sesión puntual.

Debe mantener la seguridad presente mediante formación periódica, recordatorios, procedimientos claros, simulaciones y actualización ante nuevas amenazas.

El objetivo no es convertir a todos los empleados en expertos en ciberseguridad.

Es conseguir que sepan reconocer aquello que debería hacerles desconfiar y qué hacer cuando ocurre.

¿Qué debería incluir una formación en ciberseguridad para empleados?

El contenido debe adaptarse al tipo de organización y a los riesgos a los que están expuestos sus usuarios.

Sin embargo, existen algunas áreas especialmente relevantes.

Phishing e ingeniería social

Cómo reconocer mensajes sospechosos, enlaces fraudulentos, solicitudes inusuales de información, suplantaciones de identidad y otras técnicas utilizadas para manipular al usuario.

Contraseñas y autenticación

Buenas prácticas para crear y gestionar credenciales, utilización de gestores de contraseñas cuando proceda y funcionamiento de mecanismos como la autenticación multifactor.

Uso seguro del correo electrónico

Identificación de archivos, enlaces y remitentes sospechosos, además de procedimientos para verificar solicitudes sensibles.

Protección de la información

Qué información puede compartirse, con quién, mediante qué canales y cómo debe almacenarse.

Dispositivos y trabajo remoto

Buenas prácticas para utilizar ordenadores y dispositivos móviles corporativos dentro y fuera de las instalaciones de la empresa.

Uso de aplicaciones y servicios cloud

Los empleados deben saber qué herramientas están autorizadas y comprender los riesgos de utilizar aplicaciones externas para almacenar o procesar información corporativa.

Respuesta ante incidentes

Una formación debería dejar clarísimo qué debe hacer una persona si cree que ha cometido un error o detecta una posible amenaza.

Ocultar un incidente por miedo a haber hecho algo mal es exactamente lo contrario de lo que necesita la organización.

El problema de formar sin establecer políticas de seguridad

Enseñar a los empleados qué deberían hacer sirve de poco si la propia empresa no ha establecido criterios claros.

• ¿Pueden utilizar dispositivos personales?
• ¿Dónde debe almacenarse la información?
• ¿Qué aplicaciones están autorizadas?
• ¿Cómo se conceden los accesos?
• ¿Qué ocurre cuando una persona abandona la empresa?
• ¿A quién debe comunicarse un posible incidente?

Estas decisiones deberían estar recogidas en una política de seguridad informática que establezca responsabilidades y procedimientos comunes.

La formación permite después trasladar esas políticas a las personas que deben aplicarlas.

La tecnología también debe reducir el riesgo humano

Hay otra idea importante: no podemos trasladar toda la responsabilidad de la ciberseguridad al empleado.

Si una organización depende exclusivamente de que cientos de personas nunca cometan un error, tiene un problema de diseño.

La tecnología debe limitar las consecuencias de esos errores mediante medidas como:

• autenticación multifactor;
• gestión de identidades y accesos;
• principio de mínimo privilegio;
• gestión centralizada de dispositivos;
• protección de endpoints;
• filtrado de correo;
• monitorización;
• políticas de uso;
• backup y recuperación.

La formación constituye una capa adicional dentro de esta estrategia, no un sustituto de las medidas técnicas.

¿Cómo crear un programa de formación en ciberseguridad?

No hace falta bombardear a los empleados con cursos técnicos.

Un programa eficaz debería ser comprensible, periódico y estar conectado con situaciones que realmente pueden encontrarse durante su trabajo.

1. Identificar los riesgos

No todos los usuarios están expuestos a las mismas amenazas.

Un equipo financiero, una persona con privilegios de administración o alguien que gestiona información sensible puede necesitar formación diferente a otros perfiles.

2. Establecer unas políticas claras

Antes de enseñar qué debe hacer el usuario, la organización debe decidir cuáles son sus reglas.

3. Formar sobre situaciones reales

Es más útil aprender a reconocer un correo fraudulento que memorizar definiciones sobre tipos de malware.

La formación debe utilizar ejemplos relacionados con el trabajo cotidiano.

4. Realizar simulaciones

Las simulaciones de phishing permiten comprobar cómo reaccionan los usuarios ante intentos de engaño controlados y detectar áreas donde es necesario reforzar la formación.

Su finalidad debería ser educativa, no señalar o castigar a quien comete un error.

5. Reforzar periódicamente

Las amenazas evolucionan y los conocimientos se olvidan.

Pequeñas acciones periódicas suelen tener más sentido que confiar toda la estrategia a una única formación anual.

6. Medir y mejorar

Resultados de simulaciones, incidentes comunicados, participación en formaciones o determinados comportamientos permiten evaluar la evolución y decidir dónde reforzar las acciones.

Formación en ciberseguridad e ISO 27001

La seguridad de la información no depende únicamente de controles tecnológicos.

Las organizaciones necesitan asegurarse también de que las personas conocen sus responsabilidades y disponen de la formación necesaria para desempeñarlas.

Por eso, dentro de un sistema de gestión de seguridad de la información, la formación y sensibilización de los empleados forma parte de las medidas necesarias para reducir riesgos y mantener una cultura de seguridad coherente con las políticas de la organización.

Para empresas que están preparando una certificación ISO 27001, trabajar esta dimensión humana debe integrarse con el resto de medidas técnicas y organizativas.

¿Quién debería responsabilizarse de la formación en ciberseguridad?

La formación puede involucrar a diferentes áreas de la empresa: IT, Recursos Humanos, responsables de seguridad o Dirección.

Pero debe existir alguien encargado de establecer la estrategia, determinar qué riesgos se quieren reducir y comprobar que las acciones realizadas responden a esos objetivos.

En organizaciones que no cuentan con un responsable interno especializado, un CISO as a Service puede asumir la dirección de la estrategia de seguridad, incluyendo la definición y seguimiento de las medidas relacionadas con empleados y cultura de seguridad.

La ciberseguridad también se construye con las personas

Una organización segura necesita tecnología, procesos y personas que sepan cómo actuar.

La formación en ciberseguridad no elimina el riesgo de error humano, pero puede reducir la probabilidad de determinados incidentes y, especialmente, mejorar la capacidad de los empleados para identificarlos y comunicarlos rápidamente.

La clave está en no tratarla como una acción aislada.

Políticas de seguridad, controles técnicos, gestión de dispositivos, monitorización, respuesta ante incidentes y formación deben formar parte de una misma estrategia de ciberseguridad.

En Digitartis ayudamos a las empresas a analizar sus riesgos y definir las medidas técnicas y organizativas necesarias para proteger su entorno tecnológico.

¿Quieres mejorar la estrategia de ciberseguridad de tu empresa? Habla con nuestro equipo.

Preguntas frecuentes sobre formación en ciberseguridad para empleados