Un nuevo informe realizado por Kaspersky Lab y B2B International, llamado ‘Factor humano en la seguridad de TI: cómo los empleados hacen que las empresas sean vulnerables desde adentro’, evidenció que los empleados de 40% de las empresas en todo el mundo ocultan los incidentes de seguridad de TI, ya sea por vergüenza o por temor a ser disciplinados.
De acuerdo con Kaspersky, cada año, el 46% de estos incidentes son ocasionados por los propios empleados, motivo por el cual esta vulnerabilidad en las empresas debe ser atendida en muchos niveles, no solo por el departamento de seguridad de TI.
Desinformación y descuido, principal causa
La desinformación y el descuido de los empleados son una de las causas más comunes en un incidente de ciberseguridad, superado sólo por el malware. Mientras que el malware se vuelve cada vez más sofisticado, la realidad es que el factor humano puede representar un peligro aún mayor.
En particular, el descuido de los empleados es uno de los mayores defectos en la defensa de la ciberseguridad corporativa cuando se trata de ataques específicos. A pesar de que los hackers avanzados siempre pueden usar malware a la medida y técnicas de alta tecnología para planear un ataque, es probable que comiencen con la explotación del punto de entrada más fácil: las personas.
Según la investigación, uno de cada tres (28%) ataques dirigidos contra empresas durante el año pasado tenía como origen el phishing o la ingeniería social. «Por ejemplo, un contador descuidado podría abrir fácilmente un archivo malicioso disfrazado de factura de uno de los numerosos contratistas de una empresa. Esto podría paralizar toda la infraestructura de la organización y haría del contador un cómplice involuntario de los atacantes», comentaron expertos de Kaspersky.
Organizaciones no reciben ataques dirigidos todos los días, pero…
David Jacoby, investigador de seguridad en Kaspersky Lab, se refirió a la fragilidad que experimentan las empresas por la actuación de sus colaboradores. Para Jacoby, la capacitación del personal debe ser más rigurosa con el fin de evitar incidentes de seguridad.
«A menudo los cibercriminales usan a los empleados como un punto de acceso para entrar a la infraestructura corporativa. Correos electrónicos que contienen phishing, contraseñas débiles, llamadas falsas de asistencia técnica…lo hemos visto todo. Incluso una tarjeta flash común que se le ha caído a alguien en el estacionamiento de la oficina o cerca del escritorio de la secretaria puede poner en peligro a toda la red, lo único que se necesita es alguien que esté adentro, que no sepa nada o que no preste atención a la seguridad y ese dispositivo podría ser fácilmente conectado a la red donde podría causar estragos», enfatizó el vocero.
Este también explicó que aunque las organizaciones no reciben ataques dirigidos avanzados todos los días, el malware convencional sí ataca en masa. La investigación muestra que incluso en el caso del malware, los empleados no conscientes y descuidados a menudo están involucrados en el ataque, causando así infecciones de malware en el 53% de los casos.
El departamento de recursos humanos y la gerencia deberían involucrarse
Kaspersky opina que ocultar los incidentes en los que se ha involucrado el personal puede traer serias consecuencias, pues aumenta el daño causado de manera general. Incluso un evento que no se informa a tiempo podría indicar que hay una brecha mucho mayor y los equipos de seguridad necesitan identificar rápidamente las amenazas que enfrentan para elegir las tácticas de mitigación adecuadas.
Sin embargo, en la actualidad el personal prefiere poner a las organizaciones en riesgo antes que denunciar un problema porque temen el castigo o se avergüenzan de ser responsables de un error. «Algunas empresas han introducido normas estrictas e imponen una mayor responsabilidad a los empleados, en lugar de alentarlos a que simplemente estén alertas y cooperen. Esto significa que la ciberprotección no se limita al ámbito tecnológico, sino también a la cultura y formación de una organización. Ahí es donde la alta dirección y recursos humanos necesitan participar», explicaron los expertos.
De este modo, el problema de ocultar los incidentes debe comunicarse no sólo a los empleados, sino también a la dirección de la empresa y al departamento de recursos humanos. Si los empleados ocultan incidentes, debe haber una razón. «En algunos casos, las empresas introducen políticas estrictas pero poco claras, y ponen demasiada presión al personal al advertirles que no hagan esto o aquello, o serán responsables si algo sale mal. Tales políticas fomentan los temores y dejan a los empleados con una sola opción: evitar el castigo a como dé lugar. Si su cultura de ciberseguridad es positiva, basada en una estrategia educativa, en lugar de ser restrictiva, desde los puestos directivos hacia abajo, los resultados serán obvios», agregó Slava Borilin, gerente del Programa de Educación de Seguridad de Kaspersky Lab.
Primeras recomendaciones
Borilin también recordó un modelo de seguridad industrial en el cual «un método de informar y aprender por error es el núcleo del negocio». Por ejemplo, en una reciente declaración, Elon Musk de Tesla pidió que todos los incidentes que afectaban la seguridad de los trabajadores le fueran reportados directamente a él, de modo que pudiera desempeñar un papel central en el cambio.
El factor humano y el clima laboral
Kaspersky concluyó que las organizaciones de todo el mundo se están dando cuenta de que su propio personal puede hacer a sus empresas vulnerables: el 52% de las empresas encuestadas admite que el personal es la mayor debilidad de su seguridad informática. Y la necesidad de implementar medidas centradas en el personal es cada vez más evidente: el 35% de las empresas busca mejorar la seguridad a través de la capacitación del personal, lo que lo convierte en el segundo método entre los más populares de defensa cibernética, superada sólo por la instalación de software más avanzado (43%).
Así las cosas, la mejor manera de proteger a las organizaciones contra las amenazas cibernéticas relacionadas con el personal es combinar las herramientas adecuadas con las prácticas correctas. Esto debe involucrar los esfuerzos de recursos humanos y de la administración para motivar y alentar a los empleados a estar atentos, y a buscar ayuda en caso de algún incidente.
Como recomendaciones adicionales están: Entrenar al personal para su preparación respecto a la seguridad; proporcionarles directrices claras en lugar de documentos de muchas páginas; dotarlos de habilidades fuertes; y motivar y fomentar el ambiente de trabajo adecuado.
¿Y las tecnologías de seguridad?
En cuanto a las tecnologías de seguridad, la mayoría de las amenazas dirigidas a empleados no conscientes o descuidados (entre ellas el phishing) pueden ser tratadas con soluciones de seguridad en las terminales. Estas soluciones pueden abarcar las necesidades particulares tanto de pymes, como de grandes empresas, en términos de funcionalidad, protección preconfigurada o configuración de seguridad avanzada, para minimizar los riesgos.
Si desea leer el informe completo puede hacer clic aquí
Imagen: Pixabay
