¿Qué es la capacitación sobre conciencia de seguridad y debe aplicarla en su espacio de trabajo?

Los informes de investigación sugieren que hasta el 90% de todas las violaciones de datos están de una forma u otra relacionadas con errores humanos. Es difícil decir cuán precisa es esta estimación, pero, habiendo cubierto bastantes incidentes de ciberseguridad hasta ahora, podemos decir con seguridad que en la mayoría de los casos, los datos se ven comprometidos no porque los piratas informáticos sean demasiado inteligentes, sino porque las personas responsables de asegurarlo no ha hecho lo suficiente. Las contraseñas débiles y otros errores de configuración son un hecho cotidiano, y las empresas no parecen estar especialmente seguras de cómo cambiar esto. Una vez más, señalar las razones por las cuales resolver el problema está resultando tan difícil está lejos de ser lo más fácil del mundo. Sin embargo, pocas personas están dispuestas a argumentar que la falta de conciencia no es parte del problema.

Los trabajadores simplemente no saben lo suficiente sobre el panorama de amenazas

Es fácil culpar a la imprudencia de la mayoría de los errores de ciberseguridad, y es justo decir que un número no insignificante de expertos lo hace con frecuencia. Sin embargo, consideramos que la mayoría de las veces, los errores son el resultado de una vieja ignorancia.

Los usuarios no protegen las cuentas confidenciales con contraseñas como "P @ ssword123!" porque quieren ver los datos caer en las manos equivocadas. Lo hacen porque no saben con qué facilidad los ataques modernos de fuerza bruta pueden descifrar tales contraseñas.

Ponen información confidencial en servidores mal protegidos no porque quieran ver a la compañía para la que trabajan en los titulares por todas las razones equivocadas, sino porque no son conscientes de la rapidez con que los cibercriminales pueden encontrar los datos vulnerables.

En resumen, si las personas saben qué tipo de peligro enfrentan, estarán mejor preparadas para protegerse de él.

¿Su empresa necesita un programa de capacitación sobre seguridad?

No se trata de si lo necesita. Se trata de qué tipo de entrenamiento necesita. Desafortunadamente, debido a que no hay dos organizaciones iguales, responder no es tan sencillo como podría esperarse. Si sus empleados procesan la mayoría de los datos en un entorno fuera de línea, por ejemplo, enseñarles acerca de la configuración adecuada del firewall de un servidor no les ayudará mucho.

Un buen programa de conciencia de seguridad depende de un amplio conocimiento de las herramientas y mecanismos con los que sus trabajadores hacen su trabajo. Tanto usted como un experto contratado deben tener en cuenta todos los detalles si realmente va a mejorar la seguridad de su organización. De hecho, esto implica una gran cantidad de tiempo y (potencialmente) dinero, pero los beneficios de este tipo de entrenamiento pueden superar ampliamente el desembolso. Sin embargo, antes de llegar a todo esto, debe enseñar a sus trabajadores algunas verdades fundamentales sobre la seguridad del siglo XXI tanto en el mundo real como en Internet.

Los fundamentos de la capacitación en concientización de seguridad

Un amplio programa de capacitación personalizado para satisfacer las necesidades de su empresa es la mejor manera de mejorar la seguridad de los datos.. Sin embargo, antes de hacerlo, debe asegurarse de que todos conozcan algunas amenazas universales que deben considerarse tanto en el hogar como en la oficina. Ahora los analizaremos y esperamos ayudar a sus trabajadores a mantenerse más seguros.

• Mala higiene de contraseña

• Hemos discutido ampliamente el problema de las contraseñas en estas páginas, y probablemente sea hora de que también lo hable con sus empleados. En lugar de apegarse a las posibilidades teóricas, intente darles ejemplos reales de amenazas como

relleno de credenciales

• y

pulverización de contraseñas

• ataques e intenta mostrarles cómo agregar "123!" al final de una simple palabra del diccionario no hará mucho para aumentar la fuerza de su contraseña. De manera crucial, muéstreles cómo las herramientas dedicadas de administración de contraseñas como el

Cyclonis Password Manager

• puede ayudarlos a generar, organizar y almacenar sus datos de inicio de sesión.

• • Ataques de phishing

El phishing es posiblemente el ciberataque más simple que existe. Por un lado, en la mayoría de los casos, utiliza el método más antiguo y conocido para la comunicación en línea (correo electrónico), y aunque los trucos de confianza que emplean los delincuentes a menudo son muy inteligentes, el trabajo técnico que se requiere para poner en marcha la máquina de estafa es no mucho. Estos, lo creas o no, son precisamente las razones por las que los ataques de phishing tienden a ser tan efectivos. Enviar una gran cantidad de correos electrónicos es barato, y encontrar un truco que engañe a los usuarios para que hagan clic en el enlace incorrecto o abran el archivo incorrecto no es nada difícil. Si sus trabajadores son conscientes de esto, es más probable que utilicen las herramientas que tienen a su disposición para protegerse.

• • Falta de autenticación de dos factores

Al habilitar la autenticación de dos factores (o 2FA), está poniendo otro obstáculo en el camino de los piratas informáticos. Significa que si quieren ingresar a su cuenta, necesitarán no solo su nombre de usuario y contraseña, sino también acceso a su correo electrónico, su teléfono o un token físico que tenga. Estos actúan como el segundo factor que limita la probabilidad de acceso no autorizado.

2FA no es a prueba de fallas. Lejos de ello , de hecho, pero sigue siendo la forma más fácil de agregar otra capa de seguridad, y sus trabajadores definitivamente deberían usarla siempre que sea posible.

• • Software obsoleto y vulnerable

Una vez más, es poco probable que explicar teóricamente los peligros que plantea el software antiguo tenga una tracción real con sus trabajadores. Por el contrario, si les muestra cómo los usuarios continúan infectando sus PC con malware debido a una vulnerabilidad de seguridad que debería haberse reparado hace dos años, es más probable que escuchen. La instalación oportuna de todos los parches de seguridad puede ahorrar muchos dolores de cabeza tanto para usuarios individuales como para organizaciones enteras. Es cierto que esto a veces puede causar problemas, especialmente si el software en uso es más complejo, pero no puede ser una excusa para dejar los sistemas vulnerables. Después de todo, una posible violación de datos no solo puede comprometer la información de las personas; También puede dañar masivamente la reputación de una organización.

• • La seguridad de los dispositivos personales.

Se podría argumentar que esto es más una cuestión de política que de capacitación, pero sin embargo, en los días de la cultura BYOD (Trae tu propio dispositivo), no podemos ignorarlo. Los investigadores han estado monitoreando las tendencias, y han llegado a la conclusión de que los trabajadores tienden a sentirse más cómodos cuando trabajan en sus propios teléfonos, computadoras portátiles o tabletas. Sin embargo, los expertos también han concluido que muchas personas no hacen lo suficiente para proteger sus datos porque piensan que no tienen nada que perder. Si va a dejar que sus empleados usen sus dispositivos personales para tareas relacionadas con el trabajo, debe asegurarse de que sean perfectamente conscientes de lo alto que está en juego. También debe hacer cumplir las reglas sobre qué se puede y qué no se puede realizar desde un dispositivo personal, y es posible que desee pensar en invertir en un sólido sistema de gestión de acceso a la identidad (IAM).

• • Seguridad física

Si sus empleados hacen la mayor parte de su trabajo con la ayuda de computadoras u otros dispositivos electrónicos, puede pensar que este elemento no es particularmente importante. Sin embargo, este no es el caso. Por supuesto, el acceso al edificio y la oficina en la que opera su empresa debe controlarse de cerca, pero hay otros factores menos obvios que deben tenerse en cuenta.

El año pasado, por ejemplo, la Agencia de Manejo de Emergencias de Hawai apareció en los titulares después de que un periodista fotografió accidentalmente una nota adhesiva que tenía una contraseña escrita. Incluso cuando los datos están en formato digital, pueden verse comprometidos en el mundo físico. En 2017, un empleado de Heathrow perdió una memoria USB que contenía "datos personales confidenciales". La unidad flash finalmente fue encontrada y devuelta, pero el aeropuerto más grande del Reino Unido terminó pagando una multa de alrededor de thousand 120 mil (alrededor de $ 150 mil al tipo de cambio actual).

Hay muchos otros ejemplos de datos que se ven comprometidos en el mundo real, por eso es importante enseñar a sus empleados que la seguridad de la información que coloca en un dispositivo de almacenamiento portátil es tan importante como la seguridad de los datos que carga en línea.

El resto del programa de capacitación debe estar dirigido a hacer que las tareas específicas de la empresa sean más seguras, y una vez más, debe centrarse más en ejemplos del mundo real en lugar de conocimientos teóricos. Sin embargo, antes de poder llegar a eso, deberá sentar las bases, y consideramos que la lista que ve arriba es un buen comienzo. Lo mejor de todo es que si sus trabajadores saben a qué se enfrentan, es más probable que establezcan sus propias reglas y límites y se adhieran a ellos. Esto, a su vez, hace que su trabajo sea mucho más fácil.