¿Qué es la formación en concienciación sobre seguridad?
El galardonado ThreatDown MDR detiene las amenazas que otros pasan por alto
¿Qué es la concienciación en materia de seguridad y por qué es importante?
A medida que las organizaciones adoptan cada vez más la tecnología en la era de los entornos de trabajo híbridos y las plataformas de trabajo en la nube, los empleados se enfrentan a más amenazas de seguridad, como expediciones de phishing, compromiso del correo electrónico empresarial, ransomware y diferentestipos deataquesde malware.
No hay ninguna organización que sea inmune a los ataques en línea. Como se indica en el blog Malwarebytes de 2018, el año de la violación de datos, la lista de empresas hackeadas por ciberdelincuentes parece una lista de las empresas tecnológicas, minoristas y proveedores de servicios hoteleros más renombrados.
Sin embargo, muchas de estas empresas cuentan con los recursos necesarios para recuperarse de un ataque de ciberseguridad, a pesar del golpe que supone para su reputación, sus relaciones comerciales y sus recursos. Pero, ¿qué pasa con las pequeñas y medianas empresas?
Las noticias sobre el cierre definitivo de pequeñas y medianas empresas tras una filtración de datos, un ataque de ransomware o cualquier otro tipo de ataque online suelen ser titulares habituales. De hecho, tal y como se afirma en nuestraguía de protección contra el ransomware para pequeñas empresas, la mayoría de las pequeñas empresas cierran en los seis meses siguientes a un ciberataque.
No es de extrañar que una parte significativa de estos ataques se produzca debido a errores de los empleados. A menudo, a los autores de las amenazas les resulta más fácil manipular el comportamiento humano con un correo electrónicode phishingque recurrir a herramientas de piratería, ya que la mayoría de los empleados no están capacitados para gestionar los ataques. Además, con el auge de los chatbots con IA, los estafadores pueden diseñar correos electrónicos de phishing convincentes, incluso si la redacción no es su punto fuerte.
Una buena formación en materia de seguridad puede crear una primera barrera esencial de ciberseguridad en torno a su organización. En las organizaciones modernas, cada empleado en cada punto final es como una puerta de entrada a la empresa. La formación en materia de ciberseguridad, junto con herramientas como Endpoint Detection and Response , ayuda a mantener seguras estas puertas de entrada.
Lea esta guía detallada para obtener más información sobre:
- ¿Qué es la formación para la concienciación en materia de seguridad?
- Beneficios de la formación en sensibilización sobre seguridad.
- ¿Qué temas deben incluirse en la educación y formación en materia de seguridad?
¿Qué es la formación para la concienciación en materia de seguridad?
La formación en concienciación sobre seguridad es el proceso de educar a las personas sobre los diferentes tipos de amenazas de ciberseguridad que afectan a las cuentas, los dispositivos, los sistemas y las redes, y cómo gestionarlas. Las organizaciones invierten en formación en concienciación sobre seguridad para mitigar el riesgo deviolaciones de datos, robo de identidad, espionaje industrial, sabotaje y delitos financieros. La formación en concienciación sobre seguridad también ayuda a las empresas a cumplir con las leyes de privacidad.
Hay muchas formas diferentes de impartir formación en materia de seguridad, como seminarios a cargo de consultores de seguridad, cursos en línea, cuestionarios interactivos y simulaciones de ataques. Entre los profesionales de las organizaciones que se benefician de la formación en materia de seguridad se encuentran los empleados de nivel inicial, los departamentos de contabilidad y recursos humanos y los ejecutivos. Pero la formación en materia de seguridad también es beneficiosa para los empresarios individuales, los autónomos y cualquier otra persona que valore la privacidad en línea.
¿Por qué es importante la formación en materia de seguridad?
Entonces, ¿por qué es importante la formación en materia de seguridad? Todo se reduce a dos factores: el coste y los empleados. Según el informe«El coste de una violación de datos en 2022»de IBM, el coste medio de una violación de datos en Estados Unidos asciende a 9,44 millones de dólares. El coste medio mundial es de 4,35 millones de dólares. Dado que un número significativo de violaciones de datos se debe a errores humanos, la formación en concienciación sobre seguridad es una forma rentable de reforzar significativamente sus defensas y proteger la propiedad intelectual, la información de identificación personal, las contraseñas de las cuentas y otros datos confidenciales.
Además de enseñar a las personas cómo gestionar las amenazas en línea, la formación ayuda a desarrollar una cultura empresarial en la que los empleados asumen la responsabilidad de sus actos. La formación en seguridad reduce el riesgo de que las violaciones de la ciberseguridad afecten a la productividad, la reputación y las relaciones, y por lo tanto ayuda a mantener la moral y la cultura de la empresa.
Por último, la formación en materia de concienciación sobre seguridad puede ayudar a las organizaciones a cumplir con las normativas de privacidad. Leyes como la Ley de Portabilidad y Responsabilidad del Seguro Médico (HIPAA), la Ley de Protección de Información Personal y Documentos Electrónicos (PIPEDA) y el Reglamento General de Protección de Datos (RGPD) regulan la forma en que las organizaciones gestionan los datos.
Ventajas de la formación en materia de seguridad
- La alfabetización: La formación desarrolla una correcta cultura de la responsabilidad.
- Defensa: Con amenazas cada vez más variadas y sofisticadas, la formación en seguridad puede ayudar a prevenir las filtraciones de datos, los ataques de phishing y las infecciones por malware.
- Confianza: Es más probable que los empleados se sientan seguros gestionando correos electrónicos y dispositivos con formación en ciberseguridad. Es más probable que los socios comerciales y los clientes confíen en una organización que reduce su superficie de ataque invirtiendo en formación.
- Cumplimiento de la normativa: La formación en ciberseguridad ayuda a una organización a cumplir la normativa.
- Operaciones: Gracias a la formación sobre concienciación en materia de seguridad que mitiga el riesgo de un ataque, las organizaciones tienen menos tiempo de inactividad y pueden centrarse en la producción que genera ingresos.
- Ahorro de costes:invertir en formación en ciberseguridad puede ayudar a una organización a evitar costes futuros, como los de recuperación. Además, las organizaciones que se enfrentan a una escasez de personal cualificado en TI pueden reducir la presión sobre sus equipos de seguridad mediante la implantación de programas de concienciación sobre seguridad.
Cómo ejecutar con éxito un programa de formación de sensibilización que resuene y eduque
Formar a empleados que carecen de interés en la ciberseguridad y que ya tienen una carga de trabajo completa no es una tarea sencilla. Es fundamental diseñar un programa de formación en concienciación sobre seguridad que resulte atractivo para los empleados. A continuación se indican algunos pasos que pueden ayudar a ejecutar un programa de formación en seguridad eficaz:
Personalice el programa para que sea relevante para las funciones, responsabilidades y sectores de sus empleados. Por ejemplo, en lugar de un programa genérico para el personal hospitalario, fórmelos en situaciones que experimentan los profesionales sanitarios en la vida real.
- Asegúrese de que el programa sea atractivo e interactivo, incluyendo rompecabezas y cuestionarios.
- El material debe ser exhaustivo pero fácil de entender.
- Su programa debe encuestar a los empleados para medir su eficacia.
- Actualice el programa para que sea relevante. Por ejemplo, más que los virus, sus empleados deberían preocuparse por los ataques de phishing y el ransomware.
- Combínelo utilizando varios formatos, como seminarios web y sesiones presenciales.
- Asegúrese de que todos los escalones de su organización participan en la formación, desde los empleados de base hasta los altos ejecutivos.
- Realice pruebas para desafiar a los empleados, comprometerse con ellos e identificar los puntos débiles. Una simulación de prueba de phishing es una herramienta excelente para evaluar los conocimientos.
- La formación no termina después de una sesión. Los programas de concienciación deben ser variados, actualizados y continuos para mantener a su personal a punto.
- La formación sobre concienciación en materia de seguridad debería ser obligatoria en toda la organización. La formación obligatoria no solo garantiza que todo el mundo esté al día, sino que demuestra que su empresa se toma en serio la ciberseguridad.
Principales ámbitos de la formación en materia de concienciación sobre la seguridad: Temas de la formación de concienciación en materia de seguridad
Web
Existen varias amenazas en la web que pueden comprometer la seguridad, como sitios web inseguros, descargas infectadas y malware. Las organizaciones con políticasBYODpoco estrictas pueden ser más susceptibles a los elementos maliciosos de la web. Los empleados siempre deben proteger sus dispositivos con software antivirus y extensiones de seguridad para el navegador. También deben evitar los sitios web que:
- No tenga conexiones seguras a través de HTTPS.
- Falsificar URL para que parezcan legítimas.
- Muestran signos de estar comprometidos.
- Exigir innecesariamente información privada.
- Manipular a los visitantes con amenazas, advertencias u ofertas poco realistas.
- Lánzate desde enlaces no solicitados.
- Utilizar malvertising o drive-by downloads.
Los atacantes pueden enviar malware y mensajes fraudulentos a través del correo electrónico. También pueden utilizar una cuenta de correo electrónico comprometida para iniciar los siguientes tipos de ataques:
- ransomware
- Correo electrónico comercial comprometido (BEC)
- Spear-phishing
- Ballenera
- Y más
El personal debe recibir formación para detectar ataques de ingeniería social en los correos electrónicos. Deben aprender a manejar archivos adjuntos potencialmente maliciosos. Y deben saber cómo funcionan los ataques de suplantación de identidad por correo electrónico.
Phishing
El phishing es un vector de ataque muy utilizado contra las organizaciones. Los mensajes de phishing parecen legítimos pero son fraudulentos y están diseñados para inducir a las víctimas a cometer errores de ciberseguridad, como abrir un enlace no seguro o revelar la contraseña de una cuenta de la empresa. La formación en materia de seguridad, que incluye ejercicios de pruebas antiphishing, puede educar a los empleados sobre estos ataques.
Contraseñas y gestión de contraseñas
Dado que los piratas informáticos utilizan ataques de fuerza bruta para descifrar contraseñas débiles en cuestión de segundos, las organizaciones deben establecer políticas de contraseñas seguras como parte de la formación en ciberseguridad para los empleados. Todos los miembros de una organización deben aprender a crear una contraseña segura durante el programa de formación y concienciación sobre seguridad. También se les debe animar a cambiar las contraseñas con regularidad. Después de todo, incluso la contraseña más compleja es inútil si es robada. Por supuesto, un buen gestor de contraseñas puede ayudarles a mantener sus credenciales de acceso.
Amenazas internas
Una buena formación en materia de seguridad puede ayudar a defender a una organización frente a amenazas internas, como espías industriales, agentes patrocinados por el Estado, contratistas malintencionados o empleados que causan daños de forma involuntaria. Las amenazas internas pueden ser responsables deataques a la cadena de suministro, amenazas a la propiedad intelectual, violaciones de datos o ataques de malware.
Se puede enseñar a los miembros de una organización a identificar los signos de una amenaza interna, como actividades sospechosas, y cómo informar de la amenaza de forma segura y privada. Los equipos de seguridad deben recibir formación para limitar el acceso a datos y sistemas confidenciales y supervisar las redes en busca de actividades inusuales.
Ingeniería social
Los atacantes están utilizando la psicología para obtener información confidencial o acceder a los sistemas de las empresas. Sin embargo, se les puede detener con una formación en materia de seguridad que se centre en las tácticas comunesde ingeniería social.
A continuación se muestran algunos ejemplos:
- Phishing: correos electrónicos diseñados para obtener nombres de usuario, contraseñas y otra información confidencial.
- Spear-phishing: ataques de suplantación de identidad dirigidos a una persona concreta o a un grupo, como el servicio de contabilidad.
- Whaling: Ataques de phishing dirigidos a ejecutivos como los directores generales.
- Smishing: mensajes de phishing que utilizan SMS (Short Message Service) como vector de ataque.
- Vishing: llamadas telefónicas fraudulentas.
- Water holing:¿Qué es un ataque de watering hole? Es un sitio web comprometido por hackers para atacar objetivos específicos.
- Cebo: Ataques que atraen a las víctimas con una memoria USB o un enlace a una actualización de software.
- Seguimiento: Cuando los actores de amenazas obtienen acceso físico no autorizado a una organización siguiendo a una parte autorizada a través de una entrada segura.
- Pretextos: Estafas elaboradas en las que los atacantes crean escenarios ficticios para ganarse la confianza de la víctima.
- Trampa de miel: Un tipo de ataque de pretexto en el que un atacante finge ser un interés romántico.
Móvil
Los dispositivos móviles modernos ya no son simples máquinas que solo pueden hacer llamadas telefónicas o enviar mensajes de texto. Un smartphone es un dispositivo muy sofisticado que permite intercambiar correos electrónicos, navegar por Internet, hacer fotos, grabar sonido y descargar archivos.
Los actores maliciosos pueden utilizar el dispositivo móvil de un empleado de varias maneras para atacar a una organización. Por ejemplo, pueden piratearlo con spyware para robar secretos. Pueden espiar al usuario del dispositivo móvil a través de una red no segura. O pueden simplemente robar el dispositivo y realizar actividades maliciosas.
La formación en materia de ciberseguridad para los empleados con dispositivos móviles debe abarcar:
- Seguridad biométrica.
- PIN o códigos de acceso seguros.
- Cifrado de datos.
- Gestión de dispositivos perdidos o robados.
- Borrado a distancia.
- Reconocimiento de amenazas en dispositivos móviles.
- Peligros del WiFi público y otras redes no seguras.
- Notificación de incidentes.
Malware
Malware es un término genérico que se refiere al software malicioso y puede abarcar cualquier software amenazante, desde un virus hasta un troyano. Sin embargo, la mayoría de las personas utilizan los términos «virus» y «malware» indistintamente. Los virus son menos amenazantes que los tipos más sofisticados de malware, que pueden robar información confidencial o secuestrar sistemas.
Conocer los diferentes tipos de malware que utilizan los piratas informáticos para atacar a las organizaciones puede ayudar a los empleados a detectar amenazas, los síntomas de una infección y cómo gestionar unataque de malware, como ransomware, spyware, keylogger, gusanos o troyanos.
La formación en materia de seguridad también puede ayudar a las personas a conocer los vectores de infección de malware más comunes:
- Archivos ZIP.
- Archivos RAR.
- Documentos habilitados para macros.
- Archivos .EXE
Estas infecciones pueden propagarse a través de vectores de ataque como correos electrónicos maliciosos, sitios web, enlaces y memorias USB.
Conformidad
La formación debe abarcar la legislación en materia de seguridad. Por ejemplo, los empleados en Canadá deben conocer la LPRPDE, mientras que los empleados en Europa deben conocer el GDPR. Aprender sobre las leyes de cumplimiento locales puede ayudar al personal a comprender los puntos más sutiles de las leyes de privacidad y cómo manejar la IIP. Cumplir la normativa ayuda a las organizaciones a evitar cuantiosas multas, acciones civiles y daños a la reputación.
Datos
Además de ayudar a las organizaciones a cumplir las leyes de protección de datos, la formación en seguridad de datos puede evitar que se filtre información sensible sobre empleados, clientes y partes interesadas. Además de aprender sobre seguridad de contraseñas, malware e ingeniería social, los empleados deben aprender lo siguiente como parte de la formación sobre seguridad de datos:
- Leyes locales de cumplimiento.
- Seguridad de los dispositivos.
- Seguridad física.
- Seguridad de la red.
- Gestión de datos.
- Respuesta a incidentes.
- Notificación de incidentes.
- Clasificación de los datos.
- Destrucción segura de datos.
Privacidad
Los empleados también deben saber cómo identificar, gestionar y proteger la información confidencial. Además, deben recibir formación sobre el uso de herramientas de ciberseguridad que protejan la información privada frente a piratas informáticos y malware. Por ejemplo, el personal que trabaja a distancia debe evitar el uso de redes WiFi públicas o compartir datos a través de canales no seguros. Además, deben saber cómo utilizar una VPN (red privada virtual) corporativa.
Entonces,¿cómo funciona una VPN y por qué debe incluirse en la formación sobre seguridad para usuarios finales? En términos sencillos, una VPN es una tecnología que establece una conexión privada y segura a Internet. Cualquier dato transmitido desde un punto final, como el ordenador portátil de un trabajador remoto a una red corporativa, se cifra y resulta ilegible para un intruso.
CEO y fraude electrónico
Los ejecutivos, como los directores generales, los directores financieros y otros, nunca deben pasarse por alto en la formación sobre concienciación en materia de seguridad. Los objetivos de alto nivel pueden ser manipulados en el compromiso de correo electrónico de negocios, whaling, spear-phishing, vishing, smishing, y otros tipos de estafas. Los ejecutivos deben recibir formación para reconocer las amenazas y verificar las solicitudes confidenciales.
Medio ambiente
Con el foco puesto en las amenazas a la ciberseguridad, las organizaciones no deben olvidar las amenazas localizadas, como los empleados, el acceso no autorizado e incluso el baiting. Los equipos de seguridad deben estar capacitados para utilizar cámaras de CCTV y tarjetas de identificación con el fin de optimizar la seguridad. El control de acceso a los datos debe establecerse estrictamente en función de la necesidad de conocerlos.
Los empleados nunca deben abrir medios aleatorios, como CD, DVD o memorias USB, en los ordenadores de la empresa, ya que pueden contener malware. En los protocolos de formación en materia de seguridad debe establecerse una cadena de custodia clara para los documentos sensibles.
Herramientas y recursos de formación sobre concienciación en materia de seguridad
Existen varios tipos de herramientas y recursos de seguridad que una organización puede utilizar para la concienciación. Las medidas de bajo coste incluyen vídeos de formación, boletines y correos electrónicos. Las medidas más eficaces incluyen módulos, seminarios y simulaciones.