El Factor Humano en la Ciberseguridad

Muchas veces se señala el “factor humano” como el eslabón más débil en la creación de entornos digitales seguros y protegidos, pero al mismo tiempo, es la misma intuición humana la que puede ser la solución para frustrar amenazas cibernéticas.

Partamos con el hecho de que cada software o sistema de monitoreo de seguridad, como Splunk, requieren la interpretación humana de las alertas; y justamente nuestros cerebros tienen la capacidad única de procesar esas múltiples entradas y “corazonadas” que pueden indicar que algo anda mal.

Así, lo primero que hacemos es buscar tecnología para mejorar nuestras capacidades en seguridad. Sin embargo, un mejor enfoque podría ser confiar en la naturaleza humana, adoptando normas y hábitos, y desarrollando una mentalidad de seguridad que utilice nuestra capacidad de razonamiento complejo.

Sí, Debes Tener la Mejor Tecnología

A menudo, las organizaciones que se sienten vulnerables no han aprovechado al máximo las herramientas que están a su disposición. Hicieron un esfuerzo inicial para proteger los sistemas y los datos, pero luego eligieron no actualizar el servidor ni eliminar la actualización crítica de Windows.

Más aún, muchas veces escuchamos que TI no tiene suficiente personal,  que hoy estuvieron muy ocupados, o que alguien del equipo tomó una llamada urgente y olvidó una tarea importante.

No hay ambigüedad al respecto. La tecnología te va a proteger siempre que mantengas los sistemas actualizados, todos los componentes incluidos en el diseño y los recursos humanos requeridos. 

Lo Complejo es el Enemigo del Cumplimiento

Las personas son criaturas de hábitos que buscan atajos y eficiencias. Si escribes un proceso de 5 pasos para iniciar sesión en un sistema más seguro, al menos una persona te enviará un correo electrónico explicando cómo encontraron un acceso directo. Y habrá muchos que se quejen de tener que esperar 4 segundos mientras se verifica su inicio de sesión.

¿Podemos hacer eso más fácil? ¿Podemos usar una herramienta como la autenticación multifactor por ejemplo? ¿Podemos eliminar las partes irritantes de la ciberseguridad? Sí, las soluciones pueden costar más, pero el beneficio es el cumplimiento. Lo que no debe ocurrir es crear un sistema en el que el personal anote contraseñas semanales en notas adhesivas.

Por lo tanto, un buen ejercicio para diseñar un sistema seguro y simple es pensar como un colaborador ocupado, un ejecutivo apurado y un ingeniero distraído, eliminando la complejidad de las rutinas.

Intercambia Algo de Eficiencia por una Mejor Seguridad

Las medidas de ciberseguridad tardan en funcionar, pero los cerebros humanos procesan más rápido. Podríamos aceptar que implementar un programa de ciberseguridad y mantener la higiene asociada, como el escaneo básico de los correos electrónicos o el escaneo de enlaces, agrega una capa de ineficiencia.  Y así lo verán muchos colaboradores, dado que los teléfonos inteligentes, las aplicaciones de productividad y las velocidades de conexión rápidas han establecido la expectativa de acceso instantáneo.

Superar esto requiere paciencia, educación y un valor cultural de reducir la velocidad para aumentar la seguridad.

Elimina las Amenazas Desde el Interior

Mientras tengamos personas en nuestras organizaciones, debemos pensar en las amenazas internas. Es inevitable que los errores e ineficiencias humanas se manifiesten en el trabajo.

Hay dos soluciones para esto. Lo primero es usar la tecnología para privilegiar la información y compartimentar el acceso. En pocas palabras, cada sistema al que se accede debe ser monitoreado. Establecer esta política y aplicarla estrictamente evita la ambigüedad y elimina la tentación.  Además, hay que compartimentar el acceso, de modo que cualquier individuo solo pueda acceder a una cantidad limitada de recursos (incluidos los líderes) y configurar el monitoreo automático.

La segunda solución tiene que ver con el liderazgo y el uso de la intuición humana. Es posible que se deba ajustar este proceso según el tamaño de la organización. Pero la esencia es que una vez al mes, el jefe de recursos humanos, el jefe de TI, el jefe de operaciones y el director ejecutivo se reunan para una revisión de seguridad de los colaboradores. Y si bien, individualmente es posible que estos líderes no puedan juntar esas piezas, el razonamiento colectivo pueda entregar señales de advertencia.

Educación Continua, Pruebas Continuas

Los hackers conocen la naturaleza humana y muchas veces se aprovechan de eso. Cada vez más vemos técnicas sofisticadas, como usar las redes sociales para desarrollar algo que interese a su objetivo o que haga que bajen sus defensas.

Los hackers están evolucionando, por lo que tu programa de capacitación en seguridad tiene que evolucionar. Por ejemplo, incorporando una actualización continua sobre nuevas amenazas, recordar a las personas que podrían ser atacadas, y llevar a casa el convencimiento de no confiar en nada.

Las pruebas también son parte de la educación. Envía correos electrónicos falsos, realiza ejercicios de piratería, realiza juegos de guerra que simulen una situación de ataque o rescate. Cuando los colaboradores cometan un error, son momentos de aprendizaje para reducir la velocidad y reevaluar su instinto.

Superar la Naturaleza Humana con una Mentalidad de Cerrar la Puerta

Tomemos un ejemplo típico que todos intuimos que es cierto. Si dejamos un auto estacionado con las ventanas y puertas cerradas y con nada valioso a la vista, es menos probable que sea robado.  El ladrón seguirá adelante buscando algo más fácil.

Lo mismo ocurre con la ciberseguridad: la mayoría de las amenazas buscan una oportunidad fácil para apoderarse de lo que pueden. Por eso es tan importante aplicar una mentalidad de “cerrar las puertas”, implementando controles de ciberseguridad de manera consistente.

Adicionalmente, deberías aplicar varias capas de defensa. Implementa firewalls, detección de intrusos, filtrado de Internet, proxy DNS y software antivirus. Mueve datos a copias de seguridad seguras, usa encriptación, y utiliza la autenticación multifactor.

¿Te interesa conocer más sobre cómo puedes mejorar la seguridad dentro de tu organización? Puedes contactarnos a [email protected] y agendar una reunión, ¡te esperamos!