El modelo de seguridad centrado en las personas llega a las personas dondequiera que estén

Sea honesto: si tuviera que cumplir una fecha límite importante, ¿eludiría conscientemente las normas de seguridad de su empresa para realizar el trabajo? Si respondiste que sí, tienes mucha compañía. Según los Drivers of Secure Behavior de Gartner. Encuesta de opiniónEl 93% de los empleados que se comportan de forma insegura lo hacen de forma consciente.

¿Por qué los empleados hacen esto cuando hay tanto conocimiento público sobre las consecuencias de eludir las políticas de seguridad? Generalmente es porque es el camino de menor resistencia.

“En la mayoría de las empresas, probablemente tengas que autentificarte no sólo con una contraseña, sino también con Autenticación multifactor. «Aunque es mucho más seguro que las contraseñas por sí solas, es algo más que los empleados deben hacer», explica Chris Mixter, analista vicepresidente de Gartner. Hay muchos puntos de fricción en el cumplimiento, por lo que encuentran formas de solucionar el problema.

El impacto de la fricción da importancia a una nueva forma de abordar el problema de la ciberseguridad: poniendo a las personas directamente en el centro.

Los múltiples caminos hacia una seguridad centrada en el ser humano

La seguridad centrada en las personas tiene en cuenta en todo momento los comportamientos, las necesidades y las limitaciones de las personas, no sólo en el plan de respuesta a incidentes, sino también en la vida cotidiana cuando surgen problemas. Esto significa políticas legibles que reduzcan la fricción en tantos lugares como sea posible, reduzcan la complejidad de los procesos relacionados con la seguridad, utilicen refuerzo positivo en lugar de castigo y ayuden a los empleados cuando lo necesiten sin juzgarlos.

Gartner predijo que la mitad de los CISO harán esto para 2027 adoptar Seguridad centrada en el ser humano para reducir la fricción operativa en ciberseguridad. Y para 2030, predice Gartner, el 80% de las organizaciones tendrán un programa de gestión de riesgos humanos formalmente definido y dotado de personal, frente al 20% en 2022.

Poner a las personas en primer lugar es el enfoque que Random Timer, una empresa que crea una aplicación de productividad del mismo nombre, utiliza con sus empleados. Tradicionalmente, la seguridad ha estado fuertemente impulsada por la tecnología y las políticas sin una consideración adecuada del aspecto humano. Esto puede resultar limitante y frustrante para los usuarios finales, explica el fundador de la empresa, Matthew Anderson.

“Por eso intentamos adoptar un enfoque centrado en el ser humano. Por ejemplo, cuando introdujimos un nuevo sistema de autenticación de dos factores, pasamos mucho tiempo hablando con los empleados sobre lo que les gustaba y lo que no les gustaba de nuestro antiguo sistema». Utilizamos estos comentarios para seleccionar una solución que abordara sus mayores problemas. preocupaciones en torno a la comodidad y la usabilidad”, dice.

La fricción es, con diferencia, el mayor enemigo de la seguridad de los empleados. Y está muy extendido: un informe reciente de Gartner encontró que más de uno de cada tres empleados dice que el cumplimiento de los controles y políticas de ciberseguridad les resulta difícil, inapropiado para su función e inconsistente con sus objetivos laborales.

El uso de enfoques tecnológicos ayuda a reducir las pérdidas por fricción, pero no es suficiente. Por ejemplo, implementar la seguridad del navegador y sin contraseña El acceso son buenos pasos porque el usuario ni siquiera tiene que pensar en ello. Pero muchas empresas todavía no están adoptando estas tecnologías, e incluso cuando lo hacen, no siempre funcionan bien con la tecnología de décadas de antigüedad en la que los empleados todavía confían para hacer su trabajo.

Estas tecnologías todavía causan fricciones a su manera. Por ejemplo, el navegador seguro puede bloquear muchas cosas malas, pero el equipo de seguridad tiene que «permitirlo» todo. Esto significa que cuando un usuario quiere visitar un nuevo sitio web, debe comunicarse con seguridad para agregarlo a la “lista de permitidos”.

Sin embargo, existen opciones basadas en tecnología que pueden ayudar. Uno de ellos es la pantalla emergente basada en señales de comportamiento.

“Si envío un correo electrónico a alguien a quien nunca antes le había enviado un correo electrónico, el sistema podría configurarse para enviarme una alerta similar a una luz de verificación del motor moderna, que sirve como advertencia de un posible cambio de comportamiento. “dice Matthew Miller, jefe de servicios de ciberseguridad de KPMG. «Se trata de incorporar la tecnología desde una perspectiva conductual en lugar de una perspectiva de cumplimiento, y no se trata de amonestar al usuario».

Entiende a tus usuarios

También es importante comprender a los usuarios, añade Anderson. Esto significa hablar directamente con los usuarios a través de entrevistas, observaciones y encuestas. Luego puede utilizar estos comentarios para crear prototipos y lanzar productos mínimos viables para recopilar aún más comentarios y perfeccionar la experiencia del usuario. Incluso sugiere recurrir a expertos en usabilidad para defender a los empleados.

Miller está de acuerdo en que comprender el comportamiento y la motivación del usuario es fundamental. Pone como ejemplo: Cuando él trabajaba en un banco (cuando la nube todavía era un concepto nuevo), varios miles de becarios trabajaban allí cada verano. A muchos de ellos se les asignaron proyectos que utilizaban datos, análisis de datos y nubes de palabras. Por lo tanto, para proteger los datos de la empresa, ésta bloqueó muchos sitios web que les habrían permitido cargar públicamente sus resultados.

Su equipo descubrió que uno de los pasantes había subido archivos a la nube. «Cuando se le preguntó por qué y cómo lo hizo y que no estaba en problemas, dijo que después de encontrar un sitio bloqueado tras otro, finalmente encontró uno que no estaba bloqueado, por lo que se fue. Supone que debe ser porque » Utilice un sitio web aprobado para cargar datos”, explica Miller.

Algunas empresas llevan la comprensión de la experiencia del usuario al extremo, pero obtienen resultados. Por ejemplo, Santander, el banco más grande de España, ha enseñado a sus empleados de ciberseguridad los principios de la experiencia del usuario, que normalmente es dominio de los desarrolladores y empleados de primera línea. Ahora, si un empleado dice “no puedo” o viola las políticas, el personal de ciberseguridad puede hacer preguntas sobre la experiencia del usuario. En lugar de preguntar por qué hizo algo, podría preguntar con qué frecuencia tiene que hacerlo, si es difícil hacerlo, etc., si la tarea es esencial para su flujo de trabajo. Con esta información, el equipo de ciberseguridad podrá modificar el proceso o eliminarlo del flujo de trabajo si no es esencial.

Por supuesto que siempre hay uno Capacitación Componente, pero pensar diferente en entrenar es clave centrado en el ser humano Forma de pensar. Esto significa adaptar la formación a los roles individuales.

“Los diferentes tipos de empleados interactúan con la tecnología, los clientes y los datos de diferentes maneras, por lo que hay que ser muy específico para ayudar a las personas a desarrollar las habilidades que necesitan y establecer los comportamientos que luego ayuden a gestionar el riesgo”, dice Miller.

Construya una cultura del «sí».

Si espera que sus empleados actúen de forma más segura, es importante que nunca diga «no». Si haces eso, simplemente encontrarán una manera de eludir el sistema, dice Mixter.

Johnson & Johnson, por ejemplo, convirtió todas las actividades prohibidas de su política de uso negativo en una revisión de autoservicio positiva. Según las respuestas de los empleados, el sistema automatizado les dirige hacia una solución alternativa segura. Si el sistema detecta que un empleado está haciendo algo nuevo, puede enviar un video de capacitación como respuesta. Si las respuestas indican que un empleado tiene la intención de hacer un uso indebido de datos de propiedad exclusiva, se le puede enviar un correo electrónico al empleado. datos sintéticos Repositorio basado en conjuntos de datos reales pero que no contiene datos de propiedad reales.

Las empresas que realmente solicitan comentarios a menudo obtienen mejores resultados, añade Mixter. SRI, una empresa de tecnología con sede en California, incluye campos de comentarios en sus políticas. Eso dio sus frutos al reconocer que las políticas cibernéticas no son tan legibles para quienes están fuera del campo cibernético, lo que, según la compañía, ha llevado a cambios positivos.

Al final, todo se reduce al típico triángulo de personas/proceso/tecnología, donde las personas son el centro de atención.

«La tecnología proporciona la base, pero los procesos y la filosofía impulsan el éxito», dice Anderson. «Básicamente, se requiere una cultura que adopte el diseño centrado en el usuario, no sólo las nuevas herramientas tecnológicas».