Cinco formas de gestionar la amenaza cibernética para ejecutivos

Seguridad corporativa

No practicar lo que predicas, especialmente si eres un blanco atractivo para los malos actores, crea una situación plagada de riesgos importantes.

30 de noviembre de 2023
•
,
5 minutos. leer

Cuando se trata de ciberseguridad corporativa, es importante predicar con el ejemplo. Sí, es importante que cada empleado haga su parte. Seguridad por cultura de diseño. Pero sus pistas suelen venir de arriba. Si la junta directiva y la alta dirección no pueden tomarse el tiempo para aprender ciberhigiene básica, ¿por qué debería hacerlo el resto de la empresa?

Para empeorar las cosas, los propios ejecutivos son un objetivo de alto valor para los actores de amenazas porque tienen acceso a información confidencial y el poder de aprobar grandes transferencias de dinero. Entonces, si no practican lo que predican, podría resultar en un daño financiero y de reputación significativo.

En realidad, un nuevo informe de Ivanti revela una importante “brecha de comportamiento” en materia de ciberseguridad entre lo que los líderes dicen y lo que hacen. El cierre debería ser un asunto urgente para todas las organizaciones.

La brecha de comportamiento

El informe en sí es de naturaleza global y se basa en entrevistas con más de 6.500 ejecutivos, expertos en ciberseguridad y trabajadores de oficina en Europa, Estados Unidos, China, Japón y Australia. Entre otras cosas, muestra una enorme desconexión entre lo que dicen los líderes empresariales y lo que realmente hacen. Por ejemplo:

• Casi todos (96%) dicen que “al menos apoyan o invierten moderadamente en la misión de ciberseguridad de su organización”.
• El 78% dice que la organización proporciona algo. entrenamiento de seguridad obligatorio
• El 88% dice: «Están dispuestos a detectar e informar amenazas como malware y phishing».

Hasta ahora, todo bien. Pero lamentablemente esa no es toda la historia. De hecho, muchos líderes empresariales también dicen:

• Han solicitado saltarse una o más medidas de seguridad en el último año (49%)
• Utilice contraseñas fáciles de recordar (77%)
• Haga clic en Enlaces de phishing (35%)
• Utilice contraseñas predeterminadas para aplicaciones laborales (24%).

El comportamiento directivo a menudo está muy por debajo de las prácticas de seguridad aceptables. Esto también es notable en comparación con los empleados regulares. Sólo el 14% de los empleados dice que utiliza contraseñas predeterminadas, en comparación con el 24% de los directivos. Según el informe, este último grupo tiene tres veces más probabilidades de compartir dispositivos de trabajo con usuarios no autorizados. Además, los ejecutivos tienen el doble de probabilidades de describir una interacción previa con la seguridad de TI como «inconveniente» y tienen el doble de probabilidades de no «sentirse seguros» cuando informan errores como hacer clic en enlaces de phishing.

Pasos para mitigar la amenaza de la alta dirección

Esto es importante debido a los derechos de acceso que suelen tener los altos directivos de una organización. La combinación de malas prácticas de seguridad y el “excepcionalismo ejecutivo” –que lleva a muchos a pedir soluciones que se les negarían a los empleados regulares– los convierte en un objetivo atractivo. Según el informe, el 47% de los ejecutivos fueron un objetivo conocido de phishing el año pasado, en comparación con el 33% de los trabajadores de oficina habituales. y 35% hizo clic en un enlace malicioso o enviaron dinero, en comparación con sólo el 8% de los empleados.

Los expertos en seguridad suelen hablar de la necesidad de uno Seguridad por diseño o una cultura centrada en la seguridad donde la conciencia de las mejores prácticas y la ciberhigiene impregna a toda la organización. Esto es casi imposible de lograr si la alta dirección no encarna los mismos valores. Entonces, ¿qué pueden hacer las empresas para mitigar los riesgos cibernéticos creados por sus líderes?

1. Realizar una auditoría interna de la actividad de liderazgo durante el año pasado. Esto puede incluir actividad en Internet, comportamientos potencialmente riesgosos, como clics de phishing bloqueados e interacciones con administradores de seguridad o de TI. ¿Hay algún patrón notable, como una toma excesiva de riesgos o falta de comunicación? ¿Cuáles son las lecciones aprendidas?

   El objetivo principal de este ejercicio es comprender qué tan grande es la brecha en el comportamiento del liderazgo y cómo se manifiesta en su empresa. Incluso puede ser necesaria una auditoría externa para obtener una perspectiva de un tercero sobre las cosas.

2. Aborde primero la fruta madura. Esto se refiere a los tipos más comunes de malas prácticas de seguridad que son más fáciles de solucionar. Esto podría significar actualizar las políticas de acceso para requerir autenticación de dos factores (2FA) para todos, o implementar una política de clasificación y protección de datos que haga que ciertos materiales sean inaccesibles para ciertos ejecutivos. Tan importante como actualizar las políticas es comunicarlas periódicamente y explicar por qué fueron escritas para evitar confrontaciones con la gerencia.

   La atención durante este proceso debe centrarse en establecer controles que sean lo más discretos posible, como por ejemplo: B. detección, clasificación y protección automática de datos. Esto ayudará a encontrar el equilibrio adecuado entre seguridad y productividad del administrador.

3. Ayude a los líderes empresariales a comprender la conexión entre las deficiencias de seguridad y los riesgos comerciales. Una forma de lograrlo es realizar capacitación que utilice técnicas de gamificación y escenarios del mundo real para ayudar a los líderes a comprender el impacto de una mala higiene cibernética. Por ejemplo, podría explicar cómo un enlace de phishing condujo a una infracción contra un competidor importante. O como un Ataque de compromiso de correo electrónico empresarial engañó a un gerente para que transfiriera millones de dólares a estafadores.

   Dichos ejercicios deberían centrarse no sólo en lo sucedido y en las lecciones que se pueden aprender desde una perspectiva operativa, sino también en los impactos humanos, financieros y de reputación. Sería especialmente interesante para los directivos saber cómo algunos incidentes graves de seguridad han afectado a sus compañeros. ser expulsado sus roles.

4. Trabajar para generar confianza mutua con el liderazgo. Esto sacará a algunos líderes de seguridad y TI de su zona de confort. Como dice el informe, debería significar “honestidad y apoyo amistoso” en lugar del “juicio o condescendencia” que a menudo sigue cuando un empleado comete un error.

   La atención debería centrarse en aprender de los errores y no en señalar a individuos. Sí, deben comprender las consecuencias de sus acciones, pero siempre en el contexto de la mejora y el aprendizaje continuo.

5. Considere un programa de ciberseguridad de guante blanco para ejecutivos. Los gerentes son más propensos que los empleados regulares a decir que sus interacciones con la seguridad son desagradables. Su higiene cibernética es peor y son un objetivo mayor para los actores de amenazas. Todas estas son buenas razones para prestar especial atención a este grupo relativamente pequeño de altos dirigentes.

   Considere un punto de contacto designado para la interacción con los ejecutivos, así como procesos de capacitación y de incorporación y baja específicamente diseñados. El objetivo es generar confianza y mejores prácticas y reducir las barreras para informar incidentes de seguridad.

Muchos de estos pasos requieren un cambio cultural, que por supuesto lleva tiempo. Pero si es honesto con los gerentes, implementa los procesos y controles correctos y los educa sobre las consecuencias de una mala higiene cibernética, tiene grandes posibilidades de éxito. La seguridad es un deporte de equipo, pero debería empezar por el capitán.

ANTES DE QUE TE VAYAS: 6 pasos para atraer a la junta directiva a su programa de ciberseguridad