El Mes de Concientización sobre la Ciberseguridad necesita una revisión radical: necesita leyes

Seguridad digital

A pesar de sus beneficios, las campañas de concientización por sí solas no son suficientes para promover la adopción generalizada de las mejores prácticas de ciberseguridad.

01 de octubre de 2024
•
,
3 minutos de lectura

A medida que comienza octubre, es probable que los gobiernos, las organizaciones sin fines de lucro, los proveedores de ciberseguridad y muchas empresas con equipos de responsabilidad social corporativa se estén preparando para publicar algunos consejos útiles para mantenerse seguro en línea. sin siquiera mirar tema oficial de la edición de este año de la campañaLa semana pasada le recité el consejo habitual a un colega: úselo contraseñas seguras y únicasactivar Autenticación multifactor (MFA) y Evite hacer clic en enlaces de phishing – y de hecho he cubierto casi todos los puntos principales del tema oficial de este año “Asegurar nuestro mundo”.

Dada la abundancia de consejos bien intencionados que circulan cada mes de octubre, uno podría pensar que esto debería ser suficiente para ayudar a crear un ciberespacio seguro y protegido. ¿Pero lo es realmente? ¿Ha sido eficaz este consejo para lograr un cambio de comportamiento significativo y ayudar a abordar los crecientes riesgos de seguridad de hoy y de mañana? Quizás haya llegado el momento de examinar críticamente el enfoque actual y admitir que el asesoramiento por sí solo no es suficiente.

Más allá de consejos y trucos

Después de una década de promover las mismas directrices (el propio Mes de la Concientización sobre la Ciberseguridad está celebrando su 21º aniversario).^calle aniversario este año), es hora de que la industria reconsidere radicalmente y vaya más allá de lo que se dice para legislar y hacer cumplir mejores prácticas de ciberseguridad, especialmente cuando se trata de información de identificación personal (PII) u otros datos valiosos. Normalmente no soy partidario de resolver problemas mediante legislación y regulación, pero la realidad es que no estamos avanzando al ritmo necesario. Por ejemplo, hay muchos servicios y aplicaciones en línea populares que todavía no ofrecen MFA y, aunque lo hagan, no está habilitado de forma predeterminada. Es posible que el Mes de la Concientización sobre la Ciberseguridad del próximo año omita este tema por completo, cuando todas las empresas que almacenan datos personales deberán habilitar MFA de forma predeterminada para todas las cuentas de usuario.

Es cierto que puede haber problemas de accesibilidad si MFA está activado de forma predeterminada, y si las personas realmente necesitan desactivarlo por algún motivo, deberían tener la opción de desactivarlo. Sin embargo, para el resto, habilitar MFA de forma predeterminada debería ser la norma. Así como muchos sitios web casi están eliminando la opción de activar MFA, también deberían ocultar la opción de desactivarla.

Apple fue una de las empresas valientes que hizo cumplir MFA para todos los usuarios en 2017. ¿Perdieron usuarios? ¿Ha caído el precio de sus acciones? Las respuestas son, por supuesto, «no». Cuando los usuarios no tienen otra alternativa, adoptan prácticas de seguridad mejoradas que protegen sus datos y contenido. Deles una opción y/o desactive la opción predeterminada y muchas personas tomarán el camino más fácil, aunque pueda significar comprometer la seguridad por conveniencia.

Otro beneficio de habilitar MFA de forma predeterminada para todos es que reduce significativamente los riesgos asociados con la reutilización de contraseñas. En otras palabras, es menos probable que una contraseña protegida por MFA reutilizada cause un problema. Sin embargo, esto no significa que sea aceptable utilizar contraseñas débiles o reutilizar contraseñas en diferentes sitios web. Lo que quiero decir en cambio es que el énfasis en contraseñas seguras y únicas disminuirá a medida que la capa adicional de MFA ayudará significativamente a prevenir el robo de credenciales.

Cuando algo como el robo de credenciales ha sido un gran problema durante tanto tiempo, en realidad es hora de repensarlo. Hemos visto precedentes eficaces para esto; especialmente el Reglamento General de Protección de Datos (GDPR). La Unión Europea (UE) reconoció que sin una regulación fuerte, las empresas seguirían el camino de menor resistencia: recopilar datos y almacenarlos sin cifrado, esencialmente un enfoque del Salvaje Oeste en materia de protección de datos. Cuesta dinero mantener las cosas seguras, por lo que los directores financieros frugales priorizarían las ganancias a corto plazo sobre la seguridad a largo plazo. Sin embargo, el RGPD ha cambiado esta dinámica, con multas elevadas que justifican el presupuesto para medidas adecuadas de seguridad de datos.

Legislación al rescate

Ahora imagine el Mes de la Concientización sobre la Ciberseguridad del próximo año sin conferencias sobre prácticas de seguridad básicas como contraseñas seguras y únicas y MFA. Después de años de sostener estos puntos, la conversación finalmente pudo avanzar. La atención podría centrarse en las estafas desenfrenadas que están estafando a las personas para quitarles el dinero que tanto les costó ganar. Me doy cuenta de que parte de esto ya está cubierto hoy, pero con demasiada frecuencia simplemente se pierde en la confusión.

A todos los formuladores de políticas: es hora de cambiar esta conversación y legislar sobre lo que algunos en la industria no han logrado hacer para que la educación crucial sobre cuestiones reales de ciberseguridad pueda convertirse en los titulares de las noticias.