Los 3 temas principales de concientización sobre seguridad para sus empleados

Seguridad corporativa

El conocimiento es un arma poderosa que puede capacitar a sus empleados para que se conviertan en la primera línea de defensa contra las amenazas.

19 de octubre de 2023
•
,
5 minutos. leer

Este octubre vuelve a llegar ese momento: el Mes de la Concientización sobre la Ciberseguridad (CSAM). Se trata de una iniciativa de concientización que abarca tanto el mundo del consumidor como el empresarial, aunque hay muchas coincidencias: después de todo, cada empleado también es un consumidor. A medida que trabajamos cada vez más desde casa o desde nuestro espacio de trabajo remoto preferido, Los límites nunca han sido tan borrosos. Al mismo tiempo, lamentablemente los riesgos de un compromiso nunca han sido tan grandes.

La construcción de un mundo más ciberseguro comienza aquí. ¿Qué deberían incorporar los líderes de TI en sus programas de concientización sobre seguridad ahora y en 2024? Es importante asegurarse de que se sienta cómodo con esto. Las ciberamenazas de hoy y de mañanano los riesgos de ayer.

Por qué es importante la formación

Respectivamente VerizonTres cuartas partes (74%) de todas las infracciones globales del año pasado se debieron al «elemento humano», que en muchos casos significó errores, negligencia o usuarios. Conviértete en víctima de phishing y la ingeniería social. Los programas de capacitación y concientización en materia de seguridad son una forma fundamental de mitigar estos riesgos. Pero no existe un camino rápido y fácil hacia el éxito. De hecho, no debes prestar demasiada atención al entrenamiento o la concientización, ya que ambos pueden olvidarse con el tiempo. Se trata de cambiar de forma sostenible el comportamiento de los usuarios.

El solo puede suceder cuando ejecuta programas continuamente para estar atento a la información en todo momento. Y asegúrese de que nadie se lo pierda: esto incluye a los trabajadores temporales, los contratistas y los ejecutivos de nivel C. Cualquiera podría ser un objetivo, y todo lo que podría hacer falta es un error para dejar entrar a los malos. Además, realice sesiones en porciones pequeñas para tener más posibilidades de que los mensajes se mantengan. Y si es posible, incluye simulaciones. Ejercicios de gamificación traer una amenaza especial a la vida.

Justo como lo hicimos nosotros ya mencionado, las lecciones pueden incluso adaptarse a roles y sectores específicos para hacerlas más relevantes para el individuo. Y las técnicas de gamificación pueden ser una adición útil para hacer que la capacitación sea más emocionante y atractiva.

3 áreas a incluir ahora y en 2024

A medida que nos acercamos al final de 2023, vale la pena pensar qué incluir en los programas del próximo año. Considera lo siguiente:

1) BEC y phishing

Compromiso del correo electrónico empresarial (BEC), que explotan mensajes de phishing dirigidos, siguen siendo una de las categorías de delitos cibernéticos con mayores ganancias en general. En casos reportado al FBI El año pasado, las víctimas perdieron más de 2.700 millones de dólares. Se trata de un delito basado esencialmente en la ingeniería social que normalmente engaña a la víctima para que acepte transferir fondos de la empresa a una cuenta bajo el control del estafador.

Hay varios métodos que utilizan para lograrlo, como hacerse pasar por un director ejecutivo o un proveedor, y estos se integran bien. Ejercicios de concientización sobre el phishing. Estos deberían combinarse con inversiones en seguridad avanzada del correo electrónico, procesos de pago sólidos y una doble verificación de todas las solicitudes de pago.

El phishing como tal existe desde hace décadas, pero sigue siendo uno de los vectores más comunes para el acceso inicial a las redes corporativas. Y gracias a los trabajadores domésticos y de campo distraídos, los malos tienen aún más posibilidades de lograr sus objetivos. Pero en muchos casos, las tácticas están cambiando y también los esfuerzos de concientización sobre el phishing. Aquí es donde las simulaciones en vivo realmente pueden ayudar a cambiar el comportamiento del usuario. Para 2024, considere incluir contenido sobre phishing a través de aplicaciones de mensajes de texto o (sonriendo), Llamadas de voz (vistiendo) y nuevas técnicas como eludir la autenticación multifactor (MFA).

Ciertas tácticas de ingeniería social cambian con mucha frecuencia. Por lo tanto, es una buena idea trabajar con un proveedor de formación que pueda actualizar su contenido en consecuencia.

2) Seguridad al trabajar de forma remota e híbrida

Los expertos han advertido durante mucho tiempo que es más probable que los empleados ignoren o simplemente olviden las advertencias/pautas de seguridad cuando trabajan desde casa. Uno estudiar descubrió que el 80% de los trabajadores admiten que están más relajados y distraídos trabajando desde casa los viernes en verano, por ejemplo. Esto puede exponerlos a un mayor riesgo de verse comprometidos, especialmente cuando las redes y dispositivos domésticos pueden estar menos protegidos que sus equivalentes corporativos. Y aquí es donde deberían entrar los programas de capacitación, con consejos sobre actualizaciones de seguridad de computadoras portátiles, administración de contraseñas y uso únicamente de dispositivos aprobados por la empresa. Debe ir acompañado de una formación sobre concientización sobre el phishing.

Más, El trabajo híbrido se ha convertido en la norma para muchas empresas hoy en día. Uno Requisitos de estudio El 53% tiene ahora una póliza y la tendencia va en aumento. Sin embargo, desplazarse a la oficina o trabajar desde un lugar público conlleva riesgos. Una de ellas son las amenazas de los puntos de acceso Wi-Fi públicos, que potencialmente exponen a los trabajadores móviles a ataques de adversario en el medio (AitM), en los que los piratas informáticos acceden a una red e interceptan los datos que pasan entre los dispositivos conectados y el enrutador, así como amenazas de «gemelos malvados». Los delincuentes configuran un punto de acceso Wi-Fi duplicado en una ubicación específica, haciéndose pasar por un punto de acceso legítimo.

También hay menos riesgos de “alta tecnología”. La formación podría ser una buena oportunidad para recordar a los empleados los peligros surf de hombro.

3) Protección de datos

Multas RGPD elevado 168% anual hasta más de 2.900 millones de euros (3.100 millones de dólares) en 2022, a medida que los reguladores tomen medidas enérgicas contra las infracciones. Este es un buen argumento para que las empresas se aseguren de que sus empleados sigan correctamente las directrices de protección de datos.

La capacitación periódica es una de las mejores formas de estar al tanto de las mejores prácticas en el manejo de datos. Estos incluyen, por ejemplo, el uso de un cifrado seguro, una buena gestión de contraseñas, la seguridad de los dispositivos y la notificación inmediata de incidentes a la persona de contacto adecuada.

Los empleados también podrían beneficiarse de un repaso sobre la copia oculta (BCC), un error común que provoca filtraciones accidentales de datos de correo electrónico, y otra capacitación técnica. Y siempre deben considerar si lo que publican en las redes sociales debe mantenerse confidencial.

Los cursos de formación y sensibilización son una parte importante de cualquier estrategia de seguridad. Pero no pueden trabajar de forma aislada. Las empresas también deben aplicar políticas de seguridad estrictas mediante controles y herramientas estrictos, como la gestión de dispositivos móviles. “Personas, Procesos y Tecnología” es el mantra que ayudará a construir una cultura corporativa más cibersegura.