Los mejores consejos para la formación en ciberseguridad de los empleados

En este articulo, Centro de seguridad cibernética explora las mejores formas de capacitar a los empleados Ciberataques basados ​​en correo electrónico y cómo asegurarse de que están siguiendo las prácticas de seguridad cibernética.

Cuando es cuestionado por Centro de seguridad cibernética para su Informe de mercado semestral 2022dijeron tres de cada cuatro profesionales de seguridad cibernética sobre los vectores de amenazas basados ​​en el correo electrónico Desarrollo Social y suplantación de identidad Los ataques son “la amenaza más peligrosa” para la seguridad cibernética.

Una de las razones por las que estas amenazas son tan peligrosas es por lo generalizados que están estos ataques. Consorcio internacional y grupo de prevención del fraude, el Grupo de Trabajo Anti-Phishing (APWG), que recopila 3.394.662 ataques de phishing en los tres primeros trimestres de 2022. El APWG descubrió que cada trimestre rompió el récord como el peor trimestre que la organización jamás había observado, con 1 025 968 ataques en el primer trimestre, 1 097 811 ataques en el segundo trimestre y 1 270 883 ataques en el tercer trimestre.

Ataques de ingeniería social y phishing a menudo son utilizados por los piratas informáticos para dirigirse directamente a los empleados dentro de una empresa. En 2022, una investigación realizada por el Departamento de Digital, Cultura, Medios y Deporte (DCMS) del Reino Unido descubrió que, de todas las empresas del Reino Unido que identificaron un ciberataque contra ellas, el vector de amenaza para Casi nueve de cada diez (86 por ciento) de estos ataques fueron suplantación de identidad.

Debido a que estos ataques se dirigen específicamente a los empleados, la responsabilidad de evitar que el ataque progrese está en manos del empleado. Si los empleados no están seguros de qué hacer en caso de un ataque cibernético, ¿cuáles Según los informes, el 56 por ciento de los estadounidenses sonentonces esto puede tener consecuencias devastadoras.

Estas consecuencias son probablemente la razón por la cual casi un tercio de los profesionales de ciberseguridad (30 por ciento) decir que un Falta de conocimiento en seguridad cibernética. es la amenaza de ciberseguridad número uno para su organización.

Para mantener una buena seguridad cibernética en las empresas, los empleados deben comprometerse con su capacitación para que puedan conservar mejor la información y utilizarla en un momento posterior cuando se encuentren con amenazas de seguridad cibernética.

Cómo incorporar empleados con seguridad de correo electrónico

Cuando los empleados comprenden mejor cómo pueden comenzar y desarrollarse los ataques cibernéticos, son menos vulnerables a ellos. Sin embargo, es importante asegurarse de que los empleados recuerden esta capacitación. Eso es lo que descubrió la empresa de seguridad de correo electrónico Tessian Casi dos tercios (64 por ciento) de los empleados admitieron no prestar toda su atención a la capacitación en seguridad cibernética y El 36 por ciento dijo que encontraba el entrenamiento «aburrido»..

Cuando los empleados están inactivos, es posible que se estén perdiendo información que podría ser crítica en caso de un ciberataque real. El Foro Económico Mundial ha determinado esto El 95 por ciento de los problemas de ciberseguridad pueden estar relacionados con errores humanosLas empresas no pueden permitirse este riesgo.

Por debajo, Centro de seguridad cibernética examina las tácticas que las empresas pueden usar para involucrar mejor a sus empleados en la capacitación en seguridad cibernética.

Vincule las bonificaciones al desempeño en los ejercicios de capacitación en seguridad

En una discusión entre Centro de seguridad cibernéticade la Junta Asesora, un miembro sugirió vincular la ciberseguridad con los objetivos universales de una empresa. Esto ayuda a los empleados a comprender que son todos los responsables de la seguridad cibernética.

La consejera explicó que su empresa realizará múltiples pruebas de phishing a lo largo del año con este fin, y el resultado de estas pruebas afectará las bonificaciones de los empleados. Porque los ataques de phishing tienen un impacto indirecto en los resultados de una empresa. Los ataques cibernéticos cuestan mucho dinero, lo que significa que las empresas pierden dinero en gastos operativos cuando ocurre un ataque cibernético. Además, los ataques cibernéticos pueden hacer que los clientes pierdan la confianza en una empresa y lleven el negocio a otra parte, lo que lleva a una disminución general de las ganancias.

Con las bonificaciones vinculadas directamente a las ganancias, se alienta a los empleados motivados financieramente a ser más diligentes para no hacer clic en enlaces potencialmente peligrosos, ya que se refuerza y ​​recompensa su buen comportamiento.

Ataques de phishing simulados también se puede usar para garantizar que los empleados se involucren en el tema, ya que requiere aprendizaje práctico y puede mostrar a los empleados los riesgos de evaluar incorrectamente los correos electrónicos en tiempo real. También se pueden gamificar para evitar que el personal «se desconecte» durante la capacitación. Cada tercer empleado informa un mayor compromiso con el aprendizaje cuando utiliza técnicas de aprendizaje lúdicas..

Use contenido de video para compartir estudios de casos

Las empresas también pueden involucrar mejor a sus empleados mediante el uso de contenido de video de formato corto. Los estudios han demostrado que el uso de técnicas de aprendizaje electrónico como el contenido de video puede Aumente la retención de información hasta en un 60 por ciento. Con los empleados en la primera línea de defensa contra los ataques de ingeniería social, este aumento en la retención de clientes realmente puede marcar la diferencia.

El contenido de capacitación basado en videos puede incluir una serie de cosas diferentes, incluidos estudios de casos de la vida real realizados por actores como testimonios en video. Un ejemplo de esto es un video titulado “Mi publicación en LinkedIn le costó una fortuna a mi empresa‘.

En el testimonio, un actor cuenta la historia de un empleado que estuvo directamente involucrado en una ataque cibernetico. Explica que alguien que se hizo pasar por reclutador lo engañó para que se comunicara con él, primero a través de comentarios en sus publicaciones de LinkedIn y luego a través de mensajes con una oferta de trabajo lucrativa.

Él comparte que el reclutador falso formó una relación con él y terminó enviándole un PDF que supuestamente contenía la oferta de trabajo. En cambio, al descargarlo y abrirlo, la víctima descubrió que solo contenía una carta de presentación y dos páginas en blanco. Cuando se pusieron en contacto con el presunto reclutador, el reclutador afirmó que el archivo era seguro y les pidió que descargaran e instalaran un lector de PDF seguro para verlo correctamente. Cuando eso siguió sin funcionar, la víctima contactó al reclutador nuevamente, pero el reclutador no respondió a ninguno de sus mensajes. Él se negó, pero semanas después hubo una violación de datos en su empresa que le costó millones de dólares. Se le atribuyó el allanamiento porque el lector de PDF en realidad contenía malware utilizado para atacar a la empresa.

En una declaración final, el actor advierte a los observadores que los ataques de estafas laborales son cada vez más frecuentes, ya que a menudo se espera que las personas se comuniquen con extraños y descarguen los archivos adjuntos que se les envían.

Mediante el uso de estas técnicas de aprendizaje electrónico, las empresas pueden reforzar la posición de sus empleados para proteger a la empresa de los ataques cibernéticos y proporcionarles un marco de qué hacer durante un incidente de seguridad cibernética. También puede darles consejos sobre qué buscar en las comunicaciones potencialmente dañinas.

La buena ciberseguridad se basa en el conocimiento de los empleados

Las empresas pueden garantizar que sus empleados participen más en la capacitación en seguridad cibernética mostrándoles que la seguridad cibernética está inherentemente relacionada con su función, incluso si no tienen una función basada en la seguridad.

Al emplear técnicas de capacitación diseñadas para alentar el enfoque, la retención y la comprensión de los empleados, las organizaciones pueden ayudar a fortalecerse contra futuros ataques cibernéticos al equipar de manera óptima a sus empleados con habilidades clave.