Security Awareness Training de CIS Controls
Los CIS Controls exigen que las organizaciones implementen un programa de security awareness training como parte del Control 14. La plataforma divertida de security awareness training de Huntress ayuda a tu organización a cumplir con los CIS Controls y mantenerse segura.
Los CIS Security Controls son un marco diseñado para ayudar a las organizaciones a implementar los componentes más esenciales de un programa básico de ciberseguridad. El security awareness training se ha reconocido como uno de los controles más básicos para proteger organizaciones de todos los tamaños.
Estos CIS Controls cambian la discusión de "¿Qué debería hacer mi organización?" a "¿Qué deberíamos hacer TODOS?" para mejorar la seguridad en todas las organizaciones.
Los líderes de seguridad reconocen que implementar un programa de security awareness training no se trata solo de cumplir con normas, sino de mantener seguros a los empleados. La plataforma lista para usar de security awareness training de Huntress ayuda a las organizaciones a cumplir con el Control 14 de CIS, manteniendo el cumplimiento y automatizando la participación de los empleados.
Implementar un programa de security awareness training se reconoce como una de las inversiones en ciberseguridad más efectivas que puede hacer una organización.
Control 14 de CIS: Programa de security awareness training
Como se indica en los CIS Controls:
"Establecer y mantener un programa de concienciación de seguridad para influir en el comportamiento de la fuerza laboral, de modo que sea consciente de la seguridad y tenga las habilidades adecuadas para reducir los riesgos de ciberseguridad para la empresa".
Las acciones de las personas desempeñan un papel fundamental en el éxito o fracaso del programa de seguridad de una empresa. Para un atacante es más fácil incitar a un usuario a hacer clic en un enlace o abrir un archivo adjunto de correo electrónico para instalar malware e infiltrarse en una empresa, que encontrar un exploit de red para hacerlo directamente.
Los propios usuarios, de forma intencional o no, pueden causar incidentes al manejar mal datos confidenciales, enviar un correo electrónico con datos confidenciales al destinatario equivocado, perder un dispositivo portátil, usar contraseñas débiles o reutilizar la misma contraseña en sitios públicos.
Ningún programa de seguridad puede abordar eficazmente el riesgo cibernético sin un medio para atender esta vulnerabilidad humana fundamental. Los usuarios en cada nivel de la empresa tienen riesgos distintos. Por ejemplo: los ejecutivos manejan datos más confidenciales; los administradores de sistemas pueden controlar el acceso a sistemas y aplicaciones; y los usuarios de finanzas, recursos humanos y contratos tienen acceso a distintos tipos de datos confidenciales que pueden convertirlos en blancos.
La capacitación debe actualizarse con regularidad. Esto fortalecerá la cultura de seguridad y desalentará soluciones alternativas riesgosas.
Un programa efectivo de security awareness training no debe ser solo un video de capacitación genérico una vez al año combinado con pruebas de phishing regulares. Aunque la capacitación anual es necesaria, también debe haber mensajes y notificaciones más frecuentes y puntuales sobre seguridad. Esto podría incluir mensajes sobre: el uso de contraseñas seguras que coincidan con una noticia sobre una filtración de contraseñas, el aumento del phishing en época de impuestos, o mayor conciencia sobre correos de entrega de paquetes maliciosos durante las fiestas.
La capacitación también debe considerar las distintas posturas regulatorias y de amenazas de la empresa. Las firmas financieras podrían necesitar más capacitación relacionada con el cumplimiento sobre el manejo y uso de datos, las empresas de salud sobre el manejo de datos médicos, y los comercios sobre datos de tarjetas de crédito.
La capacitación en ingeniería social, como las pruebas de phishing, también debe incluir conciencia sobre tácticas dirigidas a distintos roles. Por ejemplo, el equipo financiero recibirá intentos de BEC haciéndose pasar por ejecutivos que piden transferir dinero, o recibirá correos de socios o proveedores comprometidos que piden cambiar la información de la cuenta bancaria para su próximo pago.
Control 14 de CIS: Requisitos de security awareness training
Para todos los roles funcionales en la organización (priorizando aquellos críticos para la misión del negocio y su seguridad), identifica el conocimiento específico, las habilidades y las capacidades necesarias para apoyar la defensa de la empresa; desarrolla y ejecuta un plan integrado para evaluar, identificar brechas y remediar mediante políticas, planificación organizacional, capacitación y programas de concienciación.
14.1: Realizar un análisis de brechas de habilidades
Realiza un análisis de brechas de habilidades para entender qué habilidades y comportamientos no está cumpliendo la fuerza laboral, usando esta información para construir un plan educativo base.
14.2: Impartir capacitación para cerrar la brecha de habilidades
Imparte capacitación para abordar la brecha de habilidades identificada y así impactar positivamente el comportamiento de seguridad de los miembros de la fuerza laboral.
14.3: Implementar un programa de concienciación de seguridad
Crea un programa de concienciación de seguridad para que todos los miembros de la fuerza laboral lo completen regularmente, garantizando que comprendan y demuestren los comportamientos y habilidades necesarios para ayudar a asegurar la organización. El programa de concienciación de seguridad de la organización debe comunicarse de manera continua y atractiva.
14.4: Actualizar el contenido de concienciación con frecuencia
Asegúrate de que el programa de concienciación de seguridad de la organización se actualice con frecuencia (al menos una vez al año) para abordar nuevas tecnologías, amenazas, normas y requisitos del negocio.
14.5: Capacitar a la fuerza laboral en autenticación segura
Capacita a los miembros de la fuerza laboral sobre la importancia de habilitar y utilizar la autenticación segura.
14.6: Capacitar a la fuerza laboral para identificar ataques de ingeniería social
Capacita a la fuerza laboral sobre cómo identificar distintas formas de ataques de ingeniería social, como phishing, estafas telefónicas y llamadas de suplantación.
14.7: Capacitar a la fuerza laboral en el manejo de datos confidenciales
Capacita a los miembros de la fuerza laboral sobre cómo identificar y almacenar, transferir, archivar y destruir correctamente la información confidencial.
14.8: Capacitar a la fuerza laboral sobre las causas de la exposición involuntaria de datos
Capacita a los miembros de la fuerza laboral para que estén al tanto de las causas de exposición involuntaria de datos, como perder sus dispositivos móviles o enviar un correo a la persona equivocada debido al autocompletado.
14.9: Capacitar a los miembros de la fuerza laboral para identificar y reportar incidentes
Capacita a los miembros de la fuerza laboral para que puedan identificar los indicadores más comunes de un incidente y puedan reportarlo.
¿Listo para implementar un programa de security awareness training con Huntress? Comienza con tu prueba gratuita de SAT.
