No es un secreto que a la industria de la ciberseguridad le encantan las siglas. Hoy tengo el gusto de analizar una de las siglas más infames de la industria: Miedo, Incertidumbre y Duda, también conocidas como FUD (por sus siglas en inglés).
En concreto, vamos a hablar de cómo se ha dependido mucho del FUD durante años para educar a las personas sobre ciberseguridad, y por qué es momento de que eso cambie para siempre.
Si quieres que tu organización tenga un programa de security awareness training exitoso, el FUD no es la respuesta. Vamos a hablar de qué estrategias puedes usar para empoderar a tus empleados en vez de asustarlos.
Por qué el FUD no funciona
Analicemos qué significa realmente el FUD. Las amenazas cibernéticas en general pueden ser un tema aterrador, pero no es eso lo que describe el FUD. Aplicado al security awareness training, el Miedo, la Incertidumbre y la Duda se pueden desglosar así:
- Miedo: Una emoción que surge por tácticas pensadas para asustar a las personas y así lograr que hagan algo, como “si haces clic en una prueba de phishing, te despiden”.
- Incertidumbre: Un estado mental donde falta claridad sobre un tema. Esto a menudo puede llevar a alguien a no intentarlo por miedo a equivocarse y ser castigado.
- Duda: Un proceso mental que lleva a cuestionar la capacidad propia de tener éxito debido a la “gravedad” del tema.
Entonces, ¿cómo y por qué comenzó todo este FUD?
El término FUD existe desde los años 70 y se ha mantenido vigente en las industrias tecnológicas durante todos estos años. En aquella época, la tecnología se veía como una especie de “magia negra” que avanzaba rápidamente. Como había un gran signo de interrogación para muchas personas, las organizaciones comenzaron a aprovechar su posición en el mercado.
Uno de los ejemplos más conocidos son las empresas que usaron la técnica del FUD para asustar a las personas y evitar que compraran productos tecnológicos de la competencia. Hoy, la tecnología es la nueva norma y toca casi todos los aspectos de nuestras vidas, pero eso no significa que la estrategia del FUD haya desaparecido, sino que ha evolucionado.
A pesar de que la industria coincide en que esta forma de educación está obsoleta y ya no es relevante para las organizaciones actuales, algunas de las empresas de capacitación en seguridad más exitosas siguen saliéndose con la suya usando el FUD para capacitar a los empleados. ¿Cómo es posible?
Es porque eso es todo lo que se conocía hasta hace poco. Podrías pensar “es el mismo tema, qué importa cómo se enseñe”, pero en realidad, está haciendo más daño que bien a la mentalidad de los empleados. ¿Le importa siquiera a la industria de infosec si la capacitación es efectiva?
Por qué el miedo lleva a una capacitación de seguridad menos efectiva
Aunque usar el FUD en el security awareness training pueda provocar una reacción instantánea en tus empleados, no genera ningún resultado beneficioso a largo plazo. Usando la investigación de la Dra. Karen Renaud y Marc Dupuis en su artículo Why Companies Should Stop Scaring Employees About Cybersecurity, se demuestra que las tácticas de miedo no son una forma efectiva de impulsar la higiene cibernética de tus empleados.
Los efectos a largo plazo no solo pueden ser improductivos, sino también perjudiciales para la inteligencia emocional de un empleado. Al usar tácticas de miedo, estos podrían ser los resultados negativos entre tus empleados:
- Resentimiento: Cuando las personas sienten que las obligan a hacer algo mediante tácticas negativas, algunas suelen responder con una reacción igualmente negativa, como enojo, negación y resentimiento. Esto puede resultar en una negativa a participar e incluso en algo tan drástico como amenazas internas.
- Ansiedad: Cuando usas el FUD como llamado para que las personas sigan las mejores prácticas cibernéticas, en algunos individuos puede generar un impacto más profundo de ansiedad al participar en cualquier acción relacionada con la ciberseguridad. Esto puede desanimarlos a participar o hacer que cometan errores innecesarios por falta de confianza.
- Desafío: Cuando le dicen a alguien que no haga algo “… o si no”, se puede generar una respuesta común de hacerlo de todas formas. Cualquiera que haya tenido una etapa adolescente rebelde sabe de lo que hablo. Como un niño al que le dicen: “no dibujes en la pared con un marcador permanente o no hay tele”; eso puede funcionar a veces, pero 9 de 10 veces ese niño igual dibujará en la pared con un marcador para ver qué puede lograr sin consecuencias. Esto no es diferente de un empleado que se enfrenta al FUD en el security awareness training.
El riesgo de poner a tus empleados en cualquiera de estos tres estados debería ser suficiente para buscar una alternativa. Cada uno de estos no solo hará que tu empresa sea más vulnerable al error humano, sino que también puede crear una cultura tóxica para tus empleados.
Para quienes aún no tienen claro cómo se ve el FUD en el security awareness training, puede tomar muchas formas, como contenido que promueve la complicación y el misterio, amenazas potenciales a tu trabajo, y el infame “hacker con capucha aterrador” que todos hemos visto antes. El FUD no siempre se ve igual, pero por lo general lo reconoces al verlo, con imágenes de stock o actores que dan vergüenza ajena. Tus empleados probablemente también sienten vergüenza ajena.
Phishing en busca de FUD
Simulación de phishing es una de las herramientas de security awareness training más comunes que seguimos viendo impulsada por el FUD. Algo se debió perder en el camino sobre el propósito de las simulaciones de phishing. Están pensadas para enseñar, no para castigar. Aunque hemos visto una disminución del FUD en el contenido de capacitación a lo largo de los años, las pruebas de phishing son distintas porque todo se trata de ganancias a corto plazo.
Los empleados nunca deberían temer cometer un error en la práctica; por eso se llama práctica. Crea un entorno seguro para que los empleados entiendan las razones por las que fallaron, de modo que cuando llegue el caso real, estén más preparados.
Como administrador de TI, usar las simulaciones de phishing como único marco de referencia para determinar la salud de tu seguridad crea una visión de túnel. El nuevo estándar para las pruebas de phishing a empleados se convierte en “¿qué puedo hacer para no meterme en problemas?” en vez de “¿qué podría hacer realmente para mantener segura a mi organización?”. El objetivo al usar esta táctica es “marcar la casilla” por conveniencia y victorias rápidas, en lugar de intentar desarrollar el pensamiento crítico de los empleados para obtener beneficios de seguridad a largo plazo.
Esta es la razón por la que las personas en seguridad de TI tienen estereotipos negativos entre los empleados. Es porque nos han enseñado a temerle más a TI que a los propios hackers. Pero en realidad, todos deberían trabajar en equipo para detener la verdadera amenaza de los ataques cibernéticos, y TI solo está haciendo su trabajo para ayudar.
Como dijimos antes, lo que más importa son las herramientas y el enfoque; no se trata de qué haces, sino de cómo lo haces.
Por qué funcionan las tácticas divertidas
Entonces, ¿cuál es la alternativa? ¡FUN! (diversión). Y no, fun no es una sigla de nada, ya hay suficientes en la industria. Solo está en mayúsculas por su importancia, para recordar que, aunque algo sea serio, eso no significa que no podamos divertirnos aprendiendo sobre ello.
La pregunta que debes hacerte es: ¿qué motiva a tus empleados a aprender? Te garantizo que va a estar respaldado por palabras como entusiasmo, entretenimiento e interés, en lugar de miedo, incertidumbre y duda.
Piensa en cuando estabas en la secundaria. ¿Hubo algún maestro que se haya destacado como modelo a seguir o que te haya ayudado a llegar adonde estás ahora? Lo más probable es que ese maestro fuera alentador, transparente y servicial.
Ahora piensa también en un maestro que hizo lo contrario y al que temías ir a su clase todos los días. Ese maestro probablemente era aburrido, demasiado estricto y negativo. Como resultado, seguramente esa materia se volvió menos disfrutable y te desmotivó en tus estudios.
Este enfoque es exactamente cómo deberías ver tu security awareness training: enseñando a los empleados de tu organización de una manera que sea beneficiosa para ellos.
Algunos ejemplos de estrategias en la categoría DIVERSIÓN incluyen:
- Enfocar tu programa en motivar positivamente a tus empleados
- Relatabilidad: usa la ciencia conductual de la narración de historias y otras actividades atractivas para incorporar tácticas divertidas en todo tu programa
- Activar el compromiso mediante el aprendizaje interactivo, como simulaciones de phishing gamificadas, cuestionarios, premios, etc.
- Recompensar a los empleados que lo están haciendo bien para incentivarlos
- Fomentar y tomar en cuenta la retroalimentación
Incentivar vs. penalizar
En la discusión sobre si debes incentivar a los empleados por sus éxitos o penalizar a los que no están teniendo éxito, queda claro cuál opción es FUD y cuál es DIVERSIÓN.
Usemos la analogía de la zanahoria y el palo como ejemplo:
🪵 El palo: El palo actúa como el security awareness training estrictamente enfocado en el cumplimiento, que señala de forma negativa a los empleados que lo hacen mal e ignora a los que lo hacen bien. Esto solo ofrece FUD como motivador, y ya sabemos cómo puede terminar eso.
🥕 La zanahoria: La zanahoria se alinea con un enfoque que celebra a los empleados que les va bien en su programa de security awareness training y motiva a los que no a mejorar. Ahora puedes ir incluso un paso más allá y hacer más atractivo el asunto implementando un security awareness training divertido, en el que las personas estén comprometidas y quieran hacerlo bien porque disfrutan aprender. Algunas iniciativas de incentivos divertidas incluyen:
- Reconocer públicamente el buen trabajo de individuos o departamentos con palabras de afirmación
- Un fondo de premios mensual para las personas con la tasa más alta de éxito en las pruebas de phishing
- Recompensar a todos los que obtuvieron una puntuación perfecta y completaron su capacitación a tiempo
- Iniciativas de equipo, como una fiesta de pizza cuando todos logran una tasa de clics por debajo de cierto nivel
El resultado
La razón más convincente para usar tácticas de diversión en lugar de tácticas de FUD es el resultado que se puede ver al hacer algo tan simple como cambiar la estrategia con la que tus empleados perciben el security awareness training. Dejar el FUD por la diversión puede dar como resultado todo lo siguiente:
- Establece una comunicación abierta y confianza entre los empleados y el departamento de TI
- Construye una cultura de seguridad en tu organización
- Los empleados aprenden del éxito y se recuperan de los errores
- Hace que los empleados sean más receptivos al cambio cuando se deban implementar nuevos procedimientos
Y, por supuesto, el objetivo principal es crear una organización más segura y proteger mejor a tus empleados de las amenazas cibernéticas que nunca terminan. Recuerda que, dado que tus empleados son tu primera línea de defensa, es fundamental lograr que se comprometan cuando se trata de mantener segura a la organización. Después de todo, ¡el trabajo en equipo hace que funcione el sueño de la ciberseguridad!
Diciendo adiós al FUD
El obstáculo para cambiar las actitudes de tus empleados sobre la ciberseguridad es grande. Las organizaciones tienden a asustar a sus empleados para que estén conscientes de las amenazas cibernéticas. Este enfoque que genera ansiedad puede hacer que las personas reaccionen temporalmente, pero no crea ningún efecto positivo duradero ni les da a tus empleados una razón real para que les importe: hace justo lo contrario.
En cambio, usar tácticas divertidas para educar a tus empleados con positividad ayudará a fomentar que les importe la seguridad de su organización y que trabajen junto con sus colegas para mitigar un problema mayor. Entonces, ¿por qué no elegir una opción que sea mejor tanto para el bienestar de tus empleados como más efectiva para fortalecer la cultura de ciberseguridad de tu organización?
