¿Crees que todos los empleados de tu organización hablarían si pensaran que se acercaba un phishing o ciberataque? ¿Puedes tener conversaciones difíciles sobre ciberseguridad con tu junta directiva o equipo directivo?
El término "cultura del silencio" es más relevante ahora en ciberseguridad que nunca antes. Añade el cumplimiento normativo a la mezcla y tienes la receta perfecta para que los empleados se queden callados por miedo a meterse en problemas.
Estamos aquí para explicar por qué la cultura del silencio se está convirtiendo en un problema cada vez mayor y cómo crear una cultura de seguridad más transparente.
¿Por qué la gente se queda callada cuando sufre un ciberataque?
La mayoría de las personas experimentará un posible ciberataque o será víctima de uno en varios momentos de su carrera. Se está volviendo lo suficientemente común como para que todos tengamos algún tipo de experiencia compartida con la que podamos identificarnos. Entonces, ¿por qué los empleados no querrían hablar sobre este riesgo? ¿Por qué no compartirían la amenaza de phishing que acaban de esquivar o incluso de la que fueron víctimas?
Nuestra investigación muestra dos razones principales que voy a explicar:
La gente no quiere parecer tonta
La gente no quiere meterse en problemas
Piénsalo por un segundo: esto en realidad no es un concepto nuevo para nosotros. Si alguien entra a robar en nuestra casa, llamamos al 911 y nos ayudan. Si tenemos un accidente de auto, llamamos a los servicios médicos para que nos ayuden. Si estamos enfermos, vamos al médico para que nos ayude. Cuando ocurren estos incidentes, rara vez culpamos a la víctima, entonces ¿por qué a todos nos culpan por los ciberataques?
Ahora imagina que dejas la puerta de tu casa sin seguro y abierta de par en par, y luego entran a robar. No te sentirías bien con esa historia y no querrías compartir los detalles con nadie a menos que tuvieras que hacerlo.
La gente no quiere parecer tonta ante los demás, así que nuestro mecanismo de defensa natural es quedarnos callados.
Esto es lo que está pasando en nuestra industria. Estamos cometiendo errores extremadamente obvios y prevenibles. Por supuesto, a cualquiera le daría vergüenza admitir un error tan evidente, y esto no es diferente. Nuestra misión es ayudar a que las personas entiendan cómo se ven esos errores obvios y prevenibles, y evitar que ocurran desde el principio.
Los empleados no deberían sentir vergüenza de admitir errores cibernéticos ni aceptar que "si pasa, pasa". Los ciberataques solo van a aumentar a medida que avanza la tecnología. Así que es momento de hacer algo al respecto antes de que empeoren las cosas. Esto nos lleva a una cultura del silencio por miedo a parecer tontos frente a sus compañeros, así que gana el silencio.
La gente no quiere meterse en problemas. En general, queremos seguir las reglas. Entonces, cuando algo sale de lo esperado, nos asustamos. No queremos meternos en problemas para protegernos. Si bien este instinto natural es útil para otras cosas, no es bueno para la seguridad ni el cumplimiento normativo. Necesitamos promover una cultura que fomente reportar los problemas, una cultura basada en el trabajo en equipo y la confianza en que otros se ayuden entre sí.
Un excelente programa de cumplimiento y seguridad se construye sobre la confianza. Por eso debemos poder confiar en que nuestros empleados tomen las decisiones correctas cuando NO los estamos observando. Debemos confiar en que reportarán problemas de seguridad. Debemos confiar en que reportarán un problema de cumplimiento normativo. La confianza se establece cuando el miedo a NO reportar un problema es mayor que el miedo a reportarlo.
Si bien promovemos que los empleados reporten los correos de phishing a su departamento de TI que usa security awareness training en el trabajo, para las personas individuales, no existe un buen lugar para reportar correos de phishing. Esto deja mucha responsabilidad en la persona, haciéndola sentir que está sola. Tu papel como líder es alentar y respaldar este comportamiento mostrando qué tan útil es para prevenir ataques. Muéstrales a tus empleados que necesitas su ayuda para tener éxito.
¿Quién es más vulnerable a un ciberataque?
La respuesta corta es: ¡TODOS! Cualquier persona con una contraseña, una cuenta de correo electrónico, un teléfono o presencia en línea es vulnerable a un ciberataque. Hoy en día es casi imposible encontrar a alguien que no cumpla con uno o todos esos criterios.
Sin embargo, algunos grupos demográficos son más atacados que otros:
Personas mayores de 65 años: los cibercriminales se aprovechan de personas vulnerables que no tienen conocimientos tecnológicos avanzados y desconocen qué son los ciberataques. Personalmente, mis abuelos han sido blanco de ataques en varias ocasiones e incluso fueron víctimas de un ciberataque.
Adultos jóvenes: como paradoja, las personas menores de 25 años tienen cierto grado de ingenuidad y una falsa confianza respecto a su comodidad con la tecnología y la seguridad.
Trabajadores remotos: desde que las organizaciones pasaron al trabajo remoto, también aumentó el riesgo de ciberataques a los empleados. Es posible que los empleados usen su propia infraestructura y Wi-Fi, lo que dificulta supervisar las prácticas cibernéticas de todos.
Altos ejecutivos (o personas que trabajan de cerca con ellos): el término spear-phishing describe bastante bien el método de ataque principal para este grupo. Los mensajes pueden adaptarse para resultar extremadamente creíbles.
Todos estos grupos demográficos tienen algo en común: es poco probable que hablen de su experiencia a menos que se sientan cómodos haciéndolo. Necesitamos crear una cultura de seguridad y transparencia para empezar a compartir entre todos.
Tomar medidas para construir una cultura de seguridad
Las empresas deben marcar la pauta alentando a los empleados a hablar, educándolos con un security awareness training atractivo, y presentándose cuando su empresa sufra un ataque. Esto no solo puede ahorrarte tiempo y dinero, sino también proteger la reputación de tu organización.
Los ciberataques son inevitables, y lo único que puede prevenirlos es la educación y compartir experiencias pasadas para que la historia no se repita. Las organizaciones que ocultan intencionalmente su incidente cibernético solo dañarán su propia reputación, en lugar de reconocer su error y hacer algo al respecto. Este es un buen punto de partida hacia la transparencia frente a los ciberataques y para ser más conscientes de lo que realmente enfrentamos. Construir una cultura de seguridad es más que solo hablar, también se trata de actuar en consecuencia.
Cómo crear un lugar de trabajo ciberseguro
Para quienes trabajamos en ciberseguridad, todos hemos escuchado las historias de nuestros amigos, seres queridos y colegas que nos dicen “alguien realmente intentó hacerme phishing”, y luego comparten una historia de cuando enfrentaron un ciberataque. Así que claramente es algo de lo que las personas no solo necesitan, sino que también quieren hablar. Solo se trata de dar el primer paso para hacerlo.
Aquí tienes nuestras tres (3) acciones sugeridas que puedes tomar para ayudar a terminar con la cultura del silencio:
Compartir es parte del cuidado: Ser abierto con la familia, los amigos, los empleados y los empleadores, compartiendo historias sobre ataques cibernéticos que hayas enfrentado, ayuda a mitigar e incluso prevenir que algunos ocurran.
Educación atractiva: Educarte a ti mismo y a tus empleados sobre las mejores prácticas cibernéticas usando security awareness training divertido puede ayudar. Aunque seas competente con la tecnología, eso no significa que conozcas todos los detalles de las amenazas cibernéticas: no se trata solo de phishing y puede presentarse de muchas formas distintas. Los temas de capacitación también deben cubrir ransomware, smishing, malware, contraseñas, ingeniería social y muchos más.
Construye una cultura de seguridad: Los empleados tienden a ocultar información por miedo a meterse en problemas. Esto es una clara señal de que falta una cultura de seguridad. Para construir una cultura de seguridad efectiva, debe haber una línea de comunicación abierta entre tus empleados, usar tácticas atractivas para involucrarlos en la capacitación y motivar a tu organización a trabajar en equipo.
El rápido aumento de los ataques cibernéticos solo continuará si las personas no están más conscientes de las amenazas que enfrentan. La consecuencia de un ataque cibernético es mucho más dañina que "guardar las apariencias" como individuo u organización. Trabajemos juntos para romper la cultura del silencio e inspirar a nuestros empleados a colaborar entre sí.
¡Empieza a crear una cultura de seguridad más transparente y confiable con tu prueba gratuita de SAT!
