Queremos empezar con lo que puede resultar obvio: tus empleados. Sí, son el activo más valioso de tu negocio. Pero también son tu mayor riesgo de seguridad. Y de nuevo, no estamos señalando a nadie. Así son las cosas.

Los atacantes cibernéticos buscan acceso, ya sea a tus datos confidenciales o a la información de identificación personal (PII) de tus clientes. Si no pueden vulnerar tu seguridad desde el punto de vista técnico, intentarán manipular a una persona para que se la entregue. Por eso los ataques de phishing, la ingeniería social y las credenciales robadas están entre los ataques más comunes.

En muchos sentidos, RR. HH. tiene un papel más integral en la ciberseguridad que tu departamento de TI. Los profesionales de TI protegen redes, computadoras y programas. RR. HH. protege a tus empleados marcando la pauta desde el primer día, asegurándose de que sigan las políticas de seguridad y creando una cultura donde los empleados se hagan responsables de la seguridad en lugar de dejársela solo a TI.

La participación de RR. HH. en la ciberseguridad empieza con el ciclo de vida del empleado y se extiende hacia el cultivo de una cultura con mentalidad de seguridad. Aquí es donde RR. HH. más impacta la seguridad:

Procesos de incorporación y desvinculación

Incorporar y desvincular empleados son momentos clave para la seguridad. RR. HH. trabaja con TI para asegurarse de que los nuevos empleados reciban el acceso adecuado a los programas, datos y servicios que necesitan para hacer su trabajo. Algo tan simple como retrasar la desvinculación crea un riesgo innecesario. No quieres que un exempleado permanezca en tus redes más tiempo del debido.

Comunicar y hacer cumplir las políticas de seguridad

RR. HH. ayuda a comunicar y hacer cumplir las políticas de seguridad de la empresa. Si tus empleados no las conocen o son imposibles de seguir, las políticas sin sentido no son políticas en absoluto. No harán más que acumular polvo digital en una unidad de red compartida.

Apoyar las iniciativas de concientización sobre seguridad

Los incidentes de seguridad relacionados con el riesgo humano generalmente se dividen en algunas categorías.

Gestión deficiente de credenciales

Los empleados reutilizan contraseñas en varias cuentas, eligen credenciales fáciles de recordar que violan las políticas de contraseñas y, a veces, las anotan o las comparten con sus compañeros. Estos comportamientos les dan a los cibercriminales una entrada fácil a tu red.

Caer víctima de la ingeniería social o el phishing

Incluso los empleados más conscientes de la seguridad pueden hacer clic en enlaces sospechosos cuando están estresados, distraídos o revisando correos a toda prisa. Un solo clic puede darles a los cibercriminales acceso directo a tu red.

No presentar un informe sobre actividad sospechosa a tiempo

Los empleados a menudo no presentan un informe sobre haber hecho clic en enlaces sospechosos porque temen meterse en problemas, pero esos dos minutos podrían ser todo lo que los atacantes necesitan para penetrar tu red. Si estableces una cultura que castiga los errores en lugar de aprender de ellos, los empleados seguirán cometiendo errores y ocultándolos, lo que genera mayores riesgos de seguridad.

Reduce el riesgo humano preparándote para él. Enséñales a tus empleados a reconocer ataques cibernéticos comunes, como los correos de phishing, y capacítalos sobre qué hacer si sospechan que hicieron clic en un enlace malicioso. Recuérdales a los empleados que no existen preguntas tontas.

Coordinación de revisiones de acceso con los equipos de TI y seguridad

RR. HH. debe trabajar con TI para revisar con regularidad quién tiene acceso a qué sistemas y datos. Las auditorías de acceso regulares detectan permisos que quedan vigentes después de cambios de rol o la finalización de proyectos.

Fortalecimiento de una cultura de informe temprano

Establecer una cultura de informe temprano es una de las mejores formas en que RR. HH. puede impactar la ciberseguridad. Crea un entorno que anime a los empleados a presentar un informe de correos sospechosos, admitir errores o avisar a alguien si sienten incertidumbre sobre algo. Si tus empleados presentan un informe justo cuando hacen clic en un enlace, tu equipo de seguridad puede detener el ataque más rápido. 

Si no se presenta un informe de inmediato, tus atacantes cibernéticos tienen todo el tiempo del mundo para acceder a tu red.

Todo comienza con que tu equipo de liderazgo dé el ejemplo. Algo tan simple como anunciar, por correo o en una reunión de la empresa, que no solo esperas que se presente un informe de incidentes de seguridad, sino que también lo proteges y lo valoras.

El comportamiento humano y la ciberseguridad no mejoran con una capacitación única durante la incorporación de nuevos empleados. El security awareness training debe ser constante, continuo y no solo algo anual. La capacitación práctica que guía a los empleados a través de distintos escenarios de ciberseguridad, como las simulaciones de phishing, es la mejor opción.

La ciberseguridad es un esfuerzo de equipo. Y cuando se trata de RR. HH. y TI, estos dos departamentos no deberían trabajar de forma aislada.

RR. HH. y TI deberían reunirse regularmente para hablar sobre la gestión de accesos, las actualizaciones de políticas, la incorporación y salida de empleados, y los cambios en la estrategia de seguridad de la empresa. RR. HH. también entiende la cultura de la empresa y puede comunicarle a TI cómo implementar correctamente las medidas de seguridad que los empleados estarán dispuestos a seguir.

Como con cualquier iniciativa de seguridad, RR. HH. necesita medir el éxito de sus esfuerzos de seguridad. Estas podrían no ser las métricas de seguridad tradicionales a las que estás acostumbrado, pero pueden ayudar a RR. HH. a determinar si sus esfuerzos están funcionando.

¿Cuánto tiempo toma revocar el acceso de un exempleado? ¿Los empleados asisten a security awareness training? ¿Qué pasa con las tasas de clics en simulación de phishing? ¿Los empleados reportan incidentes de seguridad? Hacer clic en un enlace de phishing no siempre significa que alguien lo reportará. Si ves un aumento en los incidentes de seguridad reportados, eso puede ser una buena señal de que tus empleados se sienten cómodos acudiendo a ti o a tu departamento de TI.

Las encuestas a empleados también pueden ayudar a identificar si los empleados entienden tus políticas de seguridad y se sienten cómodos reportando errores. RR. HH. puede trabajar con tus equipos de seguridad para identificar qué métricas importan más a tu organización y cómo se ve el éxito. Combinado con la detección y respuesta ante amenazas de identidad, obtienes monitoreo continuo de credenciales comprometidas, patrones de inicio de sesión inusuales y amenazas basadas en identidad que pasan desapercibidas para la vigilancia humana.

¿Listo para reducir el riesgo humano impulsado por identidad? Huntress Managed Security Awareness Training (SAT) y Managed Identity Threat Detection and Response (ITDR) trabajan juntos mediante capacitación y monitoreo para proteger tu organización. Obtén una demo de la plataforma Huntress para ver cómo la educación y la tecnología se combinan para crear una defensa completa contra el riesgo humano.