Linaro Limited

La mayoría de los programas de security awareness training (SAT) fallan por la misma razón: la gente no presta atención.

Se reproduce un video desactualizado. Aparece un cuestionario. Alguien lo completa mientras lee a medias sus correos y piensa en el almuerzo. Técnicamente, la capacitación ocurrió. Si algo realmente quedó grabado es otra historia.

Linaro Limited quería algo más que eso.

Fundada en 2010 para ayudar a las empresas que trabajan con procesadores ARM y software de código abierto a colaborar de forma más eficaz, Linaro Limited se ha expandido desde entonces a servicios privados, productos y soluciones en línea. A medida que el negocio evolucionó, también creció la presión por demostrar su madurez en seguridad, especialmente cuando clientes más grandes empezaron a hacer preguntas más difíciles y la empresa avanzaba hacia el cumplimiento de ISO 27001 y SOC 2.

Desafío | Encontrar un programa que la gente realmente asimilara

Para Philip Colmer, Senior Director of Information Services en Linaro Limited, la concientización en seguridad nunca fue solo un asunto de TI. “Afecta a todos en la empresa”, dice.

Eso hacía el problema bastante simple: si la capacitación no funciona para los empleados de todos los días, en realidad no funciona en absoluto.

Linaro Limited ya había probado varios enfoques distintos. Un proveedor ofrecía capacitación anual en video más pruebas de phishing. Otro se enfocaba exclusivamente en pruebas de phishing. Otro entregaba solo videos de capacitación mensuales.

Los programas se sentían fragmentados. Y peor aún, eran difíciles de gestionar y administrar. Sin pruebas de phishing, a Colmer le preocupaba que la conciencia del personal pudiera decaer con el tiempo. Y cuando los videos en sí no siempre funcionaban bien, o el cuestionario final era débil, las lecciones se olvidaban con más facilidad.

Linaro Limited necesitaba una capacitación fácil de implementar, más fácil de gestionar y lo suficientemente sólida para respaldar sus objetivos de cumplimiento sin quedar en segundo plano.

Solución | Un programa atractivo que se sintió más natural

Linaro Limited probó Huntress Managed SAT durante unas dos semanas. Eso bastó para que Colmer supiera que iban en la dirección correcta. “Quedé bastante contento desde el principio”, dijo. “Huntress simplemente cumple con muchos de nuestros requisitos”.

Lo que destacó no fue solo el contenido, sino la forma en que se entregaba. En lugar de enviar pruebas de phishing en una tanda grande y obvia, Huntress las distribuía escalonadamente en el tiempo. “Las va soltando poco a poco”, dice Colmer, contrastando a Huntress con plataformas anteriores donde los empleados reconocían rápido la prueba y se avisaban entre sí.

Los módulos de aprendizaje también cayeron bien. Cuando Colmer probó uno él mismo, supo bastante rápido que se sentía bien. “Me gusta el tono que se usa. Me gusta la forma en que se enseña”, dijo. “Huntress Managed SAT va a tener muy buena recepción”.

Linaro Limited necesitaba una capacitación que no hablara por encima de la gente. Managed SAT encajó perfectamente. Está diseñado para ser accesible, con lecciones fáciles de entender para cualquiera, sin importar su formación técnica. Además, los módulos son cortos, generalmente de entre 8 y 12 minutos, con cuestionarios distribuidos a lo largo de la lección en vez de añadidos al final. “Realmente tienes que prestar atención”, dice Colmer.

Huntress también ayudó a que la implementación fuera sencilla. Colmer dijo que el equipo de soporte lo ayudó a configurar todo, y la función de reporte de phishing agregó “ese toque de diversión” sin dejar de reforzar los hábitos correctos.

Resultados | Menos trabajo administrativo y menor riesgo humano

El mayor cambio fue el que Linaro Limited más quería: el comportamiento.

La gente empezó a tomarse las cosas con más calma. Cuestionaban los correos sospechosos. Consultaban antes de reaccionar. Colmer notó que empleados le escribían por Slack para preguntar si algo podía ser una prueba de phishing, en lugar de simplemente hacer clic, eliminarlo o seguir de largo. “Sí creo que nuestro personal está mucho más consciente”, dice.

Para Colmer, destacan algunos logros:

• Menos trabajo administrativo para el cumplimiento:

  La integración de Huntress con Sprinto le permite a Linaro Limited dejar de exportar informes manualmente y subirlos como evidencia de cumplimiento. Como dijo Colmer, eso creó una verdadera “reducción del esfuerzo”.

• Mejor visibilidad del progreso de los usuarios:

  Huntress le dio a Colmer información más clara sobre cómo iba la capacitación, y puso esa información a disposición también de los gerentes, en lugar de dejarlo todo en manos de un solo administrador.

• Capacitación más atractiva:

  Una biblioteca de capacitación más amplia, la opción de agregar material personalizado, la retroalimentación sobre reportes de phishing y la gamificación integrada ayudan a mantener a los usuarios comprometidos. Como dice Colmer, “La gamificación en particular funciona muy bien”.

• Mayor conciencia en toda la empresa:

  Huntress ayudó a exponer al personal a estos temas de una manera accesible para quienes no son especialistas. Colmer dijo que se manejaba “a un nivel que hasta una persona no técnica podía entender”.

En cuanto a SAT, Linaro Limited no estaba partiendo de cero, pero Huntress le dio a Linaro Limited una forma más efectiva de capacitar a su gente, respaldar el cumplimiento y construir hábitos que se mantienen en el mundo real.

Y cuando la capacitación en seguridad se siente menos como una tarea escolar y más como algo que la gente realmente asimila, es cuando empieza a cumplir su propósito.