Cómo los empleados pueden convertirse en la primera línea de defensa contra los ciberataques

Las empresas han experimentado un enorme cambio en los últimos tiempos, ya que la pandemia ha provocado un cambio fundamental en la forma en que los trabajadores se conectan a las redes de la empresa y utilizan los dispositivos que ésta les proporciona. Todo ello crea nuevas y tentadoras oportunidades para los ciberdelincuentes.

Desde el punto de vista de la ciberseguridad, las amenazas basadas en el phishing y la mensajería suelen ser los principales vectores de ataque que utilizan los delincuentes. De hecho, las investigaciones indican que alrededor del 90% de los ciberataques comienzan con un correo electrónico de phishing.

Tradicionalmente, se ha considerado a los empleados como el eslabón débil, que caen en las estafas de phishing, entregan información errónea o muestran una baja seguridad de sus contraseñas. Sin embargo, estos mismos empleados también pueden ser vistos como la primera y más importante línea de defensa contra los ciberataques.

Básicamente, una empresa puede transformar su mayor riesgo de ciberseguridad -los empleados- en su principal defensa contra las amenazas desarrollando una cultura de seguridad. Y en el centro de esto está la formación eficaz.

Los empleados debidamente formados saben lo que deben buscar. Cuando todos los empleados de una empresa están plenamente formados y son conscientes de las muchas maneras en que los atacantes pueden infiltrarse en los sistemas y datos de una empresa, estarán mejor situados para identificar y repeler posibles hackeos. Más vale prevenir que curar.

Sin embargo, es importante reconocer que es necesario un nuevo enfoque de la formación en materia de ciberseguridad. Con demasiada frecuencia, los responsables de IT se limitan a entregar un folleto con algunas directrices y lo dejan así.

Eso no es suficiente. Los empleados necesitan una formación constante sobre cómo reconocer los intentos de phishing, y esta formación debe reforzarse con frecuencia. Los hackers cambian constantemente de táctica, por lo que mantener a sus empleados al tanto de las tendencias requiere una formación continua.

También debe considerar la posibilidad de personalizar su formación para que se adapte a las necesidades de su empresa, y tener en cuenta los requisitos de cumplimiento de su sector en particular.

Y, por supuesto, es importante mantener a los empleados motivados, por lo que podría pensar en recompensar a los equipos o individuos que identifiquen con éxito las estafas de phishing.

Además de la formación, también es esencial contar con políticas eficaces para que los empleados entiendan claramente cómo informar de cualquier incidente de seguridad sospechoso y puedan hacerlo de forma sencilla y rápida. Es fundamental fomentar este tipo de denuncias; por ejemplo, el Centro Nacional de Ciberseguridad de Reino Unido (NCSC) trata de hacerlo con la frase "en caso de duda, avisa".

Al informar de los correos electrónicos sospechosos a sus equipos de ciberseguridad, el personal vigilante puede ayudar a minimizar el riesgo potencial de una brecha. Por tanto, debe facilitarse al máximo y, como es lógico, la automatización está ayudando a muchas organizaciones.

Un nuevo informe de la empresa de ciberseguridad F-Secure demuestra el papel fundamental que puede desempeñar la automatización. Basado en un análisis de los correos electrónicos reportados por los empleados de organizaciones de todo el mundo durante la primera mitad de 2021, la encuesta encontró que el 33% de los correos electrónicos reportados como phishing eran realmente maliciosos o altamente sospechosos.

De todos los correos electrónicos reportados, la gran mayoría (99%) fueron analizados automáticamente, y el 1% restante fue investigado por profesionales de la seguridad.

El resultado es que tú como empleado puedes transformar el mayor riesgo de ciberseguridad de tu empresa en la principal defensa contra las amenazas, desarrollando una cultura de seguridad apoyada por una formación eficaz y procesos de información sin fisuras.

El Director de Consultoría de F-Secure, Riaan Naude, comentó: "A menudo se oye decir que las personas son el eslabón débil de la seguridad. Eso es muy cínico y no tiene en cuenta las ventajas de utilizar la plantilla de una empresa como primera línea de defensa. Los empleados pueden detectar un número importante de amenazas que llegan a su bandeja de entrada si son capaces de seguir un proceso de información sencillo que produzca resultados tangibles".