Factor humano y ciberseguridad ¿Es seguro?

Aunque muchas personas todavía creen que el factor humano es el eslabón más débil en ciberseguridad, prevenir sus errores no solo es posible; también es muy necesario.

Ingeniería social, conveniencia, falta de conocimientos y habilidades, conductas inconscientes… la lista de factores que podrían influir en los humanos para cometer errores en ciberseguridad continua. Los errores simples cometidos por los usuarios comerciales habituales, los miembros del equipo de TI y los gerentes de nivel medio representan hasta el 50% de todos los incidentes de pérdida de datos.

Y aquí entra una pregunta importante ¿hay que culpar a la gente? El tema es ciertamente controvertido.

Se entrevistaron a oradores expertos de la Global Cyber Conference y dieron una pista: el factor humano podría tener menos que ver con los errores cometidos por los individuos y más con las culturas de seguridad inadecuadas de las empresas.

Como se mencionará a lo largo de este artículo, la mejor manera de prevenir errores humanos es comprender la forma en que las personas operan en el lugar de trabajo y abordar las áreas que los actores maliciosos están dispuestos a explotar.

Comienza con la conciencia

Las personas siempre han jugado un papel fundamental en la ciberseguridad. Exactamente por eso, Stéphane Duguin, director ejecutivo de CyberPeace Institute, prefiere no enmarcar a las personas como el problema, ya que esto puede centrar la culpa en los menos capaces de remediar los problemas.

“Cuando el incidente de ciberseguridad está vinculado a un error interno, es importante entender por qué”, dice. “¿Es una falta de una cultura de ciberseguridad fuerte, falta de capacitación o falta de inversión por parte de la organización en el monitoreo y actualización de los sistemas?”

Stéphane Duguin

La verdad es que más que la responsabilidad individual, abordar el factor ciberhumano es una parte esencial del enfoque general de una organización para establecer un marco de ciberseguridad robusto.

“Cuando la organización está sujeta a ataques cibernéticos de actores de amenazas externos, es importante no culpar a las víctimas del ataque, reconocer que se trata de un comportamiento criminal y garantizar la rendición de cuentas de que se toman medidas correctivas”

Duguin

Es vital que los empleadores se den cuenta de que al comprender los diferentes tipos de ataques cibernéticos y las formas más comunes en que explotan los rasgos humanos, las organizaciones pueden preparar mejor a su fuerza laboral para identificar amenazas potenciales, advirtiendo al personal e implementando protocolos de seguridad.

Ver: Cultura organizacional y ciberseguridad

Asumir la brecha y la defensa en profundidad

Tom Hoffman, CISO del Departamento de Seguridad del Cantón de Zúrich, cree que subestimamos el papel del diseño organizacional en las brechas de ciberseguridad.

“Los incidentes de seguridad ocurren debido a muchos factores distintos”, dice. “¿Fue porque alguien hizo clic en un enlace? Quizás. Pero los enlaces están destinados a ser clicados”.

Según Hoffman, el paradigma de la brecha asumida y el concepto de defensa en profundidad siguen siendo increíblemente útiles y efectivos cuando se piensa en configurar una infraestructura segura para su empresa.

Si, por ejemplo, ya esperamos que ocurran errores humanos, es posible aprovechar múltiples medidas de seguridad para proteger los activos de una organización. De esa manera, incluso si una línea de defensa se ve comprometida, existen capas adicionales como respaldo para garantizar que las amenazas se detengan en el camino.

Tales estrategias ciertamente evolucionan a medida que una organización avanza hacia las diferentes etapas de un modelo de madurez de conciencia de seguridad, pero es vital que no se pase por alto el factor humano.

“Estrés organizacional, falta de recursos, recortes presupuestarios… son enormes factores de estrés que inevitablemente conducen a comportamientos riesgosos y soluciones alternativas. Si continuamos descuidándolos, estamos condenados a fracasar repetidamente”.

Tom Hoffman

¿Realmente es hora de excluir el factor humano?

Pero incluso si los errores nunca se pueden prevenir por completo, también hay quienes sugieren que podríamos intentar tanto como sea posible excluir el factor humano en sí.

Iskro Mollov, CISO del Grupo, Vicepresidente de Seguridad, Continuidad del Negocio y Gestión de Crisis de GEA Group, menciona un método que se utiliza a menudo en la mejora de procesos: el enfoque “poka-yoke” (o “a prueba de errores”).

Debido a su simplicidad y repetibilidad previstas, construye hábitos a lo largo del tiempo. Por ejemplo:

• Los cajeros automáticos en Alemania no emiten el dinero hasta que se haya retirado la tarjeta
• Los enchufes telefónicos no se pueden enchufar al revés
• Presionar el pedal del embrague de un automóvil con una caja de cambios manual antes de poder arrancar el automóvil (o el pedal del freno en un automóvil automático)

Según Mollov, necesitamos más “poka-yoke” en el dominio de la información y la ciberseguridad. “El inicio de sesión sin contraseña, el reconocimiento facial y la autenticación multifactor son buenos ejemplos de eso”, dice. “Sus credenciales no pueden ser fácilmente suplantadas y reveladas por error”.

Si bien este tipo de pensamiento de mejora de procesos no podrá resolver todos los problemas de las interacciones de seguridad por sí mismo, si se combina con otras estrategias mencionadas en este artículo, puede convertirse en una herramienta poderosa para evitar que los errores humanos se vuelvan demasiado dañinos para una organización.

_{Con información de Swiss Cyber Institute}