Las empresas se ponen en riesgo al no capacitar regularmente a sus empleados para reconocer las amenazas.

La formación continua para desarrollar una cultura empresarial de ciberseguridad es obligatoria para mitigar las ciberamenazas actuales y futuras. Los empleados son una de las mayores amenazas para la ciberseguridad de una empresa pero con la capacitación adecuada se pueden convertir en una primera línea de defensa sólida contra los ciberdelincuentes.

Aunque la mayoría de las empresas han aumentado sus presupuestos para la seguridad de TI, esto no parece tener el impacto que se esperaba. Esto se debe a que el factor humano se ha convertido en el principal vector de ataque dado que casi siempre se encuentra en el centro de la mayoría de los incidentes de seguridad. Las mayores amenazas a la seguridad provienen de fuentes externas que se aprovechan de los hábitos del personal, convirtiéndolo en el eslabón más débil de la cadena. Es el hecho de no proporcionar a los empleados una formación adecuada y continua lo que crea las condiciones propicias para un incidente de seguridad. De acuerdo con Next Century Technologies, “El mayor riesgo de ciberseguridad para las empresas es su propio personal no capacitado ni preparado. Más del 90% de todas las infracciones se deben a un archivo adjunto de correo electrónico incorrecto, un enlace malicioso u otros errores de los empleados ”.

La seguridad eficaz requiere un enfoque unificado. La tecnología adecuada y las políticas bien redactadas son fundamentales pero no pueden proporcionar la solución completa. Los ciberdelincuentes de hoy estudian sus objetivos, utilizando información disponible en línea, y adaptan sus estafas a empresas e individuos específicos. El phishing se está volviendo más sofisticado; las cuentas de Office 365 de personas que conocidas están enviando malware en archivos adjuntos. Los archivos adjuntos seguros se utilizan para engañar a los usuarios para que descarguen malware y cedan sus contraseñas a sitios como Office 365, Amazon y Google.

En un mundo donde la información está tan fácilmente disponible, la tarea de los CISO es ahora más compleja. Requiere una formación mejor y más constante para los empleados y una vigilancia en todos los niveles. Con capacitación continua, los empleados pueden ayudar a identificar riesgos externos en sus correos electrónicos o en Internet. El trabajo de combatir a los ciberdelincuentes exige que nos tomemos la protección de nuestros datos tan en serio como la protección de nuestros hogares y familias. No es solo responsabilidad de los especialistas en TI y del CISO; es el trabajo de todos el proteger nuestra red y sistemas de almacenamiento en la nube.

Consejos de formación en ciberseguridad:

• Gestión básica de datos: Informe al personal sobre exactamente cuáles son sus datos y dónde se encuentran. Enséñeles a crear, acceder y destruir datos de forma segura.
• Monitorear el estado de los datos: Revise periódicamente el comportamiento tecnológico anormal y anime al personal a informar cualquier cosa que considere atípica.
• Comparte una política de seguridad clara: No permita que el personal descargue o instale software o aplicaciones no autorizadas.
• Utilice solo herramientas de comunicación corporativa: Asegúrese de que los empleados comprendan que ningún servicio de mensajería o correo electrónico público es seguro. No les permita reenviar correos electrónicos y documentos internos a una dirección de correo electrónico personal o descargarlos en dispositivos personales.
• Pon su atención en HTTPS: Enséñeles las formas de Internet, como asegurarse de que la dirección de un sitio web comience con «https» antes de enviar información a través de él.
• Copias de seguridad: Dígale a su equipo que tenga cuidado con las solicitudes de las aplicaciones para acceder a datos personales. Asegúrese de que no se puedan hacer copias de información confidencial en aplicaciones con respaldo automático en la nube.
• Compartir dispositivos: Enséñele al personal a nunca permitir que un tercero use una estación de trabajo o acceda a sus sistemas y datos sin supervisión y protecciones contractuales adecuadas