Gracias a las simulaciones de phishing multicanal de SoSafe, Scheuch redujo en un 97 % la carga operativa de los empleados de soporte técnico

Personalización y escalabilidad en una sola plataforma con SoSafe.

Principales resultados:

Reducción del 97 % del tiempo necesario para realizar simulaciones de phishing personalizadas

Productos:

Solicitar una demo

Scheuch es un fabricante de tecnología medioambiental y dispositivos que reducen las emisiones industriales y protegen el clima para que las generaciones futuras puedan disfrutar de un planeta más limpio. Por tanto, estos productos sostenibles no solo cumplen los requisitos actuales de la industria, sino que también influyen positivamente en nuestro medioambiente. SoSafe trabajó con Gordon Shepherd, Team Leader Service & Infrastructure en Scheuch, para reforzar la concienciación sobre ciberseguridad mediante itinerarios de aprendizaje personalizados.

En una plantilla de 1500 empleados repartidos en múltiples sedes, es fundamental comprender bien cómo recibe y asimila la información cada persona. Scheuch abandonó la cultura de la culpa y adoptó un enfoque de formación basado en datos para optimizar su firewall humano.

La seguridad no era la adecuada

El equipo de seguridad de Scheuch tenía problemas con su herramienta de ciberseguridad y se sentía asfixiado con el diseño de las simulaciones y la forma de reaccionar ante las denuncias de amenaza.

Una campaña de phishing podía suponer hasta 20 horas de trabajo entre el diseño, la selección de objetivos, la ejecución y la supervisión. Esto era sencillamente inasumible en una empresa con múltiples grupos de destinatarios, donde cada uno necesitaba una formación específica dependiendo de su función.

Cada nueva campaña daba pie a una avalancha de solicitudes de asistencia conforme los usuarios alertaban sobre el posible intento de phishing. Con el tiempo, esta situación empeoró, y el equipo de seguridad no daba abasto intentando reaccionar manualmente a las solicitudes.

Gordon había considerado otras soluciones, pero decidió que no ofrecían un nivel suficiente de formación proactiva y personalización para que los usuarios las consideraran atractivas.

El microaprendizaje personalizado de SoSafe ofrece una formación práctica basada en la ciencia del comportamiento y adaptada a las distintas necesidades de los usuarios. Así, Scheuch consiguió ampliar la escala de sus operaciones e impartir formación a los empleados, al mismo tiempo que reforzaba la concienciación.

Como señaló Gordon, «la gente tiene distintas maneras de aprender. A algunos les gusta leer, mientras que otros prefieren contenidos de audio o vídeo. Me gustaron las plantillas preconfiguradas de SoSafe porque nos permiten cambiar rápido de formato para adaptar el contenido».

¿Y qué hay de los distintos idiomas? En una plantilla multinacional caben todo tipo de preferencias de aprendizaje. Como explica Gordon, «si tienes que ver un vídeo en inglés en el que intentan explicarte algo relacionado con la ciberseguridad mientras tienes que leer subtítulos e interactuar con otra cosa en la esquina de la pantalla, la experiencia es confusa y desagradable y no se percibe como algo personal».

Las campañas de formación genéricas suponen un alto riesgo de abandono por parte de los usuarios, y Scheuch quería conseguir exactamente lo contrario. Por esta y otras muchas razones, eligieron SoSafe.

Cómo sobrevivir a la avalancha de solicitudes de asistencia

Si existe una amenaza, se pretende que los usuarios reaccionen. En Scheuch, el botón de aviso de phishing de SoSafe permite que los usuarios emitan una alerta de nivel cero. Esto desencadenaba una solicitud de asistencia al equipo de informática, que seguía una serie de protocolos de reconocimiento, diagnóstico y subsanación.

Para ganar en eficiencia, el proceso se ha optimizado con tres opciones de respuesta para comunicarse con el usuario e informarle de si se trata de una formación, si se trata de una amenaza real o si el correo electrónico es seguro. El problema era que llegaban cientos de solicitudes al mismo tiempo y el proceso se hacía eterno.

Para agilizarlo, ahora se ha integrado Sofie — el copiloto humano de seguridad siempre activo— en el sistema de solicitudes de asistencia de Scheuch. De este modo, Sofie automatiza las respuestas a las consultas de seguridad más habituales, lo que acelera la resolución de los problemas y reduce la carga de trabajo del equipo de seguridad.

Gordon lo resumió así: «La IA es mejor para el equipo de informática y también para el usuario, porque obtiene la información al momento y no tiene que esperar».

El phishing, cada vez más personal

Al no tener que dedicar tanto tiempo a atender solicitudes de asistencia, el equipo puede centrarse en formar a los empleados y prepararlos para las amenazas del mundo real. Los ataques modernos adoptan todo tipo de formas y se dirigen a diferentes personas, orígenes y funciones. Y, lo que es aún más importante, también pueden apelar al deseo de alguien de hacer bien su trabajo.

«El panorama está cambiando muy rápido. En el departamento de informática detectamos nuevas amenazas cada semana. No podemos esperar que nuestros usuarios estén al tanto de todas y cada una de las últimas tendencias de ciberseguridad», explica Gordon.

Las simulaciones de phishing multicanal de SoSafe son un conjunto de experiencias de ingeniería social que se adaptan a las funciones, habilidades y comportamientos específicos de los empleados y permiten crear campañas que reflejan las amenazas reales a las que los empleados se enfrentan a diario en su trabajo.

Como señala Gordon, el objetivo es hacer frente a los riesgos específicos de cada usuario. Las unidades organizativas como las divisiones, los departamentos y los cargos son solo la punta del iceberg a la hora de segmentar el grupo de destinatarios. Los datos de comportamiento de SoSafe permiten dirigir los ataques de phishing según el punto específico en el que se encuentra el usuario en su proceso de aprendizaje.

«No quiero crear desde cero todas y cada una de las simulaciones de phishing. La base de datos de SoSafe nos permite personalizar en muy poco tiempo plantillas para equipos o departamentos concretos. Ahora tardamos 30 minutos en diseñar una simulación personalizada, mientras que antes teníamos que dedicarle 20 horas. Además, los datos de comportamiento nos permiten controlar el nivel y la frecuencia de la formación dirigida a cada persona de ese equipo en función de sus respuestas anteriores y su nivel de riesgo».

Así se reduce la formación de los empleados con parámetros de bajo riesgo y se aumenta la de los que más la necesitan. Por otra parte —y esto es muy importante para Gordon— se elimina el estigma asociado a los clics.

«No envío correos electrónicos de phishing para decirle a la gente: “Mira, os he pillado a ti y a otros 90 y sois tontos”. En realidad, es al revés. Lo que quiero es crear un correo electrónico de phishing genial en el que nadie haga clic. Ese es mi verdadero objetivo, y para conseguirlo, solo podemos enseñarles dónde están los riesgos».

Los juguetes tecnológicos no sirven de mucho a los usuarios

En Scheuch han convertido lo que muchas organizaciones consideran una amenaza en su mayor activo. Ahora no se culpa a la respuesta humana, sino que se trabaja con los usuarios que más necesitan la formación en ciberseguridad para así cultivar un entorno abierto y seguro para el aprendizaje.

Gordon resume a la perfección el planteamiento. «Desde el punto de vista técnico, podría comprar un montón de juguetes tecnológicos para mi departamento de informática y levantar un enorme muro contra todos los malos que nos quieren atacar, pero eso solo cubriría el 30 % del riesgo. El 70 % restante proviene de la capa humana. SoSafe nos permite proporcionar a nuestros empleados las herramientas necesarias para detectar las constantes ciberamenazas y evitar caer en sus redes.

Con SoSafe puedes confiar en que la concienciación en ciberseguridad es mucho más que hacer un cursillo una vez al año. Se convierte en algo inherente a la forma en que tus equipos trabajan, piensan y se comportan, día tras día.

Fortalece tu cultura de la ciberseguridad sin esfuerzo