Firewall humano: la clave para la resiliencia cibernética

La tecnología por sí sola no puede proteger a tu organización. Las personas son la primera línea de defensa contra los ciberataques. Un firewall humano sólido detecta los ataques a tiempo y contribuye a prevenir el daño antes de que se produzca.

Contenido

1. Significado: ¿qué es un firewall humano?
2. ¿Por qué necesita uno tu organización?
3. Ejemplos de firewall humano
4. Requisitos
5. Creación de un firewall humano
6. Medir el éxito

Puntos clave: firewall humano

• Los empleados detectan ataques y limitan el daño mediante un comportamiento consciente de la seguridad.
• La formación en concienciación, los talleres, las simulaciones de phishing y los canales de notificación sencillos integran la seguridad en el trabajo diario.
• La dirección marca la pauta predicando con el ejemplo, definiendo responsabilidades claras y creando una cultura que trata los errores como oportunidades de aprendizaje.
• Los porcentajes de clics y de avisos de phishing en el panel de métricas de seguridad hacen visible el progreso de tu firewall humano.
• El comportamiento humano complementa las medidas de seguridad técnicas.

Significado: ¿qué es un firewall humano?

Los empleados demuestran un comportamiento y unas habilidades conscientes de la seguridad a la hora de gestionar las ciberamenazas. Ese es el significado práctico de un firewall humano, y así es como nosotros también lo definiríamos. Cuando algo parece sospechoso, lo detectan a tiempo, responden adecuadamente y se aseguran de que se notifique de forma rápida y correcta. Las medidas de seguridad técnicas lo facilitan, pero no pueden hacerlo solas.

La curiosidad, las presiones de tiempo y el afán de ayudar son exactamente los elementos con los que juega la ingeniería social. Los equipos de seguridad a veces llaman a esto human malware. Un firewall humano sólido no elimina esa presión, sino que da a la gente algo que hacer con ella. Hay un responsable claro cuando algo va mal. Hay una forma obvia de notificarlo. Y, para empezar, hay suficiente concienciación como para que la gente se dé cuenta.

La normativa avanza en la misma dirección. La Ley de Resiliencia Cibernética (Cyber Resilience Act) de la UE exige, por ejemplo, procesos seguros a lo largo de todo el ciclo de vida de un producto. La formación, los procedimientos claros y la notificación rastreable dejan de ser opcionales con normas como esa.

¿Por qué necesita tu organización un firewall humano?

Más de un tercio de las personas hacen clic en contenido malicioso en los correos electrónicos de phishing, y casi dos de cada cinco interactúan después con él. Al mismo tiempo, los datos del Análisis del riesgo humano de SoSafe cuentan una historia diferente: tras doce meses de formación en concienciación, el porcentaje de empleados que notificaron actividades sospechosas se triplicó. Un firewall humano bien construido reduce el comportamiento de riesgo y mejora de forma medible la rapidez con la que responden las organizaciones.

Ejemplos prácticos de firewall humano

Los incidentes del mundo real demuestran la importancia del comportamiento de los empleados y qué rutinas ayudan realmente. Los siguientes ejemplos de firewall humano exponen cómo una actuación consciente de la seguridad detuvo un ataque o limitó los daños una vez que este estaba en marcha.

Caso 1: Pérdida de control durante una prueba de penetración

Como parte de un ejercicio de «red-teaming», unos expertos en seguridad externos obtuvieron acceso físico a las instalaciones de una empresa mediante una entrevista de trabajo simulada. Sin ser interpelados, llegaron a las oficinas internas y encontraron allí puntos de acceso a la red sin protección. Desde allí, accedieron a los sistemas internos, escalaron sus permisos y pudieron controlar remotamente componentes clave. Al salir del edificio, también consiguieron llevarse un juego de llaves de un coche de la empresa. Puedes leer más sobre el incidente en heise (en inglés).

¿Cómo podría haber funcionado mejor aquí el firewall humano?
Los derechos de administrador inusuales deben notificarse enseguida, las preguntas se hacen mediante canales definidos y existen rutas de notificación de progreso claras. Eso es lo que detiene el movimiento lateral antes de que provoque daños, un ejemplo de libro del firewall humano en acción.

Caso 2: MGM Resorts, ransomware tras un vishing al soporte técnico en línea

Los atacantes se hicieron pasar por empleados de TI internos por teléfono y engañaron al soporte técnico en línea para que restableciera credenciales de acceso confidenciales. Eso les abrió las puertas a cuentas privilegiadas y preparó el terreno para un despliegue de ransomware. En muy poco tiempo, los sistemas centrales de reservas y pagos quedaron fuera de servicio, y las operaciones de varios hoteles se paralizaron. El grupo responsable del ataque, conocido como Scattered Spider, utilizó la presión psicológica y el engaño calculado al estilo de la ingeniería social clásica. Se pueden consultar más detalles en Reuters.

¿Cómo podría haber funcionado mejor aquí el firewall humano?
Devolver la llamada a números verificados, exigir comprobaciones de identidad adecuadas y seguir políticas de restablecimiento fijas habría protegido el proceso del soporte técnico en línea de la ingeniería social.

Caso 3: Arup y la videollamada deepfake de 25 millones de dólares

En enero de 2024, un empleado del departamento de finanzas de la multinacional de ingeniería Arup recibió un correo electrónico que parecía proceder del director financiero de la empresa en el Reino Unido, en el que se solicitaba una transacción confidencial. El empleado sospechó del email. Para resolver la duda, pidió una videollamada para confirmar que era auténtico. En esa llamada, el director financiero y varios compañeros parecían estar presentes. Todos y cada uno de ellos eran un deepfake, creado a partir de vídeo y audio de los ejecutivos reales disponibles públicamente. Convencido por lo que parecía y sonaba como una sala llena de colegas conocidos, el empleado siguió adelante con la transacción: quince transferencias, por un total de unos 25,6 millones de dólares, a cinco cuentas bancarias de Hong Kong. El fraude solo salió a la luz cuando el empleado se puso en contacto más tarde con la sede central de Arup. Se pueden consultar más detalles en CNN.

¿Cómo podría haber funcionado mejor aquí el firewall humano?
El empleado hizo lo correcto al cuestionar el correo electrónico. Lo que le enseñó una lección fue confiar en la videollamada más que en el mensaje que lo inició todo. Las caras y las voces ya no son una prueba. Para pagos como este, alguien tiene que coger el teléfono y llamar a un número que ya conozca, no a uno que le hayan dado en la propia llamada.

Requisitos para un firewall humano funcional

Un firewall humano se afianza cuando la seguridad pasa a formar parte de la vida cotidiana. Se basa en procesos claros, un respaldo tangible por parte de la dirección y un programa de formación que convierte el conocimiento en comportamiento. Son importantes los canales de notificación sencillos, una cultura de errores abierta y las oportunidades continuas para desarrollar habilidades. Solo cuando estos elementos funcionan juntos, el firewall humano contribuye realmente a la ciberseguridad.

Liderazgo y responsabilidades claras
Los propios directivos son un modelo de comportamiento seguro. Las responsabilidades se asignan claramente y se recogen en una matriz RACI. El patrocinio y el presupuesto mantienen la implementación por el buen camino.

Canales de notificación seguros y sencillos
Los canales de baja barrera —un botón de aviso, una línea directa, un chat o una dirección de correo electrónico claramente comunicada— facilitan la notificación. El recorrido desde una notificación hasta la creación de un ticket está diseñado para durar menos de un minuto. La protección de la persona que notifica se mantiene mediante un principio de no culpabilización y un feedback transparente.

Políticas vinculantes y formación
Algunas políticas simplemente tienen que existir: uso de TI, comunicación, contraseñas, software y acceso de terceros. Todo el mundo pasa primero por los módulos obligatorios. Después de eso, depende del puesto: alguien de finanzas o un administrador de TI necesita más profundidad que alguien de marketing, por lo que la formación lo refleja. Sin embargo, nada de esto funciona como algo puntual. El microaprendizaje hace que las cosas se recuerden más adelante, las indicaciones en la propia aplicación sorprenden a la gente mientras están realizando la tarea, y las simulaciones se analizan después en lugar de simplemente puntuarse y olvidarse.

Procesos estandarizados y las herramientas adecuadas
Cuando la notificación está estandarizada, los tiempos de respuesta disminuyen. El autocompletado de tickets ahorra tiempo, las guías dan al soporte técnico en línea y a la asistencia de primer nivel una respuesta clara para las preguntas de seguimiento, y los SLA de notificación de progreso claramente definidos garantizan que nada se quede sin resolver. Los KPI visibles en el panel de métricas y las sesiones informativas de seguridad durante la incorporación y la salida —incluidas las comprobaciones de acceso y las de TI invisible— lo completan.

Creación de un firewall humano: programa y formación

Crear un firewall humano significa aunar varias medidas para que se refuercen mutuamente en lugar de funcionar por separado. Lo ideal es que alguien note algo sospechoso, lo notifique sin fricciones y reciba una respuesta una vez que se haya solucionado.

Elementos básicos

• Formación en ciberseguridad con microaprendizaje personalizado y storytelling
• Simulaciones de phishing con feedback instantáneo
• Un botón de aviso de phishing como complemento de Outlook para notificar con un solo clic
• Un panel de métricas del riesgo humano que realiza un seguimiento de las métricas de clics, notificaciones y comportamiento
• El chatbot con IA «Sofie» para preguntas de seguimiento, directamente en Teams o Slack

Cómo funciona el proceso del firewall humano

Despliegue de SoSafe en tres fases

Fase 1: Lanzamiento y configuración inicial (días 1 y 2)
El primer día comienza con la activación de la plataforma y la conexión del SSO y el directorio de usuarios. El botón de aviso le sigue poco después. Los objetivos de notificación también se definen en esta fase. Se preparan algunos escenarios de referencia y se desbloquean los primeros microaprendizajes. El panel de métricas se configura en último lugar, listo para funcionar antes de que termine el segundo día.

Fase 2: Prueba piloto y ajustes (a partir del día 3)
Un grupo piloto trabaja con las simulaciones iniciales, con feedback instantáneo incorporado. En esta fase, «Sofie» se conecta para gestionar cualquier pregunta de seguimiento. Los equipos de soporte técnico en línea y del SOC prueban sus guías con casos reales. Los procedimientos de devolución de llamada reciben el mismo tratamiento.

Fase 3: Puesta en marcha del programa
La prueba piloto demuestra su eficacia y, a continuación, todos participan. El botón de aviso deja de ser nuevo y se convierte en rutina. Los microaprendizajes y las simulaciones continúan a un ritmo constante. Con el tiempo, la notificación de mensajes sospechosos se convierte en algo natural. La dirección consulta periódicamente los paneles de métricas y utiliza la información que aparece en ellos para ajustar las políticas.

Medir el éxito y mejorar continuamente

Solo lo que se mide se puede gestionar adecuadamente. Elige algunas métricas que sean fáciles de entender. Deben ser rápidas de recopilar y tener lógica tanto para los equipos como para la dirección.

Reducir el porcentaje de clics de phishing
Realiza un seguimiento del porcentaje de clics en varias campañas. Si la formación funciona, con el tiempo menos gente reaccionará a los correos electrónicos de phishing simulados.

Aumentar el porcentaje de aviso de phishing
Esta métrica cuenta cuántos empleados señalan activamente contenido sospechoso, ya sea mediante un botón de aviso u otro canal. Un porcentaje de aviso de phishing alto demuestra que la gente presta atención y sabe qué hacer al respecto.

Medir la participación y los conocimientos de la formación
Los porcentajes de finalización y las comprobaciones de conocimientos muestran si el contenido ha llegado realmente. Observa estas cifras junto con los resultados de las simulaciones para obtener una imagen más completa.

Observar el comportamiento de seguridad cotidiano
Comprueba si la autenticación de doble factor se utiliza realmente en el día a día, no solo si está activada en algún sitio. Las solicitudes extrañas deben señalarse en lugar de ignorarse sin más. Las comprobaciones puntuales y el feedback del equipo ayudan a crear una imagen realista del comportamiento.

Hacer visibles las cifras
Un breve informe mensual que cubra lo básico: porcentajes de clics, número de avisos, progreso de la formación. Trimestralmente es cuando merece la pena actuar sobre lo que muestran esos datos. Estos KPI encajan de forma natural en la Ciberseguridad para empresas. El panel de métricas de SoSafe puede mostrar las mismas cifras junto a ellos.

Es aquí donde tus empleados marcan la diferencia, día tras día, preste o no preste atención alguien en ese momento. Dales rutinas claras y las utilizarán. Elige un paso pequeño y medible y empieza por ahí. El resto de tu firewall humano puede crecer a partir de ahí.