La forma en que las organizaciones se mantienen al día respecto a las tácticas de ataque en constante evolución

La creciente importancia del comportamiento humano en la postura de seguridad de la empresa

IMPORTANCIA DE LOS EMPLEADOS EN LA POSTURA DE SEGURIDAD

El cambio de comportamiento de los empleados se considera ahora uno de los elementos más importantes de la postura de defensa de ciberseguridad de una organización. Aunque las personas siguen siendo una gran vulnerabilidad, ahora también son una de las mejores formas de protección al integrarse en un ciclo adaptativo. Es un reflejo de la constatación de que la ingeniería social personalizada impulsada por IA y dirigida a individuos es uno de los principales métodos que los hackers están utilizando para eludir los ataques informatizados que pueden ser contrarrestados por el software y la tecnología. 

Como resultado, las empresas están adaptando la defensa orientada al empleado en varias áreas. De hecho, el 95 % de los profesionales de la seguridad encuestados cree que su organización se adapta a:

• Cambios en las amenazas (nuevas tácticas, nuevos canales, nuevos pretextos)
• Cambios organizativos (ubicaciones, escala, herramientas, flujos de trabajo)
• Diferencias entre los empleados (roles, trabajo de oficina o no, geografía, idioma)
• Señales de comportamiento internas (interacciones de simulación, comportamiento de notificación, cumplimiento de las políticas)

Inversión futura en defensa adaptativa

En España, un 73,5 % de los encuestados dijeron que es "probable que inviertan en crear una cultura de seguridad adaptativa e impulsada por el comportamiento" el próximo año y más adelante, lo que indica un porcentaje inferior al de otros países. Desglosándolo, el 43 % dice que es “muy probable” y el 45 % que es “algo probable”. A primera vista, esto refleja un amplio reconocimiento de que la defensa adaptativa es necesaria en un entorno de amenazas impulsadas por la IA. Sin embargo, la cifra más reveladora puede ser el 26,5 % restante de los encuestados que no tienen planes de invertir en una cultura de seguridad adaptativa e impulsada por el comportamiento, a pesar de su clara importancia y beneficios.

También hay matices dentro de ese 73,5 %. “Probable” no se traduce necesariamente en un presupuesto dedicado, en decisiones a nivel de junta directiva ni en una ejecución operativa. Intención y aplicación no son lo mismo. Aunque la mayoría de las organizaciones reconocen la importancia de la defensa adaptativa, hay una importante minoría que no está convencida (o no lo está lo suficiente como para asignar recursos).

La cuestión más estratégica no es que las organizaciones reconozcan el valor de la defensa adaptativa (ya hemos visto que lo hacen), sino que intenten disminuir la brecha existente entre el conocimiento del problema y el compromiso respecto a la aplicación de medidas.

Razones por las que es difícil mantener un comportamiento seguro de forma consistente

Los profesionales de la seguridad encuestados mencionan varias razones que dificultan mantener un comportamiento humano seguro de forma consistente (en España, solo el 29,5 % declara que se sigue un comportamiento de seguridad consistente). Este dato revela de nuevo el importante desfase que existe entre el conocimiento del problema y la aplicación de medidas consistentes para atajarlo. La formación y la orientación genéricas que no se ajustan a situaciones del mundo real es el problema más citado, y el 38 % de los encuestados afirma que esto se aplica a sus organizaciones. Otro 34 % dice que la dirección o los equipos no refuerzan las expectativas de forma consistente. El mismo porcentaje indica que la gente no reconoce los riesgos o no sabe qué medidas tomar.

De esto podemos deducir que una gran proporción de organizaciones se enfrenta a dificultades para cambiar el comportamiento de los empleados. La formación genérica debe ser sustituida por simulaciones más precisas de escenarios del mundo real que la gente encuentra en su jornada del día a día, ya que pueden mejorar significativamente el reconocimiento de riesgos y enseñar respuestas seguras y adecuadas. Los directivos deben reforzarlas constantemente mediante una orientación amable, no con medidas punitivas.

Otro problema con el que se encuentra el 34 % de los encuestados es que la gente tiende a tomar el camino de menor resistencia, desviándose así del proceso de seguridad. Cuando tienen la sensación de que el camino seguro es demasiado complejo, buscan atajos, utilizan herramientas no aprobadas y se saltan pasos. Esto sugiere que las organizaciones necesitan crear procesos de seguridad más fluidos y fáciles de usar para lograr una mayor aceptación por parte de los empleados y conseguir que sigan los pasos correctos.

La carga de trabajo y la presión del tiempo también pueden hacer que la gente ignore las medidas de seguridad si se sienten sobrecargados, según informa el 30 % de los profesionales de seguridad. Una vez más, la respuesta es integrar la ciberseguridad de forma que no se añada a la carga de trabajo de los empleados ni aumente la presión por cumplir. Además, un 33 % afirmó que los procesos seguros son más difíciles de implementar para los empleados que trabajan de forma remota y para los contratistas. Se hace necesaria una formación más amplia y una colaboración más estrecha. Los ataques modernos impulsados por la IA amenazan todo el ecosistema de una organización, lo que requiere que todas las partes interesadas cooperen en una estrategia de defensa cibernética coherente.

Cabe destacar que solo el 34 % de los profesionales de la seguridad cree que sus empleados siguen un comportamiento seguro de forma consistente. Este dato pone de manifiesto el fracaso al “trasladar aprendizajes”, es decir, en la capacidad de aplicar la formación a tareas del mundo real.

Nuestra encuesta muestra que el 21 % de las organizaciones todavía se centran en simplemente marcar casillas (firma de políticas). Solo el 19 % tiene la capacidad de obtener información humana detallada y adaptar rápidamente su postura de seguridad en consecuencia. Aunque otro 19 % también utiliza esta información detallada, la implementación de los cambios se retrasa. A estas organizaciones solo les queda intentar mantenerse a flote ante un ataque rápido, incapaces de responder con la velocidad suficiente.

También vemos que el 18 % de las empresas utiliza la telemetría de personas y seguridad para fundamentar las decisiones de seguridad y los informes para la junta directiva. Puede ser una combinación poderosa, siempre y cuando no se dependa demasiado de los datos en lugar de la aportación humana. La defensa adaptativa necesita una mezcla bien equilibrada de ambos.

Curiosamente, los resultados muestran que el 11 % de las empresas sí miden los niveles de concienciación sobre seguridad, pero no cambian nada en consecuencia. Otro 11 % admite que no puede confiar en sus datos. Esta falta de concienciación o de acción los deja en una posición de vulnerabilidad extrema, incluso ante los vectores de ataque tradicionales que no son de IA.