Concienciación sobre seguridad

La concienciación sobre seguridad es el conocimiento y la actitud que poseen los miembros de una organización con respecto a la protección de los activos físicos, y especialmente los informacionales , de dicha organización. Sin embargo, su implementación es muy compleja, ya que las organizaciones no pueden imponer esta concienciación directamente a los empleados, dado que no existen formas de monitorear explícitamente el comportamiento de las personas. Dicho esto, la literatura sugiere varias maneras de mejorar dicha concienciación sobre seguridad. ^{[ 1 ]} Muchas organizaciones exigen capacitación formal en concienciación sobre seguridad ^{[ 2 ]} para todos los trabajadores al incorporarse a la organización y periódicamente después, generalmente de forma anual. ^{[ 3 ]} Otro factor importante que se ha encontrado que tiene una fuerte correlación con la concienciación sobre seguridad de los empleados es la participación de la gerencia en materia de seguridad. También vincula la concienciación sobre seguridad con otros aspectos organizacionales. ^{[ 4 ]}

El comportamiento de los empleados, los sesgos cognitivos y los procesos de toma de decisiones influyen en la eficacia de las medidas de seguridad. Las investigaciones indican que factores psicológicos, como el optimismo, el exceso de confianza y los hábitos, pueden socavar las iniciativas de concienciación sobre seguridad. ^{[ 5 ]} Para abordar estos desafíos, las organizaciones utilizan cada vez más el análisis del comportamiento y las estrategias de seguridad sutiles —como recordatorios de contraseñas y advertencias de phishing— para fomentar comportamientos seguros.

El error humano sigue siendo la principal causa de incidentes de ciberseguridad. Un informe de IBM Security de 2023 reveló que el 95 % de las brechas de seguridad se deben a errores humanos, como caer en correos electrónicos de phishing, usar contraseñas débiles y manejar incorrectamente datos confidenciales. Las organizaciones hacen hincapié en la capacitación en concientización sobre seguridad como una estrategia clave para mitigar este riesgo. ^{[ 6 ]}

Es particularmente importante que el liderazgo fomente una cultura de ciberseguridad y proporcione capacitación específica para aumentar la conciencia sobre seguridad entre todos los empleados de la organización. ^{[ 7 ]}

Los temas que se tratan en la capacitación sobre concienciación en seguridad incluyen: ^{[ 8 ]}

• La naturaleza del material sensible y los activos físicos con los que pueden entrar en contacto, como secretos comerciales , preocupaciones sobre la privacidad e información clasificada del gobierno.
• Responsabilidades de empleados y contratistas en el manejo de información sensible, incluida la revisión de los acuerdos de confidencialidad de los empleados.
• Requisitos para el manejo adecuado de material sensible en forma física, incluyendo marcado, transmisión, almacenamiento y destrucción.
• Métodos adecuados para proteger la información confidencial en los sistemas informáticos , incluyendo la política de contraseñas y el uso de la autenticación de dos factores.
• Otras preocupaciones en materia de seguridad informática, como el malware , el phishing , la ingeniería social , etc.
• Seguridad en el lugar de trabajo, incluyendo el acceso al edificio, el uso de credenciales de seguridad , la notificación de incidentes, artículos prohibidos, etc.
• Las consecuencias de no proteger adecuadamente la información incluyen la posible pérdida del empleo, consecuencias económicas para la empresa, daños a las personas cuyos registros privados se divulguen y posibles sanciones civiles y penales.

La concienciación sobre seguridad implica comprender que existe la posibilidad de que algunas personas roben, dañen o hagan un uso indebido, ya sea de forma deliberada o accidental, los datos almacenados en los sistemas informáticos de una empresa y en toda su organización. Por lo tanto, sería prudente proteger los activos de la institución (información, bienes físicos y personales) intentando evitar que esto ocurra.

Según la Agencia Europea de Seguridad de las Redes y la Información, "El conocimiento de los riesgos y las medidas de seguridad disponibles es la primera línea de defensa para la seguridad de los sistemas y redes de información". ^{[ 9 ]}

"El objetivo de la consultoría en sensibilización sobre seguridad debe ser lograr un cambio a largo plazo en la actitud de los empleados hacia la seguridad, al tiempo que se promueve un cambio cultural y de comportamiento dentro de la organización. Las políticas de seguridad deben considerarse facilitadoras clave para la organización, no como una serie de reglas que restringen el funcionamiento eficiente del negocio." ^{[ 10 ]}

Muchas industrias exigen capacitación en concientización sobre seguridad para cumplir con regulaciones tales como:

• Reglamento General de Protección de Datos (RGPD): exige a las organizaciones garantizar la concienciación sobre la protección de datos entre sus empleados. ^{[ 12 ]}
• Ley de Portabilidad y Responsabilidad del Seguro Médico (HIPAA): exige programas de concienciación sobre seguridad para los proveedores de atención médica. ^{[ 13 ]}
• Estándar de seguridad de datos de la industria de tarjetas de pago (PCI-DSS): exige capacitación en seguridad para las empresas que manejan información de tarjetas de pago. ^{[ 14 ]}

En un estudio de 2016, los investigadores desarrollaron un método para medir la concienciación sobre seguridad. ^{[ 15 ]} Específicamente, midieron "la comprensión sobre cómo eludir los protocolos de seguridad, interrumpir las funciones previstas de los sistemas o recopilar información valiosa, y no ser descubierto" (p.  38). Los investigadores crearon un método que permitía distinguir entre expertos y novatos mediante la organización de diferentes escenarios de seguridad en grupos. Los expertos organizarían estos escenarios en función de temas de seguridad centralizados, mientras que los novatos los organizarían en función de temas superficiales.

La concienciación sobre seguridad también se evalúa mediante métricas de seguridad en tiempo real, como el seguimiento de las tasas de clics en ataques de phishing, las tendencias de reutilización de contraseñas y las tasas de cumplimiento de las políticas. Las organizaciones están adoptando estrategias de monitorización continua para proporcionar retroalimentación inmediata a los empleados sobre comportamientos de riesgo y sugerir medidas correctivas. ^{[ 16 ]}

A medida que las ciberamenazas siguen evolucionando, los programas de concienciación sobre seguridad deben adaptarse a nuevos vectores de ataque, como los ciberataques impulsados ​​por IA , los deepfakes y las amenazas internas . El informe Threat Landscape de ENISA destaca la creciente importancia de estas amenazas emergentes, haciendo hincapié en la necesidad de medidas de seguridad que aborden tanto los ataques tradicionales como el ransomware y el malware , como técnicas más sofisticadas como Living Off Trusted Sites (LOTS) y los métodos avanzados de evasión utilizados por los ciberdelincuentes. ^{[ 17 ]}

• Control de acceso
• Seguridad física
• Seguridad
• Controles de seguridad
• Gestión de seguridad
• ISO/IEC 27002
• Capacitación en concientización sobre seguridad en Internet

• Sitio web del Ejército sobre educación, capacitación y concientización en materia de seguridad.
• El ciclo de concienciación sobre seguridad
• Comparación de empresas de formación en concienciación sobre seguridad