[ad_1]
Los programas de capacitación en ciberseguridad y cumplimiento son ahora un gran negocio. Según Cybersecurity Ventures, el mercado de formación en materia de concienciación sobre seguridad alcanzó los 5.600 millones de dólares en 2023 y se espera que supere los 10.000 millones de dólares en los próximos cuatro años. Este auge del mercado no es una sorpresa: las amenazas cibernéticas son rampantes y los ataques a gran escala continúan apareciendo en los titulares, el más reciente de ellos afectó a la Biblioteca Británica, solo por nombrar un ejemplo del Reino Unido, y alterando su capacidad de funcionamiento. Todo esto demuestra que todas las organizaciones, sin importar su tamaño, corren el riesgo de sufrir una infracción.
Las técnicas de ingeniería social, en las que un atacante apunta a las personas que tienen acceso a los sistemas (en lugar de a los sistemas mismos) y las manipula para ceder el control, fueron las tácticas maliciosas más populares en 2023. Por lo tanto, las empresas tienen razón al reconocer que las personas son un elemento clave. vulnerabilidad.
Anual la seguridad cibernética La formación en materia de sensibilización es una característica habitual del programa. calendario para la mayoría de las organizaciones en un intento de garantizar que cada persona dentro de cada departamento desarrolle sus habilidades de concienciación cibernética y sea capaz de detectar amenazas y responder en consecuencia antes de que se conviertan en un problema importante. Frente a las amenazas a la seguridad que evolucionan rápidamente, esta capacitación a menudo está desactualizada y puede llevar meses o incluso años lograr que esa educación ayude a las personas a reconocer las tácticas utilizadas.
Director de seguridad de la información para EMEA, Netskope.
¿Debería la formación llegar más rápido que cada año?
Pregúntele a cualquier líder de seguridad y no le resultará difícil admitir que los empleados consideran que la capacitación anual en ciberseguridad requiere mucho tiempo y es aburrida. A menudo visto como una distracción para un empleado, muchos hacen clic, leen rápidamente, miran videos a doble velocidad y buscan cualquier atajo que puedan encontrar para obtener el certificado de finalización, marcar la casilla y continuar con su jornada laboral.
Es más, la interactividad, a menudo limitada, de cada curso de formación anual no logra captar ni mantener la atención de los empleados. Las tasas de retención se desploman sin un compromiso activo, y muchos esquemas de capacitación carecen de cualquier forma de conectar al empleado con escenarios del mundo real que podrían ocurrir en su función laboral específica.
Incluso para aquellos casos atípicos que consideran que la capacitación anual es interesante y esclarecedora, todavía hay poca evidencia de que realmente eduque a las personas o conduzca a cambios de comportamiento positivos. Como resultado, sirven como poco más que casillas de verificación de cumplimiento, en lugar de ser una medida proactiva para construir una cultura de vigilancia y defensa contra amenazas. En última instancia, no se trata de un uso eficiente del tiempo y los recursos, y los ataques cibernéticos continúan con su impulso constante.
También vale la pena señalar que los actores maliciosos construyen específicamente sus campañas de manera que incluso los mejor capacitados empleado olvida su lógica general de ciberseguridad. Esto incluye aprovecharse del comportamiento emocional, en lugar del lógico, y aprovechar un sentido de urgencia para guiar específicamente a la víctima fuera de su enfoque lógico y entrenado.
Entonces, ¿cómo vamos más allá de la educación? Las organizaciones de todo el mundo necesitan una intervención conductual que ayude a que las personas vuelvan al pensamiento lógico antes de que asuman grandes riesgos cibernéticos.
Un paso hacia una mayor higiene cibernética
Una intervención pequeña, regular y centrada en las personas es una ruta ideal para lograr cambios de comportamiento eficaces a largo plazo. Un ejemplo de esto es la teoría del empujón, un conjunto general de principios destinados a guiar el comportamiento humano por un camino más deseable. Es un concepto bien establecido que ha tenido un gran éxito en el pasado, guiando a las personas hacia elecciones de alimentos más saludables y comportamientos proambientales, y requiere sólo pequeños cambios en la toma de decisiones en momentos cruciales cuando están pasando por comportamientos (a menudo automáticos). Por lo tanto, aplicar esto al mundo de la ciberseguridad parece una obviedad.
De la misma manera que las señales de velocidad del radar muestran su velocidad actual, dándole un segundo para pensar y adaptar su comportamiento, deberíamos tener señales en el trabajo que nos permitan saber cuándo estamos a punto de participar en un comportamiento cibernético riesgoso y animarnos a reducir la velocidad. y pensar.
Esta ruta de prevención centrada en las personas puede ser muy eficaz y es una herramienta que debería ser más conocida y accesible para las empresas. El entrenamiento de usuarios en tiempo real, por ejemplo, aprovecha la detección de IA para señalar instantáneamente al individuo un comportamiento de alto riesgo a medida que ocurre y proponer acciones alternativas para el empleado.
Esto es particularmente importante en la era de la IA generativa, donde terceros herramientas de inteligencia artificial están disponibles gratuitamente en muchas empresas y plataformas como ChatGPT y Google Bard es visto como el asistente al que acudir para muchas tareas administrativas. El riesgo aquí es que muchos empleados cargan datos confidenciales en estas plataformas (desde el código fuente hasta información de identificación personal) y aumentan significativamente el riesgo de pérdida de datos.
En la mayoría de los casos, los empleados que acceden a estos servicios no son conscientes del riesgo y tratan de ser productivos con herramientas con las que están familiarizados o con las que han tropezado. En lugar de bloquear esta actividad por completo, lo que podría provocar que un empleado descontento trabaje más duro para eludir la política, el coaching de empleados justo a tiempo brinda la oportunidad de explicar el riesgo en el momento en que surge, diseñado para adaptarse a la cultura y el tono de la empresa. de voz, así como políticas, y recomendar formas más seguras de lograr el mismo resultado.
Educación continua
Esta forma de educación y refuerzo continuo puede proporcionar a los empleados lo que le falta a la formación anual: una oportunidad para contextualizar la información y evitar que se desvanezca rápidamente en la memoria. Es más, esta aplicación práctica de recordatorios constantes en la vida laboral diaria de un empleado es el ingrediente esencial para comprender y aprovechar plenamente una mayor higiene cibernética.
Entrenando empleados en tiempo real para convertirse en mejores ciudadanos cibernéticos y tomar decisiones más seguras, las empresas pueden prevenir incidentes cibernéticos en el momento en que ocurre la amenaza y crear oportunidades genuinas de aprendizaje en la vida laboral diaria de los empleados.
En lugar de ver a los humanos como un eslabón débil en nuestra postura de seguridad, deberíamos abordarlos como nuestra última línea de defensa entre una empresa y el panorama de las amenazas cibernéticas. Es importante que reconozcamos esto y capacitemos a las personas de la manera que sea más efectiva y empoderadora.
Hemos enumerado los mejores antivirus en la nube..
Este artículo se produjo como parte del canal Expert Insights de TechRadarPro, donde presentamos las mejores y más brillantes mentes de la industria tecnológica actual. Las opiniones expresadas aquí son las del autor y no son necesariamente las de TechRadarPro o Future plc. Si estás interesado en contribuir, descubre más aquí: https://www.techradar.com/news/submit-your-story-to-techradar-pro
[ad_2]
Source link
