Los empleados tendrán más responsabilidad dentro de la ciberseguridad en 2023

En los últimos tres años, todo lo relacionado con la ciberseguridad ha cobrado impulso. Aunque la mayoría de las empresas tienen claro que deben protegerse contra los ciberataques, vemos que la concienciación en torno a la seguridad también está empezando a crecer entre las propias personas. Para las organizaciones, esta es una oportunidad única de asignar una mayor responsabilidad a los empleados, siempre que dispongan de las herramientas y la formación adecuadas. 

El verano pasado, el grupo británico Coldplay tocó hasta cuatro veces en el estadio Rey Balduino de Bruselas. Como parte del espectáculo, los asistentes recibieron un brazalete que se iluminaba y cambiaba de color durante el show. Pocos espectadores se dieron cuenta, pero por supuesto el brazalete estaba conectado a su muñeca. Aunque los hackers no tendrían mucho que ganar con ello, podría no ser difícil hacerse con el control del sistema. Por ejemplo, incluso se pueden comprar dispositivos públicos en Internet que facilitan bastante el pirateo de este tipo de aplicaciones.

Por desgracia, lo que se aplica a las pulseras de Coldplay también lo es para otros wearables y dispositivos IoT (Internet de las cosas) que utilizamos. Solo en raras ocasiones se construyen estos dispositivos pensando en la seguridad. Desde un termostato inteligente hasta una cafetera que transmite datos, nuestra vida privada se ve cada vez más afectada por los dispositivos conectados. Para cualquier funcionalidad que nos haga la vida más fácil, también debemos darnos cuenta de que los ciberdelincuentes pueden convertir la tecnología en una ventaja.

Mientras tanto, muchas personas siguen trabajando desde sus casas varios días a la semana. Esto también está provocando que la historia de la ciberseguridad se desplace más allá de los muros corporativos. Afortunadamente, la mayoría de los usuarios comprenden ahora que son un eslabón importante en la cadena de seguridad y también están dispuestos a asumir su responsabilidad.

Seguridad en la descripción del puesto de trabajo

Es evidente que este cambio de mentalidad ofrece oportunidades a las empresas. Al fin y al cabo, no basta con invertir en tecnología si no se cuenta con personal dentro de la empresa. Nunca se pueden descartar por completo los riesgos, por eso es importante que los empleados sepan cómo reaccionar en caso de incidentes. Porque el hecho de que las cosas puedan ir mal algún día se ha convertido en una certeza.

En realidad, se pueden comparar los riesgos para una organización con el juego de la ruleta del casino. Puedes elegir simplemente jugar al rojo o al negro, y entonces tienes un 48,65% de posibilidades de que la bola caiga en el color correcto (también hay un cero en el juego de la ruleta europea). Si elige un número, esa probabilidad baja al 2,7%. Para una empresa, el riesgo de un incendio o un tornado es más o menos igual a la probabilidad del número, pero el ciberataque corresponde al rojo o al negro. Los piratas informáticos se mueven de empresa en empresa, por lo que existe una posibilidad muy real de que el día de mañana también llamen a su puerta.

Esta toma de conciencia también ha penetrado en la sala de juntas, lo que ha dado lugar a que se dedique más atención y presupuesto a la seguridad. En lugar de poner toda la presión sobre los hombros del CISO, a esta persona se le permite unirse a la mesa de la junta más a menudo y se le da un papel más global para integrar la seguridad en todas las capas de la organización. A corto plazo, incluso podemos esperar que la seguridad se convierta en una parte fija de la descripción de cada puesto de trabajo. Se establecerá casi literalmente que las personas deban tener un cierto nivel de conciencia cibernética y que sean responsables de mantenerla actualizada. Por supuesto, esto solo es posible si el empleador proporciona las herramientas para hacerlo.

Sensibilización y formación

¿Cómo se aborda esta cuestión? Tendrá que haber algún tipo de compensación, con empresas que inviertan más en herramientas y formación para que la gente pueda asumir un papel más activo. Este planteamiento tiene dos vertientes. En primer lugar, hay que sensibilizar, porque todavía hay empleados que no saben exactamente cuáles son los riesgos. Para ello, se podría, por ejemplo, contratar a un hacker que demuestre cuánto daño puede causar un pequeño error en apenas unos minutos y cómo una rápida respuesta del usuario puede evitar gran parte de ese daño.

En muchas organizaciones, la formación en concienciación se detiene ahí, pero también hay que seguirla con ejercicios. Al fin y al cabo, todos los años hacemos simulacros de incendio para que todo el mundo sepa qué hacer en caso de emergencia. ¿Por qué no hacer lo mismo con la ciberseguridad? La seguridad es un tema que requiere atención constante. Incluso podría crear un equipo de campeones, un grupo de empleados que, gracias a una formación adicional, tienen más conocimientos sobre seguridad y pueden instruir a sus compañeros.

La clave está en las personas

Quienes lo hagan bien pronto descubrirán que la mayoría de los empleados están más abiertos que nunca a este tipo de formación. En última instancia, los conocimientos y habilidades no solo serán útiles en la oficina, sino también en el ámbito privado para saber cómo hacer frente a las ciberamenazas. Nadie quiere que mañana un hacker se ponga a jugar con su termostato inteligente, o que un dispositivo mal protegido provoque el saqueo de su cuenta bancaria. Además, una persona correctamente formada se extenderá a la educación de sus hijos. Con el tiempo, ellos también jugarán con un smartphone muy pronto, y así podremos crear una generación más ciberconsciente.

Así que la tendencia más importante en ciberseguridad para 2023 no tiene nada que ver con las nuevas tecnologías. Sin embargo, es un mensaje que en realidad llevamos predicando desde hace más de una década: los humanos son la clave de la solución. La mayor diferencia con respecto a hace un tiempo es que ahora las personas sienten curiosidad por sí mismas y quieren saber qué pueden hacer para aportar su granito de arena. Esta es una oportunidad que las empresas no pueden desaprovechar.