El empleado, primer punto débil en seguridad TI para las empresas españolas

La conclusión del informe “El factor humano en la seguridad TI: los empleados hacen vulnerables a las empresas”, elaborado por Kaspersky Lab y B2B International, no puede ser más clara: los empleados son la principal debilidad en la seguridad TI de las empresas españolas.

Si se trata de destacar porcentajes, el 46% de los incidentes de seguridad en aquéllas son causados por su capital humano. Y la cosa no acaba aquí: los empleados suelen ocultar los incidentes de seguridad en el 40% de las empresas españolas.

¿A qué se deben estos porcentajes tan altos? Empleados poco cuidadosos o desinformados son una de las principales causas tras de los incidentes de ciberseguridad. Mientras que el malware es cada vez más sofisticado, la realidad es que el factor humano puede suponer un peligro cada vez mayor.

En concreto, los empleados descuidados son una de las principales brechas en la armadura de la ciberseguridad corporativa en lo referente a ataques dirigidos. Mientras que los cibercriminales más expertos pueden utilizar un malware hecho a medida y unas técnicas de alta tecnología para planear un atraco, al final suelen aprovechar el punto de acceso más sencillo: la naturaleza humana.

Más cifras para tener en cuenta: 1 de cada 3 ataques dirigidos contra las empresas en España durante el año pasado utilizó el phishing/ingeniería social como base. A modo de ejemplo, el siguiente: un administrativo descuidado puede abrir fácilmente un archivo malicioso simulando ser una factura de alguno de los numerosos proveedores. Este incidente puede afectar la infraestructura de una organización, haciendo que el contable llegue a ser cómplice de los ciberdelincuentes sin saberlo.

“Los cibercriminales suelen utilizar a los empleados como punto de acceso a la infraestructura corporativa. Correos phishing, contraseñas débiles, llamadas falsas de soporte técnico… Hemos llegado a ver de todo. Incluso una tarjeta flash olvidada, caída en el suelo del garaje o cerca de la mesa de alguien, puede llegar a comprometer a toda la empresa. Lo único que se necesita es que alguien no sea consciente de ello o no preste atención a la seguridad, y un dispositivo que pueda conectarse fácilmente a la red donde pueda causar estragos”, afirma David Jacoby, investigador de seguridad de Kaspersky Lab.

Los ataques sofisticados a empresas no suceden todos los días, pero el malware convencional sí. Desafortunadamente, el estudio también nos muestra que los empleados descuidados siguen jugando un papel importante y causando infecciones de malware en el 46% de los incidentes en España.

El papel de los RRHH y la alta dirección de la empresa

Que los empleados oculten aquellos incidentes en los que se han visto involucrados puede derivar en consecuencias dramáticas y que el daño causado sea mayor. Incluso un evento no informado puede ser la punta del iceberg de una brecha todavía mayor, y los equipos de seguridad necesitan ser capaces de identificar rápidamente las amenazas a las que se enfrentan para tomar las medidas oportunas.

Los trabajadores suelen poner a las organizaciones en peligro al no informar de un problema porque suelen tener miedo del castigo o se avergüenzan si son responsables de algo que no ha ido bien. Algunas empresas han introducido reglas estrictas e impuesto responsabilidades adicionales sobre los empleados que no sólo son sobre tecnología, sino también tienen como base la cultura y formación de la organización. Y es ahí donde RRHH y la alta dirección necesitan involucrarse.

“El problema derivado de ocultar incidentes debe transmitirse no sólo a los empleados, sino también a la alta dirección y al departamento de recursos humanos. Si los empleados ocultan esos incidentes debe haber un porqué. En algunos casos, las empresas cuentan con unas políticas muy estrictas, pero poco claras, que ponen una gran presión sobre los empleados, indicándoles que no deben o pueden hacer esto o aquello, y que serán responsables de si algo sale mal. Este tipo de políticas suelen crear gran ansiedad y dejar a los empleados ante una única posibilidad, la de evitar la penalización. Si su cultura de ciberseguridad es positiva, basada en un enfoque educativo en lugar de restrictivo, desde la cima a la base, los resultados serán evidentes”, comenta Alfonso Ramírez, Director General de Kaspersky Lab Iberia.

Asimismo, es de resaltar el modelo de seguridad industrial, donde la aproximación de información y de aprendizaje por error están en el centro de la empresa. Por ejemplo, en un reciente comunicado, Elon Musk, de Tesla, pidió que cada incidente que afecte a la seguridad de los trabajadores le sea directamente reportado, de forma que pueda llegar a jugar un papel central en el cambio.

El factor humano: clima empresarial y más allá

Empresas y organizaciones de todo el mundo ya se dan cuenta del problema que puede llegar a suponer que los empleados las hagan vulnerables. Recordemos la cifra: el 45,3% de las empresas españolas encuestadas para el informe “El factor humano en la seguridad TI: los empleados hacen vulnerables a las empresas” admite que sus empleados son su principal debilidad en la seguridad TI.

La necesidad de implementar medidas dirigidas al personal es cada vez más evidente: el 22% de las empresas en nuestro país está analizando cómo mejorar la seguridad mediante la formación, haciendo que este sea el tercer método de ciberdefensa más popular, después de la implementación de un software más sofisticado (40%) y la incorporación de más personal de seguridad TI (31,6%)

La mejor manera de proteger a las organizaciones frente a las ciberamenazas relacionadas con las personas es combinar las herramientas adecuadas con las prácticas adecuadas. Se debe incluir también a RR.HH. y a la alta dirección para motivar y animar a los empleados a que sean diligentes y soliciten ayuda en el caso de incidentes. La formación sobre seguridad a los empleados, aportando unas claras instrucciones en lugar de unos documentos voluminosos, la construcción de habilidades y la motivación junto con la creación de la atmósfera adecuada, son los primeros pasos que toda organización debe tomar.

En cuanto a las tecnologías de seguridad, la mayoría de las amenazas pensadas y dirigidas contra los empleados descuidados, incluidos phishing, pueden ser resueltas mediante el uso de soluciones de seguridad de dispositivos. Esto puede ser suficiente para cubrir las necesidades de las pymes en cuanto a funcionalidad, protección preconfigurada o configuración de seguridad avanzada, minimizando sus riesgos.