5 maneras en las que los usuarios crean incidentes de ciberseguridad

De acuerdo con la Encuesta del Estado Global de la Seguridad de la Información (GISS) 2018, aunque las empresas están gastando más recursos en ciberseguridad para mejorar sus defensas, 48% de ellas no cuentan con un programa de capacitación sobre amenazas informáticas orientado a los empleados. Grave falencia si se considera que el factor humano representa una de las mayores vulnerabilidades de un sistema informático.

Segun el estudio Cyber Insecurity: Managing Threats From Within -de la Unidad de Inteligencia de The Economist-, las vulnerabilidades de los sistemas de información asociadas a errores humanos están presentes en 85% de los incidentes más perjudiciales, en lugar de fallos en la tecnología o en los procesos.

Es más, Ryan Kalember -vicepresidente ejecutivo de Estrategia de Ciberseguridad de Proofpoint- afirma que “más del 99% de los ciberataques dirigidos dependen de la interacción humana para tener éxito».

¿Y cuáles son los factores de vulnerabilidad?

Cuando los trabajadores con acceso a los sistemas informáticos no son tenidos en cuenta en el análisis de amenazas y vulnerabilidad de una empresa, se convierten en un blanco fácil para los hackers y crean incidentes de ciberseguridad.

Lo anterior ocurre de diversas formas y, entre las principales, vale la pena mencionar:

1. Víctimas de la ingeniería social

Este concepto se refiere a la práctica de obtener información confidencial mediante prácticas fraudulentas o manipulación a los usuarios legítimos.

El pishing, método de suplantación que los hackers utilizan para engañar a las personas y conseguir que revelen data personal (generalmente mediante correos y sitios Web falsos)- es una de las prácticas más comunes de ingeniería social, al punto que en 2018 se registraron hasta 225.000 intentos diarios.

2. Descarga de malware

Los hackers también pueden infectar los dispositivos de la empresa camuflando virus en archivos adjuntos a los emails, así como en programas descargables de la web. De esta forma, un colaborador puede descargar un peligroso malware creyendo que lo que está llevando a la memoria del PC es la canción hit del momento.

3. Mala gestión de los dispositivos

Tendencias como “traiga su propio dispositivo (BYOD, por sus siglas en inglés)” y la flexibilización del trabajo han derivado en que los colaboradores usen los dispositivos fuera de las oficinas sin seguir ningún protocolo de seguridad, llegando incluso a prestarlos a amigos y familiares sin restricciones.

Eso crea un riesgo muy alto que puede terminar con incidentes de ciberseguridad graves como la descarga de malware o la penetración de hackers al sistema mediante redes WiFi inseguras.

4. Incumplimiento de las políticas internas

Aunque las políticas de ciberseguridad de una empresa estén bien diseñadas, es posible que los colaboradores no las cumplan por pereza, desinterés o simple rebeldía, aumentando significativamente las vulnerabilidades de un sistema informático.

Por ejemplo, siempre se recomienda usar autenticación multifactorial y/o el uso de contraseñas diferentes para diversas cuentas, pero los trabajadores pueden hacer caso omiso a ello y emplear una sencilla -y única- clave para todos los accesos.

5. Pérdida de dispositivos

Cuando los trabajadores llevan fuera de la oficina smartphones, USB, discos duros, ordenadores portátiles y demás dispositivos de la empresa, corren el riesgo de perderlos. Si los equipos no cuentan con accesos altamente seguros, la información puede caer en manos equivocadas.

Cuando el análisis de amenazas y vulnerabilidad de una empresa considera este tipo de situaciones junto con el riesgo tecnológico, obtiene una visión holística de las amenazas, disminuyendo el riesgo de daños por ciberataques no solo con herramientas de detección y prevención, sino con capacitaciones de calidad sobre las mejores prácticas de seguridad, los riesgos cibernéticos a los que los trabajadores están expuestos a diario y las graves consecuencias que pueden tener.

Mayor conciencia y conocimiento de cuáles son los factores de vulnerabilidad técnica que enfrentan los colaboradores permitirá a las empresas elevar sus niveles de ciberseguridad y, con ello, disminuir los riesgos en la materia.

Si lo logras habrás acabado con la más grave de todas vulnerabilidades de los sistemas de información en tu empresa. Aunque no será tarea fácil pues, como dijo Ryan Kalember en entrevista con Efe,  «la naturaleza humana es más difícil de cambiar que un código malicioso«.