Publicado: noviembre 15, 2017, 2:19 pm
La necesidad de contar con una defensa contra amenazas robusta y confiable es fundamental para las operaciones del día a día en las empresas y se hacen grandes inversiones en herramientas de seguridad con el propósito de preservar la ciber seguridad en el lugar de trabajo. El reporte 2017 Midyear Security Roundup: The Cost of Compromise, demostró una serie de peligros que corren las organizaciones en términos de amenazas.
El compromiso del correo electrónico corporativo (BEC) fue una de las amenazas más grandes de la cual las empresas tuvieron que protegerse. De acuerdo con un estudio del FBI publicado en mayo pasado, las pérdidas mundiales debido a los fraudes BEC han alcanzado los $5,300 millones de dólares desde 2013. Sin duda, las cosas no mejorarán, pues a los defraudadores lo que les interesa es ganar dinero. Muchas empresas están renuentes de reportar estos problemas por temor a que su reputación se vea afectada de forma negativa.
Si bien la seguridad efectiva en el trabajo no se da por casualidad, es un proceso que requiere supervisión y dirección, así como políticas, las cuales se deben comunicar de manera efectiva. El Director de Seguridad de la Información (CISO) es quien dirige la creación de esas políticas, las iniciativas de educación, el responsable de conseguir el presupuesto para apoyar el desarrollo de las mismas.
El CISO es quien dirige al equipo técnico que desarrolla estos programas, y trabaja con las áreas de tecnología de la información, recursos humanos y seguridad para integrarlos en los procesos de administración, desarrollo y operaciones de la organización. Además, este equipo de seguridad de la información debe contar con los procedimientos para detectar un problema, manejar una brecha, resolver las consecuencias e informar a las partes interesadas del problema y su solución.
Y lo más importante, sus empleados deben estar convencidos del programa.
Cuando se diseña un programa de concientización, debe considerar este modelo para validar su efectividad. Imagine a un empleado que entra a su oficina y ve que alguien está haciendo algo en su computador que podría ser incorrecto. Hágase estas tres preguntas sobre ese empleado:
¿Sabría si la actividad es correcta o incorrecta?
¿La reportaría?
Si tomara el teléfono, ¿sabría a quién llamar?
Si las respuestas son afirmativas, su programa es efectivo, pero si por el contrario es negativa, su programa podría fracasar. Es necesario que los empleados conozcan cuales podrían ser las malas prácticas, para reconocerlas y actuar de la forma adecuada a las políticas planteadas dentro de la organización.
Tenga en cuenta que estos resultados son independientes de la tecnología que la organización utiliza. La tecnología importa. La inversión es necesaria pero no es una condición suficiente para tener una protección exitosa. Pero sin el nivel adecuado de concientización, la cultura y los procesos adecuados para reforzar esa cultura, ningún nivel de inversión tendrá éxito.
