Abordando el problema de las personas en la ciberseguridad

AS-056-2023

Fecha: 10/Oct/2023

Resumen:

Las personas el eslabón más débil.

Octubre marca el vigésimo aniversario del Mes de la Concientización sobre la Ciberseguridad , una campaña anual dirigida por la Agencia de Infraestructura y Ciberseguridad (CISA) en asociación con la Alianza Nacional de Ciberseguridad para crear conciencia sobre las formas en que podemos proteger mejor nuestros datos. Algunos de los ciberataques más visibles de los últimos meses nos han recordado que todos desempeñamos un papel en la seguridad y que las personas siguen siendo nuestro eslabón más débil. Los actores maliciosos continúan aprovechándose de la naturaleza humana mediante el uso de correos electrónicos de Phishing, mensajes de texto persuasivos y llamadas telefónicas convincentes para obtener acceso a sistemas de alto valor, datos confidenciales y obtener recompensas financieras. Se analiza más de cerca el problema de las personas y lo que las organizaciones pueden hacer para fortalecer las defensas. [1]

El problema de las personas tiene dos vertientes:

1. Falta de concienciación sobre la seguridad entre los usuarios y falta de talento en ciberseguridad. Comencemos con el primer desafío: qué pueden hacer las organizaciones para crear conciencia sobre la seguridad entre los usuarios.

Soporte para programas de concientización sobre seguridad: según el Informe de concientización sobre seguridad SANS 2023: Gestión del riesgo humano ( PDF ), los niveles de madurez de los programas de concientización sobre seguridad están mejorando en comparación con el año pasado. Sin embargo, las organizaciones están luchando con los fundamentos del desarrollo de programas, incluida la falta de presupuesto, los límites en el tiempo de capacitación de los empleados y la falta de personal y de tiempo para la gestión de programas. No sorprende que los programas más eficaces estén respaldados por un sólido apoyo de liderazgo, cuenten con empleados dedicados a tiempo completo y promuevan una sólida cultura de seguridad en la que se fomente y facilite la notificación de incidentes, lo que ayuda a mitigar el riesgo.[1]
Capacitación de usuarios: Tampoco es sorprendente que el informe SANS encuentre que el Phishing/Smishing/Vishing encabeza la lista de riesgos humanos, seguido de contraseñas/autenticación, detección/informes y configuración incorrecta del administrador de TI. La capacitación debe centrarse en estas cuatro áreas e ir más allá de la capacitación anual por computadora e incluir capacitación continua para que los conceptos clave se refuercen durante todo el año. Involucrar a los equipos de seguridad en el desarrollo de capacitación en seguridad centrada en las personas ayuda a garantizar que el contenido siga siendo muy relevante para la organización. Asociarse con otros departamentos, como el de comunicaciones y recursos humanos, y contratar consultores de capacitación externos también ayudará a impulsar la efectividad del programa y al mismo tiempo optimizar los recursos.[1]

2. Si analizamos el segundo componente del problema de las personas la falta de talento en ciberseguridad, una combinación de capacitación y tecnología puede ayudar a cerrar la brecha. Por ejemplo:

Formación de profesionales en ciberseguridad: La ciberseguridad en sí misma es una experiencia de aprendizaje continuo, algo que muchas veces se pasa por alto. Una nueva investigación realizada por Enterprise Strategy Group (ESG) encuentra que el 40% de los profesionales de ciberseguridad creen que su organización debería aumentar su compromiso con la capacitación en ciberseguridad para ayudar a abordar la escasez de habilidades al permitir que la organización aproveche al máximo los recursos existentes. Asociarse con proveedores de tecnología de seguridad que ofrecen capacitación sobre productos y la ponen a disposición en múltiples formatos y factores de forma, incluidos los dirigidos por un instructor/en persona, los dirigidos por un instructor/virtual y el autoservicio, brinda flexibilidad para seleccionar lo que funciona mejor para su negocio. modelo y sus equipos de seguridad.[1]
Automatización de seguridad: Un beneficio importante de la automatización de la seguridad es que los recursos humanos altamente capacitados que tiene pueden trabajar de manera más inteligente, no más intensa. En una investigación reciente, los líderes de seguridad dicen que la forma número uno de abordar un desafío importante (las altas tasas de rotación) es con herramientas más inteligentes que simplifiquen el trabajo. Además, más del 60% espera que la automatización afecte positivamente la satisfacción y retención de los empleados. Un enfoque equilibrado en el que se automaticen tareas repetitivas, de bajo riesgo y que consumen mucho tiempo, de modo que los analistas tengan libertad para tomar la iniciativa en trabajos irregulares, de alto impacto y urgentes, puede mejorar la retención y la utilización y, al mismo tiempo, generar mejores resultados de seguridad. Y un enfoque de automatización basado en datos garantiza que las acciones sigan siendo relevantes para un mayor enfoque, precisión y confianza en los resultados. [1]
Enfoque exclusivo en seguridad: En el Ecuador adicionalmente no se debe comprometer el trabajo del equipo de seguridad con otras tareas adicionales que puedan provocar que el personal no esté enfocado en las tareas centrales de seguridad, poniendo en riesgo a la comunidad que defienden.[2]
Nuevas tecnologías: enfoques y tecnologías como la IA ya están ayudando a impulsar la eficiencia. Específicamente, el procesamiento del lenguaje natural se está utilizando para identificar y extraer datos de amenazas, como indicadores de compromiso, malware y adversarios, de texto no estructurado en fuentes de datos e informes de inteligencia para que los analistas dediquen menos tiempo a tareas manuales y más tiempo a abordar los riesgos de manera proactiva. Se están aplicando técnicas de aprendizaje automático (ML) para dar sentido a todos estos datos a fin de llevar los datos correctos a los sistemas y equipos correctos en el momento adecuado para acelerar la detección, la investigación y la respuesta. Y un modelo de circuito cerrado con retroalimentación garantiza que las plataformas de operaciones de seguridad con capacidad de IA puedan seguir aprendiendo y mejorando con el tiempo.[1]

Los actores de amenazas continúan utilizando variaciones de los mismos vectores de amenazas año tras año para ejecutar ataques exitosos. Afortunadamente, tenemos en nuestro poder alterar el ciclo. Abordar el problema de las personas con enfoques y herramientas eficaces para que los usuarios y profesionales de la seguridad fortalezcan las defensas, nos permitirá trabajar de forma más inteligente, obligando a los atacantes a tomar una posición en la que deben trabajar más duro.

Referencia:

[1] https://www.securityweek.com/addressing-the-people-problem-in-cybersecurity/