Los malos h¨¢bitos de los empleados son una amenaza para la ciberseguridad

La ciberseguridad es una de las principales obsesiones para las grandes compa?¨ªas, y tienen motivos. El coste de los ataques a nivel global ha subido casi un 62% desde 2013, seg¨²n el estudio 2017, el coste del cibercrimen, desarrollado por Accenture. Pero este asunto a¨²n sigue siendo una asignatura pendiente para muchas pymes, que ahora est¨¢n empezando a ver la necesidad de protegerse contra los hackers. A¨²n as¨ª, tanto grandes como peque?as empresas, utilizan principalmente medidas tecnol¨®gicas para tapar sus posibles brechas de seguridad y pocas se dan cuenta de que se est¨¢n olvidando de algo imprescindible: sus propios empleados tambi¨¦n pueden contribuir a mejorar la ciberseguridad de la compa?¨ªa.

Invertir grandes cantidades de dinero en desarrollar e implementar nuevas tecnolog¨ªas para detener a los hackers antes de que accedan a la informaci¨®n parece ser una medida b¨¢sica y obvia. "A pesar de nuestra predilecci¨®n por usar tecnolog¨ªa para resolver lo que parecen ser problemas tecnol¨®gicos, estamos pasando por alto una de las amenazas m¨¢s persistentes de la ciberseguridad: el comportamiento humano", explica Alex Blau, vicepresidente de la ONG Ideas42, que se dedica a estudiar el comportamiento humano para solucionar problemas sociales complejos. No parece exagerado asumir que las acciones humanas suponen en muchos casos una amenaza para la ciberseguridad: no olvidemos que la contrase?a m¨¢s utilizada mundialmente a?o tras a?o sigue siendo 123456.

El factor humano est¨¢ implicado en la mayor¨ªa de los ciberataques, los ejemplos m¨¢s recientes est¨¢n en WannaCry y Mirai. En estos casos, todo comenz¨® debido a las malas decisiones y acciones de los empleados que utilizaban los equipos y los que se encargaban de gestionarlos. Desde un ingeniero que pudo crear sin darse cuenta una vulnerabilidad en el software, hasta el usuario final que hizo clic en un enlace incorrecto, ten¨ªa una contrase?a d¨¦bil o hab¨ªa descuidando la instalaci¨®n de una actualizaci¨®n de seguridad. As¨ª estamos poni¨¦ndoselo muy f¨¢cil a los cibercriminales.

Tan f¨¢cil, que el a?o pasado el Instituto Nacional de Ciberseguridad (Incibe) desarroll¨® un videojuego que ense?a a las pymes a detectar sus vulnerabilidades y lo importante que es protegerse y evitar fugas de informaci¨®n. A lo largo de las pantallas los jugadores pueden descubrir cu¨¢les son las principales v¨ªas de acceso de los hackers en el sistema inform¨¢tico de su negocio y la importancia de, por ejemplo, cambiar las claves de forma habitual, actualizar el software o no conectarse a redes wifi sin protecci¨®n. Se trata de una aventura gr¨¢fica que tiene como objetivo principal concienciar a los trabajadores de todas las cosas que hay en sus manos para protegerse ante los ciberataques. Los expertos aseguran que las pymes a¨²n no han entendido los riesgos del ciberespacio y que viven ajenas a los ataques "a¨²n cuando sus consecuencias pueden ser imprevisibles para sus cuentas de resultados y su reputaci¨®n". El problema no es la inversi¨®n econ¨®mica o la falta de recursos tecnol¨®gicos, sino que muchas empresas a¨²n no ven la necesidad de escudarse.

Una de las formas de solucionar estos descuidos humanos es comenzar a utilizar la inteligencia artificial, delegando algunas decisiones humanas en las m¨¢quinas, pero estas innovaciones tambi¨¦n tienen mucho que mejorar. "El juicio humano sigue siendo necesario para llenar el vac¨ªo entre las capacidades de nuestras tecnolog¨ªas y nuestras necesidades", explica Blau. Pero si el juicio humano no es perfecto y la tecnolog¨ªa no es suficiente, ?qu¨¦ pueden hacer las empresas para reducir los riesgos de un mal comportamiento respecto a la ciberseguridad?

Un estudio de la ONG Ideas42 se?ala varias teor¨ªas sobre por qu¨¦ las personas establecen contrase?as incorrectas, olvidan la instalaci¨®n de actualizaciones o siguen haciendo clic en enlaces maliciosos. La base de todas ellas es que a¨²n seguimos pensando que los ciberataques siempre les pasan a otros y confiamos en que los enlaces que nos mandan no tienen virus, o creemos saber diferenciar entre los que son seguros y los que no. El informe tambi¨¦n hace referencia a que las actualizaciones autom¨¢ticas a veces llegan en mitad del trabajo y dan la opci¨®n de "dejarlo para m¨¢s tarde", lo que contribuye a procrastinar la instalaci¨®n. Para contribuir a la mejora de estos h¨¢bitos, proponen dos soluciones.

• Establecer las medidas de seguridad de forma predeterminada

Una de las ideas m¨¢s influyentes de las ciencias del comportamiento es que todo lo que viene predeterminado generalmente se mantiene. "En lugar de permitir que sus empleados opten por acciones de seguridad espec¨ªficas, los empleadores podr¨ªan tomarse el tiempo para configurar las computadoras y sistemas que los empleados usan para tener estas caracter¨ªsticas activadas por defecto", se lee en el estudio. Hacerlo podr¨ªa llevar a tasas m¨¢s altas de cumplimiento que confiar en que sus empleados lo hagan por s¨ª mismos.

• Reservar momentos para actualizar el sistema

Cuando salta una notificaci¨®n que recuerda que debes instalar una actualizaci¨®n, normalmente compite con las tareas que los trabajadores est¨¢n desarrollando en ese momento. Es habitual dejarlo para cuando tengamos tiempo, pero el momento ideal no parece llegar nunca. Una de las formas que los investigadores proponen para solucionar esto es reservar una hora del horario de los trabajadores a completar la actualizaci¨®n, dando as¨ª m¨¢s prioridad a la ciberseguridad.