Cuando hablamos de concienciación en ciberseguridad solemos pensar en el curso anual, la charla obligatoria, el módulo que hay que completar antes de fin de mes. Todo eso es formación, el medio. La concienciación es lo que queda después, cuando la persona ya cerró el curso y vuelve a su bandeja llena de correos. Ahí se juega el programa entero, en un día cualquiera, y ese día queda fuera de todo tablero.
Por eso una organización puede tener el 100% de la formación completada y seguir siendo vulnerable. El certificado dice que la formación ocurrió. No dice nada sobre lo que hacen las personas el resto del año, en su bandeja de entrada real.
¿Qué es la concienciación en ciberseguridad?
La concienciación en ciberseguridad es la capacidad de una persona para reconocer un riesgo digital en el momento en que aparece y responder bien en el acto, sin frenar a razonarlo. Se nota menos en lo que alguien puede explicar sobre seguridad y más en lo que hace cuando le llega el correo raro un martes a las cinco de la tarde, con quince cosas pendientes y ganas de terminar.
Esa distinción importa porque el ataque no llega en formato examen. Llega disfrazado de algo normal, un aviso del banco, una factura, un mensaje del jefe. Y la persona no lo enfrenta con la parte de la cabeza que estudió el curso, lo enfrenta con el reflejo, que es rápido y no consulta apuntes. Entrenar ese reflejo es el trabajo real de la concienciación.
Y es algo colectivo. Una persona atenta rodeada de un equipo que reenvía cualquier cosa sin mirar queda igual de expuesta. Por eso el foco es la cultura del grupo, más que la capacitación individual. La concienciación vive en lo que el grupo hace normal, en si preguntar “¿esto es real?” está bien visto o queda como hacer perder el tiempo al resto.
¿Por qué tantos programas se quedan cortos?
Muchos programas se quedan cortos porque miden lo que es fácil de contar. Cuentan cuántas personas completaron el curso, cuántas horas se dedicaron, qué nota sacaron en el cuestionario. Todo eso confirma que la formación pasó. Nada de eso confirma que el comportamiento cambió.
El caso más común es el curso anual. Una vez al año juntamos todo lo que hay que saber, lo metemos en un módulo largo y damos el tema por cubierto. La persona lo completa, aprueba, y a los pocos días la curva del olvido ya se llevó la mayor parte (no por desinterés, es como funciona la memoria con lo que usamos poco). Once meses después esperamos que reaccione impecable ante un ataque real con lo poco que sobrevivió.
El otro clásico es tratar la concienciación como un trámite de cumplimiento más que como un cambio de hábitos. Se hace para mostrar el certificado en la auditoría. Está muy bien tener el certificado, pero un programa pensado solo para la auditoría se nota enseguida, aburre, no conecta. Y lo aburrido no se retiene. Un curso que la persona olvida apenas lo cierra es, en la práctica, un agujero de seguridad con forma de casilla tildada.
Hay un tercer punto, más de fondo. Muchos programas arrancan de una idea que no ayuda, la de que la persona es el eslabón más débil. Si el mensaje de base es que el problema son los humanos, la formación se vuelve un reto disfrazado y la gente aprende a esconder los errores en vez de reportarlos (y un error escondido es justo el que no podemos corregir a tiempo). La concienciación que funciona hace lo contrario, trata a la persona como la primera línea de defensa y le da con qué defenderse. La meta es que algo la cuide y que pueda seguir trabajando tranquila.
¿Qué separa saber de hacer?
Entre saber y hacer hay un hueco que la formación sola no cierra. Podemos entender perfectamente qué es el phishing y aun así hacer clic, porque en el momento del clic no estamos analizando, estamos despachando tareas en piloto automático.
Ya lo desarrollamos en por qué el phishing no es un problema de conocimiento: la mayoría de las trampas no fallan por falta de información, nos agarran con la guardia baja. Así que el trabajo real es que las personas reconozcan la trampa cuando la tienen delante. Eso se entrena con repetición en contexto, poniéndolas frente a la trampa hasta que el reflejo la registre, mucho más que sumando definiciones para un examen que nunca llega.
La forma más honesta de entrenar ese reflejo es dejar que la persona se equivoque en un lugar donde equivocarse no cuesta nada. Una simulación bien hecha enseña más que una advertencia, porque nos deja tropezar, entender por qué caímos y salir con esa marca puesta (lo contamos en aprender del error jugando). La próxima vez, el reflejo ya trae la experiencia adentro.
Hay un detalle de tono que cambia bastante el resultado. Un reflejo entrenado desde el miedo genera parálisis. La persona duda de absolutamente todo, se agota, y muchas veces termina apagando la alarma interna para poder trabajar tranquila. Uno entrenado desde reconocer la trampa por haberla visto antes genera criterio, que es lo contrario de la parálisis. La persona sabe dónde mirar y sigue con su día sin vivir en guardia.
¿Cómo se construye una cultura de seguridad que se sostenga?
Una cultura de seguridad se sostiene cuando la concienciación deja de ser un evento anual y pasa a ser algo continuo, breve y bien puesto en el tiempo. En lugar de una dosis enorme una vez al año, muchos contactos chicos repartidos a lo largo de los meses.
Tres cosas ayudan a que eso funcione, y ninguna es complicada:
- La cadencia. El goteo continuo, contenidos cortos y espaciados, sostiene lo aprendido mucho mejor que el atracón anual. El detalle está en microaprendizaje en ciberseguridad.
- El momento. Un recordatorio sirve cuando llega justo antes de una decisión riesgosa. Tres semanas antes, dentro de un curso, ya no engancha. Ese es el terreno de los nudges, los empujoncitos en el momento justo.
- El formato. Si el contenido aburre, da igual cuán correcto sea, no se queda. Por eso trabajamos con historias, cómic y juego, cualquier cosa que sostenga la atención el tiempo suficiente para que la idea entre (acá contamos por qué la gamificación cambia comportamiento).
Ayuda mucho, además, que el contenido le hable a cada quien en su idioma. No necesita tener presente lo mismo una persona de finanzas, que convive con facturas y transferencias, que alguien de soporte, que recibe pedidos de acceso y credenciales todo el día. Cuando el ejemplo se parece al trabajo real de quien lo recibe, la idea pega distinto y se queda más.
La cultura aparece cuando estas cosas se vuelven parte del paisaje. Nadie tiene que acordarse de “hacer seguridad” porque la seguridad ya está tejida en el día, en dosis que no pesan.
¿Cómo saber si la concienciación está funcionando?
La concienciación funciona cuando cambia lo que las personas hacen, así que eso es lo que hay que medir. No cuántas completaron el curso, sino cómo responden ante un intento real con el tiempo: si reportan más, si caen menos, si dudan antes de entregar una credencial.
El indicador que vale es la tendencia a lo largo de los meses, más que la foto de un día. Una organización que mejora tiene cada vez más personas que reconocen y reportan, y cada vez menos que muerden el anzuelo. Ese dato, además, es el que se puede llevar a un comité de dirección sin marear a nadie (armamos una guía para eso en reporting para el comité de dirección). Si el reporte de tu programa se centra en horas y deja afuera el comportamiento, probablemente mida el esfuerzo y se pierda el resultado.
¿Qué mirar en concreto? La tasa de reporte de correos sospechosos suele ser el mejor termómetro, porque muestra a la gente que detecta y avisa, la parte activa del programa. Sirve también ver cuánto tarda el equipo en dar el primer aviso ante una campaña simulada. Si ese tiempo baja, el reflejo está más afilado. Y conviene desconfiar de una métrica sola: la tasa de clics mirada de forma aislada empuja a diseñar simulaciones fáciles para que el número quede lindo, que es exactamente lo que no queremos.
En SMARTFENSE construimos la plataforma alrededor de esta idea. Las herramientas de concienciación no persiguen que la persona apruebe un examen, buscan que desarrolle hábitos seguros con contenido que no aburre, en el momento en que sirve, y con datos que muestran si el comportamiento se movió. El elemento humano sigue estando entre las causas más frecuentes de las brechas, según el Verizon DBIR, y ninguna charla anual alcanza para moverlo. Lo que lo mueve es una cultura que se cuida sola, sostenida en el tiempo.
En una línea
La concienciación en ciberseguridad se juega en el día común, en la microdecisión de mirar dos veces antes de hacer clic, mucho más que en el curso. Ahí lo que responde es el reflejo que entrenamos. La teoría se queda en el aula. Y un reflejo se entrena con práctica, en contexto y sin aburrir, porque lo aburrido no se retiene, y lo que no se retiene no cuida a nadie.
Deja una respuesta