Tus empleados ya reportan correos sospechosos. ¿Quién los abre?

María lleva un año con su programa de concientización y hay un número que la enorgullece. La tasa de reporte de correos sospechosos subió un 40%. Sus 800 empleados usan el botón de reporte en Outlook y en Gmail, y cuando ven algo raro, avisan. Es exactamente lo que les enseñó a hacer.

En la reunión semanal, el analista de SOC le muestra otro número. Este mes entraron 183 reportes de correos reales y quedan 47 sin revisar. Algunos llevan tres días esperando.

María hace la única pregunta que se puede hacer ahí. ¿Alguno de esos 47 es phishing real? El analista todavía no los abrió, así que no tiene con qué contestar.

Los números de este artículo describen el mes de una organización concreta y no un promedio del sector. La aritmética, en cambio, se repite en cualquier programa que empiece a funcionar.

¿Qué pasa con un correo sospechoso después de que alguien lo reporta?

El triaje de correos reportados es el trabajo de decidir, uno por uno, si lo que un empleado reportó es un ataque real o una falsa alarma. Alguien tiene que hacerlo, y en la mayoría de las organizaciones ese alguien es una persona.

El analista de María los procesa en orden de llegada. Por cada reporte:

• Abre el correo original en un entorno controlado.
• Revisa los encabezados y la autenticación del remitente.
• Comprueba a dónde llevan de verdad los enlaces, que rara vez es a donde dicen llevar.
• Analiza los adjuntos, incluido el archivo que aparenta ser una factura.
• Clasifica el caso y lo cierra.

Cada reporte le lleva entre cinco y quince minutos, según lo turbio que esté el caso. Con 183 al mes y subiendo, no da abasto.

Y acá aparece la parte incómoda. El programa funcionó. La gente reporta. Lo que no creció al mismo ritmo es la capacidad de la organización para procesar lo que reporta, así que cuanto mejor entrenas a tu gente, más larga se hace la cola.

Esa cola no estaba en el plan de nadie. Apareció como consecuencia del éxito de la concientización, y no suele figurar en ninguna presentación de resultados. El reporte es la otra mitad del embudo que empieza en el clic, y de la mitad del clic ya escribimos en qué tiene que estar configurado antes de creerle a la tasa de clic.

Esa cola tiene una respuesta en SMARTFENSE, Smart Triage, un agente de inteligencia artificial que clasifica cada correo reportado como phishing real o falsa alarma en segundos en lugar de horas. Más adelante en esta serie lo contamos en detalle. Acá el foco está en el problema que resuelve, porque es el que casi nadie mide.

¿Por qué la mayoría de los correos reportados no son ataques?

De los 183 reportes de ese mes, 160 resultaron inofensivos. Había una factura real que parecía rara, una promoción y el correo de un proveedor nuevo que nadie había visto antes.

Esos 160 correos son la señal de que la gente presta atención. Un empleado que duda frente a un correo legítimo y avisa hizo exactamente lo que se le pidió, y desalentar esa duda es la forma más rápida de quedarse sin reportes.

La dificultad está en otro lado. Cada una de esas dudas cuesta el tiempo de alguien, y ese costo no aparece en ningún indicador del programa. La tasa de reporte sube y se celebra en el comité; las horas que consume esa subida no se miden en ninguna parte. Ya discutimos en este blog qué métricas reflejan de verdad un programa de awareness, y esta es una de las que casi nunca está en el tablero.

¿Qué cuesta que un ataque real espere en la cola?

Los otros 23 correos de ese mes sí eran ataques. Cada uno esperó su turno detrás de una pila de falsas alarmas, porque la cola se procesa por orden de llegada y no por riesgo.

El tiempo que pasa entre el reporte y la decisión es tiempo en el que ese correo sigue en las bandejas de entrada del resto de la organización. Nadie puede avisar, bloquear ni contener algo que todavía no se miró. Si el reporte más viejo lleva tres días, el peor caso vigente de tu organización es un ataque de tres días de antigüedad que nadie abrió.

Un botón de reporte sin clasificación rápida detrás funciona como una alarma de incendio que suena y nadie mira el panel para saber de qué zona viene.

Vale la pena separar dos cosas que suelen ir juntas en la misma conversación. Una es la capacidad de detección de la organización, que en el caso de María es buena y mejoró durante el año. La otra es su velocidad de respuesta, que depende de cuánta cola tenga una persona esa semana. La primera se mide con la tasa de reporte y se presenta con orgullo. La segunda casi nunca se mide.

Esa distinción también cambia la lectura del riesgo humano de la organización. Una empresa cuya gente detecta y avisa, pero que tarda tres días en actuar, tiene un problema de proceso y no de personas.

¿Qué debería recibir tu equipo cuando alguien reporta un correo?

Cuando un empleado reporta un correo, tu equipo necesita una respuesta a tres preguntas: qué es ese correo, qué tan riesgoso es y por qué. Con eso, la persona a cargo deja de clasificar y empieza a decidir, que es para lo que la contrataste.

La diferencia entre las dos tareas es concreta. Clasificar es abrir un archivo y averiguar qué hay dentro. Decidir es leer un veredicto, confirmarlo o corregirlo y activar lo que corresponda. La primera crece con la cantidad de reportes. La segunda, no.

El botón de reporte de phishing de SMARTFENSE se instala como complemento de Outlook, Gmail y Thunderbird, y además se integra con el botón nativo de reporte de Outlook, así que la gente no tiene que aprender un gesto nuevo. Del lado del empleado, la parte de avisar está resuelta. Lo que decide si el programa se sostiene es lo que pasa después, cuando ese aviso aterriza en la consola de reportes de alguien.

Hay una cuenta que conviene hacer antes de la próxima reunión de comité: cuántos reportes entraron el mes pasado, cuántos siguen sin decisión y cuántos días lleva el más viejo. El primer número es el que suele presentarse. El tercero es el que describe el riesgo, y es el único de los tres que nadie pide.

La otra mitad de la historia

Todo esto mira la cola desde el lado del equipo de seguridad. Falta la otra mitad, que es la que decide si el año que viene sigue habiendo reportes.

Lucía, de operaciones, dudó frente a un correo, decidió no hacer clic y avisó. Desde donde ella lo ve, después de eso no pasó nada. Ni una respuesta, ni una señal de que su aviso haya servido para algo. De eso trata qué le pasa al hábito de reportar cuando nadie responde, la próxima pieza de esta serie. Ahí la pregunta es qué le pasa al hábito de avisar cuando avisar no tiene consecuencia visible.