Cuando hablamos de concientizaci\u00f3n en ciberseguridad solemos pensar en el curso anual, la charla obligatoria, el m\u00f3dulo que hay que completar antes de fin de mes. Todo eso es formaci\u00f3n, el medio. La concientizaci\u00f3n es lo que queda despu\u00e9s, cuando la persona ya cerr\u00f3 el curso y vuelve a su bandeja llena de correos. Ah\u00ed se juega el programa entero, en un d\u00eda cualquiera, y ese d\u00eda queda fuera de todo tablero.<\/p>\n
Por eso una organizaci\u00f3n puede tener el 100% de la formaci\u00f3n completada y seguir siendo vulnerable. El certificado dice que la formaci\u00f3n ocurri\u00f3. No dice nada sobre lo que hacen las personas el resto del a\u00f1o, en su bandeja de entrada real.<\/p>\n
La concientizaci\u00f3n en ciberseguridad es la capacidad de una persona para reconocer un riesgo digital en el momento en que aparece y responder bien en el acto, sin frenar a razonarlo. Se nota menos en lo que alguien puede explicar sobre seguridad y m\u00e1s en lo que hace cuando le llega el correo raro un martes a las cinco de la tarde, con quince cosas pendientes y ganas de terminar.<\/p>\n
Esa distinci\u00f3n importa porque el ataque no llega en formato examen. Llega disfrazado de algo normal, un aviso del banco, una factura, un mensaje del jefe. Y la persona no lo enfrenta con la parte de la cabeza que estudi\u00f3 el curso, lo enfrenta con el reflejo, que es r\u00e1pido y no consulta apuntes. Entrenar ese reflejo es el trabajo real de la concientizaci\u00f3n.<\/p>\n
Y es algo colectivo. Una persona atenta rodeada de un equipo que reenv\u00eda cualquier cosa sin mirar queda igual de expuesta. Por eso el foco es la cultura del grupo, m\u00e1s que la capacitaci\u00f3n individual. La concientizaci\u00f3n vive en lo que el grupo hace normal, en si preguntar \u201c\u00bfesto es real?\u201d est\u00e1 bien visto o queda como hacer perder el tiempo al resto.<\/p>\n
Muchos programas se quedan cortos porque miden lo que es f\u00e1cil de contar. Cuentan cu\u00e1ntas personas completaron el curso, cu\u00e1ntas horas se dedicaron, qu\u00e9 nota sacaron en el cuestionario. Todo eso confirma que la formaci\u00f3n pas\u00f3. Nada de eso confirma que el comportamiento cambi\u00f3.<\/p>\n
El caso m\u00e1s com\u00fan es el curso anual. Una vez al a\u00f1o juntamos todo lo que hay que saber, lo metemos en un m\u00f3dulo largo y damos el tema por cubierto. La persona lo completa, aprueba, y a los pocos d\u00edas la curva del olvido ya se llev\u00f3 la mayor parte (no por desinter\u00e9s, es como funciona la memoria con lo que usamos poco). Once meses despu\u00e9s esperamos que reaccione impecable ante un ataque real con lo poco que sobrevivi\u00f3.<\/p>\n
El otro cl\u00e1sico es tratar la concientizaci\u00f3n como un tr\u00e1mite de cumplimiento m\u00e1s que como un cambio de h\u00e1bitos. Se hace para mostrar el certificado en la auditor\u00eda. Est\u00e1 muy bien tener el certificado, pero un programa pensado solo para la auditor\u00eda se nota enseguida, aburre, no conecta. Y lo aburrido no se retiene. Un curso que la persona olvida apenas lo cierra es, en la pr\u00e1ctica, un agujero de seguridad con forma de casilla tildada.<\/p>\n
Hay un tercer punto, m\u00e1s de fondo. Muchos programas arrancan de una idea que no ayuda, la de que la persona es el eslab\u00f3n m\u00e1s d\u00e9bil. Si el mensaje de base es que el problema son los humanos, la formaci\u00f3n se vuelve un reto disfrazado y la gente aprende a esconder los errores en vez de reportarlos (y un error escondido es justo el que no podemos corregir a tiempo). La concientizaci\u00f3n que funciona hace lo contrario, trata a la persona como la primera l\u00ednea de defensa y le da con qu\u00e9 defenderse. La meta es que algo la cuide y que pueda seguir trabajando tranquila.<\/p>\n
Entre saber y hacer hay un hueco que la formaci\u00f3n sola no cierra. Podemos entender perfectamente qu\u00e9 es el phishing y aun as\u00ed hacer clic, porque en el momento del clic no estamos analizando, estamos despachando tareas en piloto autom\u00e1tico.<\/p>\n
Ya lo desarrollamos en por qu\u00e9 el phishing no es un problema de conocimiento<\/a>: la mayor\u00eda de las trampas no fallan por falta de informaci\u00f3n, nos agarran con la guardia baja. As\u00ed que el trabajo real es que las personas reconozcan la trampa cuando la tienen delante. Eso se entrena con repetici\u00f3n en contexto, poni\u00e9ndolas frente a la trampa hasta que el reflejo la registre, mucho m\u00e1s que sumando definiciones para un examen que nunca llega.<\/p>\n La forma m\u00e1s honesta de entrenar ese reflejo es dejar que la persona se equivoque en un lugar donde equivocarse no cuesta nada. Una simulaci\u00f3n bien hecha ense\u00f1a m\u00e1s que una advertencia, porque nos deja tropezar, entender por qu\u00e9 ca\u00edmos y salir con esa marca puesta (lo contamos en aprender del error jugando<\/a>). La pr\u00f3xima vez, el reflejo ya trae la experiencia adentro.<\/p>\n Hay un detalle de tono que cambia bastante el resultado. Un reflejo entrenado desde el miedo genera par\u00e1lisis. La persona duda de absolutamente todo, se agota, y muchas veces termina apagando la alarma interna para poder trabajar tranquila. Uno entrenado desde reconocer la trampa por haberla visto antes genera criterio, que es lo contrario de la par\u00e1lisis. La persona sabe d\u00f3nde mirar y sigue con su d\u00eda sin vivir en guardia.<\/p>\n Una cultura de seguridad se sostiene cuando la concientizaci\u00f3n deja de ser un evento anual y pasa a ser algo continuo, breve y bien puesto en el tiempo. En lugar de una dosis enorme una vez al a\u00f1o, muchos contactos chicos repartidos a lo largo de los meses.<\/p>\n Tres cosas ayudan a que eso funcione, y ninguna es complicada:<\/p>\n Ayuda mucho, adem\u00e1s, que el contenido le hable a cada quien en su idioma. No necesita tener presente lo mismo una persona de finanzas, que convive con facturas y transferencias, que alguien de soporte, que recibe pedidos de acceso y credenciales todo el d\u00eda. Cuando el ejemplo se parece al trabajo real de quien lo recibe, la idea pega distinto y se queda m\u00e1s.<\/p>\n La cultura aparece cuando estas cosas se vuelven parte del paisaje. Nadie tiene que acordarse de \u201chacer seguridad\u201d porque la seguridad ya est\u00e1 tejida en el d\u00eda, en dosis que no pesan.<\/p>\n La concientizaci\u00f3n funciona cuando cambia lo que las personas hacen, as\u00ed que eso es lo que hay que medir. No cu\u00e1ntas completaron el curso, sino c\u00f3mo responden ante un intento real con el tiempo: si reportan m\u00e1s, si caen menos, si dudan antes de entregar una credencial.<\/p>\n El indicador que vale es la tendencia a lo largo de los meses, m\u00e1s que la foto de un d\u00eda. Una organizaci\u00f3n que mejora tiene cada vez m\u00e1s personas que reconocen y reportan, y cada vez menos que muerden el anzuelo. Ese dato, adem\u00e1s, es el que se puede llevar a un comit\u00e9 de direcci\u00f3n sin marear a nadie (armamos una gu\u00eda para eso en reporting para el comit\u00e9 de direcci\u00f3n<\/a>). Si el reporte de tu programa se centra en horas y deja afuera el comportamiento, probablemente mida el esfuerzo y se pierda el resultado.<\/p>\n \u00bfQu\u00e9 mirar en concreto? La tasa de reporte de correos sospechosos suele ser el mejor term\u00f3metro, porque muestra a la gente que detecta y avisa, la parte activa del programa. Sirve tambi\u00e9n ver cu\u00e1nto tarda el equipo en dar el primer aviso ante una campa\u00f1a simulada. Si ese tiempo baja, el reflejo est\u00e1 m\u00e1s afilado. Y conviene desconfiar de una m\u00e9trica sola: la tasa de clics mirada de forma aislada empuja a dise\u00f1ar simulaciones f\u00e1ciles para que el n\u00famero quede lindo, que es exactamente lo que no queremos.<\/p>\n En SMARTFENSE construimos la plataforma alrededor de esta idea. Las herramientas de concientizaci\u00f3n<\/a> no persiguen que la persona apruebe un examen, buscan que desarrolle h\u00e1bitos seguros con contenido que no aburre, en el momento en que sirve, y con datos que muestran si el comportamiento se movi\u00f3. El elemento humano sigue estando entre las causas m\u00e1s frecuentes de las brechas, seg\u00fan el Verizon DBIR<\/a>, y ninguna charla anual alcanza para moverlo. Lo que lo mueve es una cultura que se cuida sola, sostenida en el tiempo.<\/p>\n La concientizaci\u00f3n en ciberseguridad se juega en el d\u00eda com\u00fan, en la microdecisi\u00f3n de mirar dos veces antes de hacer clic, mucho m\u00e1s que en el curso. Ah\u00ed lo que responde es el reflejo que entrenamos. La teor\u00eda se queda en el aula. Y un reflejo se entrena con pr\u00e1ctica, en contexto y sin aburrir, porque lo aburrido no se retiene, y lo que no se retiene no cuida a nadie.<\/p>\n","protected":false},"excerpt":{"rendered":" La concientizaci\u00f3n en ciberseguridad no se mide en horas de curso. Qu\u00e9 es de verdad, por qu\u00e9 tantos programas se quedan cortos y c\u00f3mo hacer que dure.<\/p>\n","protected":false},"author":17,"featured_media":43833,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"footnotes":""},"categories":[3,198],"tags":[223,236,1497,2254],"class_list":["post-43835","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-blog","tag-cambio-de-comportamiento-es-ar","tag-concientizacion","tag-cultura-de-seguridad","tag-factor-humano"],"acf":[],"yoast_head":" \n\u00bfC\u00f3mo se construye una cultura de seguridad que se sostenga?<\/h2>\n
\n
\u00bfC\u00f3mo saber si la concientizaci\u00f3n est\u00e1 funcionando?<\/h2>\n
En una l\u00ednea<\/h2>\n