Crear una cultura de ciberseguridad en la empresa
Crear una cultura de ciberseguridad en la empresa
La tecnología no puede proteger a las organizaciones cuando se integra y utiliza incorrectamente.
En este contexto, la mayoría de las brechas de seguridad en las organizaciones son resultado del error humano. En muchos casos se debe a la falta de concientización y formación en ciberseguridad.
Una cultura de ciberseguridad en las empresas ayuda a que la seguridad de la información sea parte integral del trabajo, hábitos y conducta de los empleados; incorporándolas en sus acciones diarias.
La cultura de ciberseguridad puede ser moldeada, adaptada y transformada de acuerdo a las propias realidades, cultura y valores de cada empresa.
De esta manera, los auténticos protagonistas de la cultura de la ciberseguridad son los empleados. Son quienes utilizan y gestionan los dispositivos tecnológicos de la empresa. Están en contacto directo con la información, el activo más valioso.
La formación es el primer paso para crear una cultura de ciberseguridad sólida. Todos los empleados deben tomar conciencia de esta disciplina y aplicar las herramientas adecuadas para prevenir los ataques informáticos.
Cabe señalar que la cultura de la ciberseguridad no es algo que se puede implementar con una simple sesión formativa. Se trata de un proceso continuo que requiere medición y análisis.
Se consideran cinco niveles de cultura de ciberseguridad:
Nivel 1: Cultura inexistente
No existe una cultura en ciberseguridad dentro de la empresa.
Los empleados no son conscientes de ser el objetivo de los posibles ciberataques, ni que sus acciones tienen impacto directo en la seguridad de la organización.
Son potenciales víctimas de fraudes cibernéticos y representan un vector de entrada real. Tampoco conocen ni entienden las políticas de seguridad de la organización.
Nivel 2: Cultura inicial
Existe cierta cultura de ciberseguridad o se ha realizado un primer acercamiento con algunas acciones aisladas de formación y concientización. Sin embargo, el programa está diseñado principalmente para cumplir con los requisitos específicos de cumplimiento o auditoría.
La capacitación se limita a una base anual. Los empleados no están seguros de las políticas de seguridad de la organización y/o su papel en la protección de los activos de su organización.
Nivel 3: Cultura en desarrollo
Hay un plan y una estrategia de concientización. Además, se complementa con la capacitación en seguridad que identifica grupos y temáticas específicas.
La organización sabe identificar los temas con mayor necesidad e impacto para el objetivo de seguridad y se centra en estos elementos clave.
El programa de formación va más allá de la formación anual e incluye algún refuerzo a lo largo del año.
El contenido se comunica de una manera atractiva y positiva que fomente el cambio de comportamiento en el trabajo y en el hogar.
Como resultado, la gente entiende y sigue las políticas de seguridad de la organización. Reconoce, previene y reporta activamente los incidentes de seguridad.
Nivel 4: Cultura avanzada
El programa cuenta con procesos, recursos y apoyo de la Alta Dirección. Necesarios para un ciclo de vida a largo plazo, incluyendo (como mínimo) una revisión y actualización anual del programa.
Como resultado, el programa es una parte de la cultura en la organización.
El programa ha ido más allá de cambiar el comportamiento y está cambiando las creencias, actitudes y percepciones de seguridad en las personas.
Nivel 5: Forma de vida
El programa tiene un marco sólido de métricas alineado con la misión de la organización para hacer seguimiento del progreso y medir el impacto.
Como resultado, el programa está mejorando continuamente y demuestra el retorno de inversión.
Esta etapa refuerza que para un programa verdaderamente maduro, se deben tener métricas demuestren su éxito.
Desafíos
Uno de los principales desafíos al que deben enfrentarse las compañías en el ámbito de la ciberseguridad es el espionaje.
Afectará en mayor medida a los sectores de alta tecnología. Según la previsión de los expertos, en la próxima década podría tener lugar una guerra estratégica con gobiernos y empresas.
Los ataques a la cadena de suministro también serán cada vez más comunes. El principal reto estará en prestar mayor atención a la seguridad de los proveedores y garantizar una adecuada higiene de seguridad.
