Formación sobre sensibilización en materia de seguridad

La formación para la concienciación sobre la seguridad pretende abordar y resolver las vulnerabilidades persistentes que se derivan de los errores humanos. Con un control cada vez menor sobre las herramientas y aplicaciones que utilizan los empleados, los departamentos de TI se enfrentan a retos cada vez mayores, especialmente con la prevalencia del trabajo a distancia. Los equipos de seguridad ya no pueden proteger los sistemas, datos y activos de una organización. La formación en materia de seguridad es cada vez más importante, ya que las amenazas siguen aprovechándose de los errores humanos para infiltrarse en las redes. 

Contratistas, socios comerciales, proveedores, empleados y directivos deben trabajar juntos, reconociendo cada uno su papel en la postura de seguridad de la organización. La formación en concienciación sobre seguridad contextualiza los riesgos y amenazas cibernéticos para cada parte interesada, enseñando a los usuarios a ser más conscientes de cómo utilizan la tecnología y proporcionándoles los conocimientos y herramientas para hacerlo. También demuestra por qué las personas deben preocuparse por ser conscientes y educa a los usuarios sobre los errores comunes que permiten los ciberataques, tales como:

• Mala higiene de las contraseñas
• Descuidos al descargar aplicaciones o abrir archivos adjuntos en el correo electrónico 
• Conectarse a redes inalámbricas inseguras o no protegidas 
• Utilizar dispositivos no autorizados o indebidamente reforzados en el lugar de trabajo.
• Almacenamiento inadecuado de datos 

Enfoque flexible de la formación: Aunque es aceptable y esperable cierto grado de aprendizaje estructurado, debe evitarse confinar programas enteros a una conferencia en el aula. Los contenidos presentados de manera tan formalizada suelen ser difíciles de asimilar. 

Microaprendizaje coherente y eficaz: La entrega consistente y manejable es una forma efectiva de mantener a los empleados comprometidos. Proporcionar a los empleados sesiones de formación regulares y más cortas puede ser más eficaz que presentar el material de formación en grandes trozos. Además de ser más fáciles de digerir, la falta de intervalos de tiempo significativos en las sesiones de formación puede mejorar la retención. 

Optimización y mejora continuas: Al igual que la ciberseguridad es un proceso continuo, también lo es la formación para la concienciación sobre la seguridad. Los programas de formación deben revisarse periódicamente para mantenerse actualizados y optimizados. 

Enfoque tecnológico minimizado: Los aspectos técnicos de la ciberseguridad sólo son relevantes a veces para todos los empleados. Adaptar los programas de formación a contextos específicos permite a las personas comprender cómo encaja la ciberseguridad en sus funciones. 

Apoyo a la mala actuación: Los empleados no deben tener miedo a cometer errores: si lo tienen, aumentan considerablemente las posibilidades de que alguien se abstenga de notificar un incidente de seguridad. La formación debe reflejar esta mentalidad, y los empleados con dificultades deben recibir orientación adicional.

Adaptado a una postura de seguridad única: Detalles como la industria, la ubicación, la estructura organizativa, la cultura organizativa y la demografía de los participantes en el programa deben tenerse en cuenta a la hora de implementar un programa de formación de concienciación sobre seguridad. La evaluación de entornos únicos mediante herramientas como el modelo de madurez de la concienciación sobre seguridad de SANS puede ayudar a orientar a las organizaciones hacia las estrategias específicas que puedan necesitar.

Emplear una mentalidad holística: Seguridad los programas de formación de sensibilización no deben existir en el vacío. Por el contrario, deben formar parte del enfoque global de la ciberseguridad de una organización, integrándose perfectamente con sus soluciones, procesos y políticas de seguridad. 

Establecer objetivos claros y flexibles: El propósito y los objetivos del programa de concienciación sobre seguridad de una organización deben determinarse antes de su implantación. Estos pueden evolucionar, y las organizaciones deben permanecer alineadas con sus objetivos principales.