Es octubre, y eso significa que decenas de empresas están marcando el Mes de la Concientización sobre la Seguridad Cibernética con la misma rutina antigua: los empleados inician sesión en portales, hacen clic en videos animados o conjuntos de diapositivas y realizan cuestionarios sobre correos electrónicos de phishing. Los rituales están destinados a hacer que las redes y los datos sean más seguros.
¿La realidad? No funciona.
Las investigaciones demuestran que este enfoque común es insuficiente, y los expertos recomiendan una importante agitación en el proceso de capacitación, que implica el desarrollo de habilidades y el compromiso continuo, para mejorar el reconocimiento y la elaboración de informes de estafas de phishing (impulsadas cada vez más por la IA), el compromiso del correo electrónico comercial y otra actividad sospechosa.
Un estudio reciente de UC San Diego Health acusó abiertamente el enfoque anterior. Casi 20,000 empleados recibieron ocho rondas de correos electrónicos de phishing simulados durante ocho meses. Algunos que tomaron el cebo y hicieron clic en un enlace de phishing integrado fueron enrutados al material de capacitación antiphishing y se les notificó que habían caído por un correo electrónico de phishing simulado mientras que otros, el grupo de control, fueron enrutados a una página sin salida 404 (error No encontrado). Después de repetir las pruebas para ver si los empleados volverían a hacer clic en los señuelos de phishing, la tasa de fracaso de los empleados “capacitados” era solo un 1.7 % mejor que la de aquellos que no habían recibido capacitación.
¿Explicación? La mayoría de las personas cerró las páginas de capacitación en cuestión de segundos después de recibirlas. Más de un tercio ni siquiera se veía.
“Resulta que muchas personas no dedican tiempo a la capacitación”, dijo Ariana Mirian, coautora e investigadora de seguridad sénior actual de Censys. “Esencialmente, la página se abrió y la cerraron, lo que implica que en realidad no estaban realizando la capacitación”.
Capacitación de seguridad del empleado: la raíz (e historia) del problema
Ese enfoque apenas ha cambiado en dos décadas, incluso cuando el volumen de correos electrónicos, la sofisticación de las estafas y la tecnología subyacente han aumentado drásticamente.
“Es como que a cada organización se le está dando una caja de píldoras que se les ha dicho que resolverán sus problemas de phishing. Siguen tomándolos, pero... realmente no están diagnosticando el problema”.Arun Vishwanath, consultor de seguridad y autor de la guía antiphishing The Weakest Link
En 2007, los cadetes de West Point que recibieron lecciones de phishing aún tenían las mismas probabilidades de caer en estafas días después. En 2009, los investigadores de Carnegie Mellon descubrieron que se ignoraban los consejos contra el phishing enviados por correo electrónico, mientras que las lecciones integradas funcionaban solo modestamente mejor. Y en 2022, el Instituto Nacional de Estándares y Tecnología (National Institute of Standards and Technology, NIST) concluyó que la mayoría de los programas de concientización “no logran producir mejoras significativas a largo plazo en el comportamiento seguro”.
En particular, el NIST ayudó a arraigar las prácticas que criticó. Su orientación insta a las organizaciones a realizar programas de concientización y recomienda simulaciones de phishing seguidas de capacitación. Muchos directores de seguridad de la información (Chief Information Security Officers, CISO) incumplen con esa orientación, suponiendo que el NIST lo conoce mejor, incluso con ataques de phishing que aumentan un 202 % en la segunda mitad de 2024 y evidencia que sugiere que dichos métodos son defectuosos.
“Los CISO están en línea con el NIST y otras pautas estándar porque no tienen tiempo para hacer mucho más”, dijo Arun Vishwanath, consultor de seguridad y autor de The Weakest Link: How to Diagnose, Detect y Defend Users from Phishing. “Es como que a cada organización se le está dando una caja de píldoras que se les ha dicho que resolverán sus problemas de phishing. Siguen tomándolos, pero al hacerlo, realmente no están diagnosticando el problema. Por lo tanto, no pueden resolverlo. Sin diagnóstico, solo está generalizando el problema”.
Vishwanath cree que los académicos, proveedores y organizaciones deben dedicar más tiempo a observar por qué las personas hacen clic en primer lugar. Su investigación señala hábitos, atajos y confianza extraviada como causas raíz. Las personas manejan el correo electrónico en piloto automático, confían en señales visuales rápidas como logotipos o nombres conocidos y a menudo suprimen las sospechas cuando se distraen.
Sin abordar esos comportamientos subyacentes, la capacitación nunca cambiará los resultados, dijo.
La capacitación 2.0 sobre seguridad del empleado va más allá del escenario de cumplimiento
Parte de abordar esos comportamientos se reduce a agitar la capacitación en sí, que es lo que un estudio MITRE reciente se propuso abordar.
Autorizado por los investigadores Deanna Caputo, Lura Danley y Nathaniel Ratcliff, el artículo 2024 analizó las “elecciones maliciosas”, una forma sofisticada de ingeniería social que utiliza conversaciones comunes para extraer información confidencial. Los empleados se dividieron en dos grupos: uno recibió capacitación tradicional basada en la conciencia y el otro participó en un nuevo modelo basado en habilidades. En lugar de diapositivas, el grupo de habilidades practicó detectar conversaciones sospechosas en entornos realistas y recibió comentarios. Resultó que la capacitación en habilidades mejoró el reconocimiento y la elaboración de informes con los efectos que duran al menos un año.
La forma en que se imparte la capacitación cuenta. En los últimos años, las empresas de capacitación en seguridad han intentado mejorar su juego al producir videos de capacitación más atractivos con narración cinematográfica y digna de Netflix y efectos especiales. La pregunta “con qué frecuencia” también importa”, dijo Lance Spitzner, director de capacitación en ciberseguridad de la fuerza laboral en el Instituto SANS.
“El fracaso más común es cuando las organizaciones ejecutan la capacitación una vez al año y creen que han terminado”, dijo. “Eso no funciona”.
Lo que sí funciona, dijo, es el compromiso continuo. Corto, simple y con el tiempo. Podcasts, infografías, microvideos, simulaciones de phishing. “Tiene que ser parte de la cultura”, dijo Spitzner.
Uno y hecho no está “listo”: las nuevas reglas para la capacitación de seguridad del empleado
La capacitación también debe reflejar la realidad del trabajo diario, donde los empleados a menudo tienen más asuntos apremiantes en mente que adherirse a medidas de seguridad sensatas, advirtió Spitzner.
“Tengo un cliente que recibe de 400 a 500 correos electrónicos cada semana”, dijo Vishwanath. “Capacitarlo para revisar todos estos correos electrónicos y detectar cada instancia de phishing es mucho para pedirle a una persona”.
Los clics accidentales están destinados a ocurrir y nunca deben dar lugar a ningún castigo. En algunas organizaciones, lo hacen. Spitzner es un programa efectivo que contrarresta, alienta la franqueza, trata los errores como oportunidades de aprendizaje y hace que los empleados se asocien en defensa.
“Nadie debe ser reprendido”, dijo. “Una gran parte de la conciencia sobre la seguridad es crear una cultura en la que las personas se sientan seguras de informar errores, si ocurren. No quiere ser punitivo”.
Tampoco desea confiar solo en la capacitación. Incluso los empleados educados omiten cosas. Tome esa chap llena de cientos de correos electrónicos.
“Ninguna cantidad de capacitación ayudará a reducir esa carga”, dijo Vishwanath. “Necesita asistencia técnica para reducir la fricción y la carga cognitiva”.
La tecnología importa: por qué la capacitación en seguridad de los empleados se trata de algo más que capacitación
Tecnología debe apoyar a los empleados con herramientas como autenticación multifactor (multifactor authentication, MFA), filtro de spam sólido y detección de anomalías.
La capacitación debe ser una capa en una estrategia de defensa en profundidad, no la base, dijo. Los sistemas deben diseñarse teniendo en cuenta la falibilidad humana. La suposición no debe ser que los empleados siempre detecten la amenaza, pero que algunos la extrañarán y el sistema contendrá el daño.
Ese imperativo de diseño solo ha crecido con el auge de la IA generativa. Los correos electrónicos de phishing ahora son fluidos, persuasivos y baratos de producir a escala. Los ataques también se están moviendo a nuevos canales: mensajes de texto, llamadas telefónicas (phishing verbal, también conocido como vishing), incluso voces falsas que se hacen pasar por los colegas y jefes de un trabajador .
El problema con el Mes de la Concientización sobre la Ciberseguridad
Entonces, ¿dónde sale todo esto del Mes de la Concientización sobre la Ciberseguridad? Por sí solo, la observancia anual corre el riesgo de reforzar la mentalidad de verificación de casillas. Los módulos de capacitación se eliminan, los registros de cumplimiento se actualizan y las organizaciones se aseguran de que son más seguros. Luego, vuelven a funcionar como siempre a partir de noviembre, y la capacitación en seguridad no se examina durante un año.
“El fracaso más común es cuando las organizaciones ejecutan la capacitación una vez al año y creen que han terminado. Eso no funciona”.Lance Spitzner, director de capacitación en ciberseguridad de la fuerza laboral, Instituto SANS
Esa rutina ya no es lo suficientemente buena. Los investigadores están solicitando cada vez más que la capacitación se reemplace o complemente con enfoques basados en habilidades entregados de manera continua durante todo el año. Este refuerzo cada pocas semanas o meses permitirá a los empleados practicar, obtener comentarios y retener lo que aprenden. Sostienen que debe ser continuo, entregarse en trozos pequeños e incorporarse en los flujos de trabajo diarios. Se debe alentar a los empleados a que informen, no castigados por errores. Y las organizaciones deben equilibrar la capacitación humana con protecciones sistémicas más sólidas.
Ese cambio solo vendrá cuando los marcos evolucionen, dijo Vishwanath.
“Siempre que el NIST le indique a la gente que realice una capacitación de concientización sobre phishing, los CISO seguirán comprándolo”, dijo. “Es más fácil seguir la lista de verificación”.
En toda la imparcialidad para el NIST, no hay nada malo con una lista de verificación, per se. El verdadero desafío, argumentan los expertos, es liberarse de esa mentalidad de lista de verificación y tratar la seguridad como una práctica viviente.
“La buena capacitación es continua. Es cultural”, dijo Spitzner. “No se trata de la perfección. Se trata de mejorar”.
