Estamos en octubre, lo que significa que numerosas empresas están celebrando el Mes de la Concienciación sobre la Ciberseguridad con la misma rutina de siempre: los empleados inician sesión en los portales, ven vídeos animados o presentaciones de diapositivas y realizan cuestionarios sobre correos electrónicos de phishing. El objetivo de estos protocolos es reforzar la seguridad de las redes y los datos.
¿Cuál es la realidad? No funciona.
Las investigaciones demuestran que este enfoque habitual resulta insuficiente, y los expertos recomiendan una profunda transformación del proceso de formación —que incluya el desarrollo de competencias y una participación continua— para mejorar la detección y la notificación de estafas de phishing de tipo « » (cada vez más impulsadas por la inteligencia artificial), , el «business email compromise» y otras actividades sospechosas.
Un estudio reciente de UC San Diego Health ha puesto claramente en evidencia las deficiencias del enfoque tradicional. Casi 20,000 empleados recibieron ocho rondas de correos electrónicos simulados de phishing a lo largo de ocho meses. Algunas de las personas que picaron el anzuelo y hicieron clic en un enlace de phishing incrustado fueron redirigidas a material formativo sobre la prevención del phishing y se les informó de que habían caído en la trampa de un correo electrónico de phishing simulado, mientras que otras, el grupo de control, fueron redirigidas a una página sin salida 404 (error «Página no encontrada»). Tras realizar una nueva prueba para comprobar si los empleados volverían a hacer clic en los enlaces de phishing, la tasa de fracaso de los empleados «formados» fue tan solo un 1.7 % mejor que la de aquellos que no habían recibido formación alguna.
¿Podría explicarlo? La mayoría de las personas cerraron las páginas de formación a los pocos segundos de recibirlas. Más de un tercio ni siquiera lo miró.
«Resulta que mucha gente no dedica tiempo a la formación», afirmó Ariana Mirian, coautora y actual investigadora sénior de seguridad en Censys. «En esencia, abrieron la página y la cerraron, lo que implica que, en realidad, no estaban realizando la formación».
Formación en materia de seguridad para los empleados: la raíz (y la historia) del problema
Ese enfoque apenas ha cambiado en dos décadas, a pesar de que el volumen de correos electrónicos, la sofisticación de las estafas y la tecnología subyacente han aumentado de forma espectacular.
«Es como si a cada organización se le entregara una caja de pastillas de las que le han dicho que resolverán sus problemas de phishing. «Siguen tomándoselas, pero… en realidad no están diagnosticando el problema».»Arun Vishwanath, consultor de seguridad y autor de la guía contra el phishing titulada «The Weakest Link»
En 2007, los cadetes de West Point que recibieron formación sobre el phishing seguían siendo igual de propensos a caer en estafas días después. En 2009, los investigadores de Carnegie Mellon descubrieron que los consejos contra el phishing enviados por correo electrónico eran ignorados, mientras que las lecciones integradas en los mensajes solo funcionaban ligeramente mejor. Y en 2022, el Instituto Nacional de Estándares y Tecnología (NIST) de la Administración Nacional de Estándares y Tecnología ( ) llegó a la conclusión de que la mayoría de los programas de sensibilización «no logran generar mejoras significativas y a largo plazo en los hábitos de seguridad».
Cabe destacar que el NIST contribuyó a afianzar precisamente aquellas prácticas que había criticado. En sus directrices se insta a las organizaciones a llevar a cabo programas de sensibilización y se recomienda realizar simulacros de phishing seguidos de sesiones de formación. Muchos responsables de seguridad de la información (CISO) se guían por esas directrices de forma automática, dando por sentado que el NIST es quien mejor sabe, incluso a pesar del aumento de los ataques de phishing 202 % en la segunda mitad de 2024 y de las pruebas que sugieren que dichos métodos son defectuosos.
«Los CISO se ajustan a las directrices del NIST y a otras normas porque no disponen de tiempo para hacer mucho más», afirmó Arun Vishwanath, consultor de seguridad y autor de * * () y de *The Weakest Link: How to Diagnose, Detect, and Defend Users from Phishing* () (). «Es como si a cada organización le entregaran una caja de pastillas de las que le han dicho que resolverán sus problemas de phishing». Siguen recetándolas, pero al hacerlo, en realidad no están diagnosticando el problema. Por lo tanto, es imposible que puedan resolverlo. «Sin un diagnóstico, lo único que hace es generalizar el problema».
Vishwanath considera que los académicos, los proveedores y las organizaciones deben dedicar más tiempo a analizar por qué las personas hacen clic en primer lugar. Su investigación señala como causas fundamentales los hábitos, los atajos y la confianza mal depositada . Las personas gestionan el correo electrónico de forma automática, se basan en indicios visuales rápidos, como logotipos o nombres conocidos, y a menudo hacen caso omiso de sus sospechas cuando están distraídas.
«Si no se abordan esos comportamientos subyacentes, la formación nunca cambiará los resultados», afirmó.
Employee security training 2.0 goes beyond compliance theater
Parte de la solución a esos comportamientos pasa por renovar la propia formación, que es precisamente lo que se propuso abordar un reciente estudio de MITRE titulado « » ( ).
El artículo 2024 , redactado por los investigadores Deanna Caputo, Lura Danley y Nathaniel Ratcliff, analizaba las «preguntas maliciosas», una forma sofisticada de ingeniería social que utiliza conversaciones cotidianas para obtener información confidencial. Se dividió a los empleados en dos grupos: uno recibió una formación tradicional basada en la sensibilización, mientras que el otro participó en un nuevo modelo basado en las competencias. En lugar de diapositivas, el grupo de formación practicó cómo detectar conversaciones sospechosas en situaciones realistas y recibió comentarios al respecto. Se comprobó que la formación en competencias mejoraba la detección y la notificación de casos, y que los efectos se prolongaban durante al menos un año.
La forma en que se imparte la formación es importante. En los últimos años, las empresas de formación en seguridad han intentado mejorar su oferta creando vídeos formativos más atractivos con una narrativa cinematográfica, digna de Netflix , y efectos especiales. La cuestión de «con qué frecuencia» también es importante, afirmó Lance Spitzner, director de formación en ciberseguridad para el personal del Instituto SANS.
«El error más habitual es que las organizaciones impartan formación una vez al año y crean que con eso ya basta», afirmó. «Eso no funciona».
Lo que sí funciona, afirmó, es el compromiso continuo. Breve, sencillo, a lo largo del tiempo. Podcasts, infografías, microvídeos y simulaciones de phishing. «Tiene que formar parte de la cultura», afirmó Spitzner.
«Una vez y listo» no significa que «ya está»: las nuevas normas sobre la formación en materia de seguridad de los empleados
La formación también debe reflejar la realidad del trabajo diario, en la que los empleados suelen tener en mente asuntos más urgentes que el cumplimiento de medidas de seguridad sensatas, advirtió Spitzner.
«Tengo un cliente que recibe entre 400 y 500 correos electrónicos cada semana», afirmó Vishwanath. «Enseñarle a revisar todos estos correos electrónicos y a detectar cada caso de phishing es pedirle demasiado a una persona».
Es inevitable que se produzcan clics accidentales, y estos nunca deberían acarrear ningún tipo de sanción. En algunas organizaciones, sí lo hacen. Spitzner replica que un programa eficaz fomenta la transparencia, considera los errores como oportunidades de aprendizaje y convierte a los empleados en colaboradores en la defensa.
«No se debería reprender a nadie», afirmó. «Una parte importante de la concienciación en materia de seguridad consiste en crear una cultura en la que las personas se sientan seguras a la hora de informar de los errores, en caso de que se produzcan». «No conviene adoptar un enfoque punitivo».
Tampoco conviene basarse únicamente en la formación. Incluso a los empleados con estudios se les escapan cosas. Piense en ese señor que está desbordado por cientos de correos electrónicos.
«Por mucho entrenamiento que se realice, eso no va a ayudar a reducir esa carga», afirmó Vishwanath. «Sin duda, necesita algo de apoyo técnico para reducir las dificultades y la carga cognitiva».
La tecnología es importante: por qué la formación en seguridad de los empleados es algo más que una simple formación
La tecnología debe apoyar a los trabajadores con herramientas como la autenticación multifactorial (MFA), filtros de spam eficaces y la detección de anomalías.
La formación debería constituir un componente más de una estrategia de defensa en profundidad, y no su base, afirmó. Los sistemas deben diseñarse teniendo en cuenta la falibilidad humana. No se debe dar por sentado que los empleados siempre detectarán la amenaza, sino que algunos no la detectarán y que el sistema se encargará de limitar los daños.
Esa necesidad imperiosa en materia de diseño no ha hecho más que aumentar con el auge de la IA generativa. Los correos electrónicos de phishing son ahora muy convincentes, persuasivos y económicos de producir a gran escala. Los ataques también se están trasladando a nuevos canales: mensajes de texto, llamadas telefónicas (, phishing de voz, también conocido como «vishing»), e incluso , voces «deepfake» que se hacen pasar por los compañeros de trabajo y los superiores de un empleado.
El problema del Mes de la Concienciación sobre la Ciberseguridad
Entonces, ¿qué supone todo esto para el Mes de la Concienciación sobre la Ciberseguridad? Por sí sola, esta celebración anual corre el riesgo de reforzar la mentalidad de «marcar casillas». Se desempolvan los módulos de formación, se actualizan los registros de cumplimiento normativo y las organizaciones se convencen a sí mismas de que están más seguras. Luego, en noviembre, todo vuelve a la normalidad y la formación en materia de seguridad no se somete a un examen minucioso hasta pasado un año.
«El error más habitual es que las organizaciones impartan formación una vez al año y den por hecho que con eso basta. Eso no funciona.”Lance Spitzner, director del programa de formación en ciberseguridad para el personal del Instituto SANS
Esa rutina ya no es suficiente. Los investigadores reclaman cada vez con mayor insistencia que la formación se sustituya o se complemente con enfoques basados en competencias que se impartan de forma continua a lo largo del año. Este refuerzo, que se llevará a cabo cada pocas semanas o meses, permitirá a los empleados practicar, recibir comentarios y asimilar lo que aprenden. Sostienen que debe ser continua, impartirse en pequeñas dosis e integrarse en los flujos de trabajo diarios. Se debe animar a los empleados a que informen de sus errores, en lugar de castigarlos por ellos. Además, las organizaciones deberían encontrar un equilibrio entre la formación del personal y unas protecciones sistémicas más sólidas.
Ese cambio solo se producirá cuando evolucionen los marcos normativos, afirmó Vishwanath.
«Mientras el NIST siga recomendando a la gente que realice cursos de sensibilización sobre el phishing, los CISO seguirán adquiriéndolos», afirmó. «Es más fácil seguir la lista de comprobación».
Para ser justos con el NIST, no hay nada de malo en una lista de comprobación, en sí misma. El verdadero reto, según sostienen los expertos, consiste en liberarse de esa mentalidad basada en listas de verificación de tipo « » y abordar la seguridad como una práctica en constante evolución.
«Una buena formación es un proceso continuo. «Es una cuestión cultural», afirmó Spitzner. «No se trata de la perfección. «Se trata de mejorar».
