Dado que los ciberataques provienen de todas partes —Estados-nación, hacktivistas, bandas criminales—, las organizaciones deben utilizar todas las herramientas de que disponen para protegerse tras la invasión rusa de Ucrania. Eso incluye a su personal.
Las organizaciones pueden contar con herramientas por valor de millones de dólares en su arsenal, y, aun así, basta con que una sola persona haga clic en un enlace o utilice un dispositivo sin parches para que todo se venga abajo.
Y así, en Arizona, dimos un gran giro.
El viejo refrán sigue siendo válido: más vale prevenir que curar. Cuando colaboré en la definición de la estrategia de ciberseguridad del estado de Arizona, uno de los primeros cambios normativos que llevó a cabo el estado fue impartir formación en ciberseguridad a todos y cada uno de los empleados públicos, cada año, proporcionándoles información básica y sensibilizándolos sobre el tema.
Aprendieron los conceptos básicos de una buena higiene cibernética . Se les enseñó a pensar antes de hacer clic en un enlace desconocido. Aprendieron cómo evitar convertirse en la próxima víctima de un ataque de phishing del tipo « » .
Gracias a esta preparación, hemos ampliado nuestro equipo de seguridad hasta alcanzar los 36,000 empleados estatales. Todos formaban parte del equipo de ciberseguridad. Todos ellos eran responsables de la defensa frente a los ciberataques.
Ampliar el concepto de seguridad
En Arizona, la seguridad impregnaba toda la cultura del Gobierno estatal . Ya no queríamos que el equipo de seguridad fuera ese grupo tan hermético que trabajaba a puerta cerrada. Queríamos que los empleados públicos comprendieran que éramos sus socios.
«La seguridad impregnaba toda la cultura del Gobierno estatal. Ya no queríamos que el equipo de seguridad fuera un grupo tan hermético.»
Si alguna vez tenían alguna duda, queríamos ser el primer grupo en el que los empleados pensaran a la hora de ponerse en contacto. Aunque no estuvieran seguros de si debían notificar un incidente, analizaríamos cualquier situación sospechosa y nos aseguraríamos de que los trabajadores no pusieran en peligro toda la red.
Arizona no es el único estado que está haciendo esto. He observado que otros estados también están empezando a impartir formación integral en materia de ciberseguridad a todo su personal.
La solidez de una organización depende de su eslabón más débil. Tanto si se está desarrollando una aplicación, gestionando nóminas o redactando un contrato
, es necesario tener en cuenta por qué se podría ser el
objetivo de un ataque. Deben saber de qué manera los malintencionados podrían intentar aprovecharse de ellos.
La formación de los empleados contribuye a que las organizaciones sean más seguras
En Arizona, la formación en ciberseguridad se ha convertido en algo tan habitual como la formación contra el acoso. Además, hicimos un seguimiento para comprobar si los participantes completaban la formación. Y, de no hacerlo, podrían quedar desconectados de la red. Así de importante era.
«[El asunto] llegó hasta el nivel de la dirección». Si las personas no realizaran la formación, se les podrían revocar el acceso y los privilegios.»
Y eso llegó hasta el nivel directivo. Aunque alguien estuviera muy ocupado y fuera una persona importante, la ciberseguridad también era muy importante. Si las personas no realizaran la formación, se les podrían revocar el acceso y los privilegios
.
En lugar de limitarse a un evento de formación anual, también hemos analizado diferentes formas de transmitir los mismos mensajes. Por ejemplo, proporcionamos breves vídeos que se podían reproducir durante un evento de equipo.
En definitiva, hemos aprendido que la formación en ciberseguridad debe ser algo más que una solución puntual. Debe diseñarse de tal forma que la seguridad sea una prioridad para todos, en todo momento.
