Estas no son precisamente las opiniones que uno esperaría escuchar de los empleados sobre un vídeo formativo obligatorio sobre concienciación en materia de seguridad.
«¡¡¡Divertido y emocionante!!!»
«Una narración magnífica».
«Intenso».
Se recibieron numerosos comentarios positivos sobre una serie de películas producida por Living Security, una empresa líder en la creación de contenidos sobre gestión de riesgos humanos. Más propia de la saga «Bourne» que de un aburrido tutorial corporativo, «BornSecure: Training Grounds» narra las aventuras de Jacob Webb, un empleado de oficina corriente convertido en agente cibernético de élite, reclutado al más puro estilo de «Matrix» por un equipo de superhackers éticos que operan en la clandestinidad. En el tráiler de la serie, mientras suena una música inquietante, vemos a Jacob mirando con recelo a una cámara de seguridad. Alguien corre, una silla se vuelca, los drones zumban sobre sus cabezas y Jacob sale disparado por una puerta de seguridad hacia la luz deslumbrante del sol.
No tiene nada que ver con la típica sesión aburrida de PowerPoint, que suele provocar más bien gestos de incredulidad que cambios reales en el comportamiento en la oficina.
Según Drew Rose, fundador, director de seguridad (CSO) y responsable de desarrollo estratégico de Living Security, la formación en concienciación sobre seguridad —que implemente el 97 % de las organizaciones— recurre con demasiada frecuencia a contenidos por el mero hecho de incluirlos, y ese método no funciona. «Solo era para marcar una casilla», afirma Rose. El empleado realizó el encargo, pero ahí se limitó su participación. Estas sesiones superficiales no solo resultan aburridas —y, por lo tanto, ineficaces, según los analistas—, sino que además carecen de indicadores que permitan determinar si los participantes han aprendido realmente algo.
«El aprendizaje y el desarrollo resultan más eficaces cuando se imparten a través de simulaciones continuas y atractivas de situaciones de crisis de la vida real», explica Bec McKeown, directora de ciencias humanas de Immersive Labs, un centro de formación con sede en el Reino Unido y oficinas en Boston, que evalúa y mide las capacidades cibernéticas y la resiliencia de la plantilla.
Se espera que, al hacer que este tipo de contenidos formativos resulten entretenidos e interactivos, las empresas consigan que los empleados comenten la sesión de formación durante las pausas para tomar agua y les animen a tomarse más en serio la ciberseguridad.
Los seres humanos son el eslabón más débil
Desde hace tiempo se reconoce que las personas son el eslabón más débil de la ciberdefensa de una organización, pero una formación adecuada puede ayudar a subsanar esta situación: aumentando la concienciación y la vigilancia ante los riesgos potenciales, mejorando la moral y haciendo que los empleados se sientan más capacitados respecto a su papel en la estrategia global de ciberseguridad de su organización.
«Elaprendizaje y el desarrollo resultan más eficaces cuando se imparten mediante simulaciones continuas y atractivas de situaciones de crisis de la vida real».Bec McKeown, directora de Ciencias Humanas de Immersive Labs
«Las empresas se están dando cuenta cada vez más de que sus herramientas y su tecnología ya no bastan para garantizar la resiliencia; las capacidades de las personas y de los equipos son igual de importantes», afirma el Dr. John Blythe, psicólogo colegiado y director de psicología de la plantilla cibernética en Immersive Labs. «Muchos empleados se sienten cansados por las presentaciones aburridas, mientras que otros se agotan con los cursos de formación en línea que ya están muy vistos, en los que no aprenden nada a pesar de las horas de formación».
Y el problema, al parecer, comienza antes de lo que podría pensarse.
A menudo, los trabajadores se sienten desmotivados respecto a la formación en materia de seguridad incluso antes de asistir a esas presentaciones aburridas y a los cursos de aprendizaje en línea. Todo comienza con la brecha existente entre los empleados del ámbito tecnológico y los que no lo son dentro de la empresa.
Rose admite que, en el mundo de la tecnología, algunas personas tienden a considerar a sus compañeros de trabajo que no pertenecen a ese ámbito como menos expertos y menos informados. Si los empleados que no pertenecen al ámbito técnico no se sienten respetados, es menos probable que se pongan en contacto con los equipos de TI y de seguridad cuando surja un problema.
Dado que los usuarios finales tienen un impacto tan grande en el riesgo empresarial, es necesario dedicar más esfuerzos a fomentar las relaciones entre los perfiles técnicos y los no técnicos, según afirman los expertos. Teniendo esto en cuenta, los líderes empresariales están recurriendo a técnicas como la gamificación y los concursos con atractivos premios, como forma de acercar a ambas partes, mejorar la comunicación y, a largo plazo, mitigar los riesgos de manera más eficaz.
Esos líderes también están revisando los contenidos de sus cursos de formación con un ojo más crítico, dejando de lado las presentaciones de PowerPoint en favor de contenidos que podrían encajar mejor, por así decirlo, en Netflix.
¡Vayamos al cine!
El objetivo de unos buenos vídeos de formación en concienciación sobre seguridad es doble, afirma Perry Carpenter, responsable de estrategia y evangelización de KnowBe4’s . Los responsables de seguridad necesitan un producto que refuerce la relación entre su equipo y los empleados, y eso se consigue demostrando a los trabajadores que se tienen en cuenta sus intereses. También es importante conectar con ellos a un nivel humano y emocional, ya que, al hacerlo, se aumenta la probabilidad de que retengan mejor la información.
«Hemos oído historias de empleados que cambian de trabajo, pero se registran en nuestra plataforma solo para poder seguir viendo los episodios».Perry Carpenter, responsable de evangelización y director de estrategia de KnowBe4
Con el fin de elaborar mejores materiales de sensibilización en materia de seguridad, empresas del sector como KnowBe4 y Living Security prestaron atención a cómo pasan los empleados su tiempo libre y al tipo de contenidos con los que interactúan. Spoiler: A la gente le gusta ver películas y devorar series de televisión. No había ninguna razón por la que los vídeos de formación en concienciación sobre seguridad no pudieran simular ese mismo tipo de entretenimiento.
Siguiendo el ejemplo de series como «Homeland» , de Showtime, y «24», de Fox, KnowBe4 ha desarrollado «The Inside Man», una serie de varias temporadas que sigue un formato episódico típico, con un reparto recurrente de personajes y tramas que giran en torno a diferentes riesgos de seguridad. La temporada 4 se centró en un ataque de ransomware contra una empresa energética internacional y en las tribulaciones de un influencer mundial que fue engañado mediante un deepfake. El tráiler de la temporada 5 se estrenó en enero.
Ninjio, una empresa de formación en seguridad con sede en Westlake Village (California), ha apostado por la animación. La empresa produce vídeos de entre tres y cuatro minutos, al estilo anime, sobre temas que van desde el suplantación de identidad en el correo electrónico empresarial hasta la protección de contraseñas, con guiones escritos por guionistas de Hollywood que cuentan en su currículum con series como «CSI: NY» y «Hawaii Five-0 ».
[Read also: The top cybersecurity trends for 2023]
Por su parte, los vídeos de Living Security ofrecen contenido para casi todo el mundo. ¿Le gustan los programas de telerrealidad? Entonces quizá le interese «The Cyber Race», un homenaje al exitoso programa ganador de un Emmy «The Amazing Race», en el que parejas de viajeros recorren el mundo en busca de pistas y superando retos relacionados con la identidad digital, el phishing y otras cuestiones de seguridad. Los aficionados a los programas de cocina aprenderán sobre ciberseguridad mientras preparan nuevas recetas con«Cyber Kitchen». También hay parodias de programas de entrevistas nocturnos, películas populares y series de situación, así como un documental al estilo de los casos reales de crímenes, inquietantemente verosímil, que enseña a los espectadores a reconocer los indicios de las amenazas internas.
La formación en concienciación sobre seguridad comienza con una buena historia
Los expertos en comportamiento organizacional llevan mucho tiempo elogiando el poder de la narración como un medio eficaz para involucrar a las partes interesadas. Los psicólogos han descubierto que las lecciones que se transmiten a través de una historia bien contada se recuerdan durante más tiempo y con mayor precisión que aquellas que se extraen de datos y cifras. Además, investigadores de la Universidad Johns Hopkins han reconocido recientemente que la narración de historias constituye un medio para lograr que los pacientes con cáncer, diabetes e hipertensión modifiquen su comportamiento.
«La formación en materia de concienciación está pasando del modelo de “qué es la seguridad” al de “por qué es importante la seguridad”».Drew Rose, fundador, director de seguridad (CSO) y responsable de desarrollo estratégico de Living Security
Según sus defensores, la razón por la que la película de formación cinematográfica funciona es que los usuarios no la consideran una pérdida de tiempo. Es una oportunidad para ver algo relacionado con el trabajo que, además, resulta entretenido. Es posible que los espectadores lleguen incluso a sentirse involucrados.
«Recibimos correos electrónicos de equipos de seguridad en los que nos indican que su personal está preguntando por el próximo episodio o la próxima temporada», afirma KnowBe4’s Carpenter. «Hemos oído hablar de empleados que cambian de trabajo, pero se registran en nuestra plataforma solo para poder seguir viendo los episodios».
Rose, de Living Security, considera que el paso a las películas cinematográficas constituye el siguiente paso lógico en la formación en materia de concienciación sobre seguridad.
«La formación en materia de concienciación está pasando del modelo de “qué es la seguridad” al de “por qué es importante la seguridad”», afirma Rose. La gente sabe qué son el phishing y el ransomware . Según él, estas películas muestran con mayor detalle cómo los incidentes cibernéticos afectan a una organización. Asimismo, ponen de manifiesto la evolución del sector, desde el concepto de «formación en concienciación sobre seguridad» hasta el de «gestión de riesgos humanos». Los empleados son conscientes de la importancia de la seguridad. Ahora es el momento de gestionar su riesgo.
Al hacerlo, afirma Carpenter, los responsables empresariales y de seguridad pueden influir no solo en el comportamiento de los empleados, sino también en toda la cultura del lugar de trabajo.
Así pues, aunque no verá estas obras nominadas a los premios en la ceremonia de los Óscar de esta semana ni en la retransmisión de los Emmy a finales de este año, contribuirán en gran medida a garantizar la seguridad de su organización. Y eso es mejor que cualquier trofeo.
