Los técnicos en radiología tenían un problema. Cada vez que uno de ellos quería acceder a los historiales médicos en el sistema informático compartido de su hospital, tenía que iniciar sesión de forma individual. El sistema y el software de «
» eran tan antiguos que el proceso de inicio de sesión podía tardar entre un
e y cinco minutos.
Su solución: quien llegara primero al turno iniciaría sesión con su nombre de usuario. Y quienquiera que fuera el último, cerraría la sesión.
«No tenían mala intención», afirma Clay Posey, quien, en su calidad de investigador científico jefe de la consultora cibernética Beyond Layer 7 , entrevistó al equipo sobre sus hábitos de higiene cibernética en . «No pretendían
provocar una violación de la confidencialidad». Sin embargo, sus acciones crearon las condiciones para que se produjera uno.
De empleado a amenaza interna
Este tipo de amenaza interna se conoce como «incumplimiento no malintencionado». Es una de las formas más habituales en que los trabajadores incumplen las políticas de ciberseguridad. «Sabían que lo que estaban haciendo iba en contra de la normativa», afirma el Sr. Posey, quien también es profesor asociado de sistemas de información en la Escuela de Negocios Marriott de la Universidad Brigham Young. «Sin embargo, las normas de seguridad que se consideraban adecuadas obstaculizaban la productividad y el flujo de trabajo. «Así pues, este grupo simplemente ideó una solución alternativa».
En otra época, ese ingenio habría sido motivo de elogio. Pero no hoy en día, cuando los ciberdelincuentes y los hackers patrocinados por Estados exploran constantemente los terminales y las vulnerabilidades de la red, en busca de credenciales de inicio de sesión, acceso
a datos confidenciales y formas de lanzar lucrativos ataques de ransomware
contra las víctimas.
De hecho, las amenazas internas como la ocurrida en el hospital suelen ser consecuencia del estrés que sufren los empleados, de la necesidad de cumplir con su trabajo e incluso de un altruismo mal entendido. Así lo indica un estudio de June 2020 realizado por Posey y otros autores, publicado por la Fundación Nacional para la Ciencia, en el que su equipo analizó el comportamiento digital de los trabajadores que acababan de empezar a teletrabajar. Han constatado que el teletrabajo (que sigue siendo la modalidad de trabajo habitual para millones de personas) ha generado más oportunidades para que se produzcan estas brechas de seguridad.
Scott Shackelford, director del Programa de Gestión de Riesgos de Ciberseguridad de la Universidad de Indiana en Bloomington, quien no participó en el estudio, afirma: «En general, estos problemas se deben a una falta de comprensión, de preocupación o a el estrés y las prisas». Y eso supone una invitación abierta a los delincuentes. «No es raro, por ejemplo, que los estafadores se pongan en contacto con los empleados a última hora de la tarde del viernes, o durante un periodo festivo, cuando saben que la atención de los trabajadores estará dispersa», afirma.
Se trata de un riesgo clave para la ciberseguridad que no puede resolverse mediante la tecnología. Solo puede resolverse actuando sobre las personas que forman parte del sistema. Los equipos de TI pueden diseñar mejores trampas para ratones, pero si lo hacen de forma aislada —sin tener en cuenta al trabajador que está frente al teclado y que ahora forma parte de un ecosistema de red distribuida fuera del perímetro protector de la empresa—, es inevitable que acaben perdiendo el queso.
Cómo se toman realmente los protocolos de ciberseguridad los trabajadores a distancia
El estudio de Posey, en el que participaron más de 330 trabajadores a distancia de una amplia variedad de sectores, reveló que los departamentos de TI suelen tener una comprensión limitada de cómo sus normas pueden interferir en los flujos de trabajo de las personas o generar nuevas fuentes de estrés. El estudio, que se basó en la información facilitada por los propios participantes durante un periodo de dos semanas, reveló que el 18 % de las infracciones de las políticas de ciberseguridad se debieron al deseo de uno o varios trabajadores de ayudarse mutuamente. En general, el 67 % afirma no haber cumplido las políticas de ciberseguridad al menos una vez, con una tasa media de incumplimiento de una vez cada 20 tareas laborales.
«. No es raro que los estafadores se pongan en contacto con los empleados a última hora del viernes o durante las vacaciones, cuando saben que [los trabajadores] estarán distraídos.»Scott Shackelford, director del Programa de Gestión de Riesgos de Ciberseguridad de la Universidad de Indiana en Bloomington
Las razones aducidas para justificar estas infracciones son reveladoras. Entre las tres razones principales se encontraban «realizar mejor las tareas de mi trabajo», «conseguir algo que necesitaba» y «ayudar a otros a realizar su trabajo». En conjunto, representaron el 85 % de las infracciones intencionadas de las normas de seguridad notificadas.
De hecho, el teletrabajo parece aumentar el riesgo de incumplimientos no dolosos por parte de los empleados. Esto puede abarcar desde que los trabajadores descarguen software no autorizado en su ordenador portátil de la empresa hasta que permitan a sus familiares utilizar el equipo de la empresa. Además, las personas acceden con mayor frecuencia a datos confidenciales desde sus dispositivos móviles cuando trabajan desde casa.
En consecuencia, las organizaciones se enfrentan a la dificultad de reforzar el cumplimiento de las normas de ciberseguridad.
Comprender la carga psicológica que supone la seguridad en el teletrabajo
Entre los problemas de ciberseguridad más graves a los que se enfrentan las organizaciones con el personal que trabaja a distancia en la actualidad se encuentran las estafas por correo electrónico y las estafas de phishing , también conocidas como o «compromiso del correo electrónico empresarial» (BEC). Así es como puede suceder: un atacante que se hace pasar por un supervisor o un compañero de trabajo cercano envía por correo electrónico a un empleado una solicitud urgente para que transfiera fondos. La presión del tiempo y el deseo de ayudar pueden llevar a los trabajadores a incumplir el protocolo y a realizar estos traslados sin verificar la solicitud.
Proteger a una organización frente a los ciberataques no solo implica establecer una política de verificación para las transacciones de gran cuantía, sino también concienciar a los empleados sobre la importancia de los protocolos de seguridad, reducir al mínimo las dificultades que estos puedan suponer para el trabajo diario y ofrecer orientación sobre cómo actuar cuando dichos protocolos entren en conflicto con la realización de las tareas.
Dado que el teletrabajo sigue siendo la norma para millones de trabajadores, los expertos en ciberseguridad señalan que los responsables deben estar atentos a la posible carga psicológica a la que se enfrentan los empleados al trabajar bajo sistemas que los supervisan. Los sistemas de vigilancia, como las herramientas de seguimiento de la
y el control de las pulsaciones del teclado, pueden resultar especialmente intrusivos en el ámbito doméstico. Aunque no haya consecuencias directas, los estudios indican que el estrés adicional podría hacer que, de forma indirecta, las personas sean más propensas a incumplir los protocolos de seguridad.
[Lea también: El teletrabajo aumenta la preocupación por la privacidad de los datos]
Los responsables empresariales y tecnológicos deben asegurarse de involucrar a sus empleados en la creación, evaluación y aplicación de nuevas medidas de seguridad. Posey afirma que los equipos de TI deben encontrar un equilibrio entre lo que él denomina «mentalidad de evitación y tolerancia». En lugar de recurrir a sanciones ante una infracción de seguridad, los responsables deberían aceptar que los trabajadores cometen errores.
«Siempre surgirán problemas, y los directivos deben hacer un esfuerzo conjunto por comprender la causa subyacente de los mismos», afirma.
Aplicar más incentivos y menos sanciones en la formación en ciberseguridad para los trabajadores
De hecho, los equipos de TI y seguridad pueden beneficiarse de contar con trabajadores que, por naturaleza, son curiosos y desean comprender el razonamiento que subyace a sus engorrosas políticas de seguridad, afirma Posey. Los equipos deben comprender que, a diferencia de los ataques maliciosos y las vulnerabilidades inesperadas de la cadena de suministro , muchas infracciones provocadas por los empleados se deben a un intento de encontrar un equilibrio entre la seguridad y la productividad, y a menudo son consecuencia de un comportamiento humano totalmente predecible.
Los equipos de seguridad deben informar a los trabajadores sobre la frecuencia con la que se producen infracciones no malintencionadas. Pero no tiene por qué (ni debería) quedarse ahí. Comprender qué motiva a los empleados e implicarlos en el proceso de elaboración y prueba de las políticas de seguridad por parte de los usuarios puede contribuir en gran medida a que se impliquen y colaboren. Y, lo más importante, los responsables empresariales y tecnológicos deben esforzarse por garantizar que los protocolos de ciberseguridad no obstaculicen la productividad de los empleados.
«La mayoría de las personas solo quieren cumplir con su trabajo», afirma Posey. «No van al trabajo cada día y dicen: “¿Oye, ¿cómo puedo estropearlo todo?”»
