La ciberseguridad se ha convertido en una de las principales preocupaciones de las organizaciones en la era digital de hoy, donde los ataques cibernéticos pueden causar pérdidas millonarias, daños a la reputación, y exposición de datos sensibles. Ante este escenario, muchas empresas siguen un enfoque reactivo, es decir, responden a [...]
Hace un par de días revisaba diversos datos y fuentes acerca de la seguridad digital empresarial y los retos más comúnmente encontrados en las organizaciones. Me topé con una publicación muy interesante y con información valiosa que menciona lo que hemos venido experimentando y exponiendo a nuestros clientes, prospectos y asociados.
El título del documento es “Security Is an Organizational Behavior Problem” escrito por Brett Valentine para el portal https://securityintelligence.com. En la pieza se expresan interrogantes que muchas veces se dejan de lado o simplemente no se plantean:
Hace alusión a algo en lo que basamos el enfoque de nuestros servicios: la gente, los procesos y tecnología son las piedras angulares del programa de seguridad digital organizacional. Remarca que: “muchas empresas presentan fallas en algunas de estas áreas y todas en al menos una de ellas”.
Utilizando un título un tanto escandaloso, pero no por ello erróneo expone algo que se da en el 99% de las organizaciones: La seguridad es a menudo percibida como una problemática de tecnología o de sistemas.
Hoy la tecnología es el medio por el cual los activos más valiosos son expuestos, como resultado, el personal de sistemas es comúnmente responsable de la seguridad.
Valentine además menciona, que la visión del equipo técnico o de sistemas con respecto a la seguridad es bastante práctica y absoluta, pero limitada; ven los incidentes desde una perspectiva de bueno/malo. Pero en el mundo real donde los operadores y usuarios representan un universo diverso de comportamientos individuales, el fenómeno de aseguramiento es más complejo y no de simple lógica.
El personal de sistemas esta consciente que el entrenamiento personalizado, las habilidades de comunicación y el análisis de comportamiento del usuario toman tanto o más tiempo que la implementación de un simple control técnico y que pueden costar más que el mismo producto.
Si el enfoque de seguridad no toma en cuenta concientización, entrenamiento, usabilidad de herramientas y el comportamiento del usuario, entonces éstos encuentran “atajos” al realizar sus actividades laborales, asevera Brett Valentine y lo ilustra con el siguiente escenario:
En este escenario, la seguridad se ha convertido en un obstáculo.
Resultado de ello es que los usuarios y la alta gerencia empiezan a quejarse y hacer objeciones por cualquier nueva implementación de seguridad o cuando se busca presupuesto para nuevos proyectos.
De acuerdo a la experiencia y otros expertos, Valentine remarca que existen cinco características de comportamiento que necesitan ser abordadas:
Concientización de los riesgos y vulnerabilidades. Cada organización tiene diferentes amenazas, cada unidad dentro de la organización tiene especificas fuentes de amenazas. Éstas necesitan ser comunicadas y entendidas por todos los usuarios de manera que puedan identificarlas y evitarlas.
Concientización de las políticas y prácticas organizacionales: Las políticas y los procesos necesitan existir no solo en papel sino en la mente y accionar del usuario. Necesitan ser simples, accionables y estar disponibles.
Concientización de las responsabilidades: Los usuarios, gerentes y líderes necesitan entender las implicaciones organizacionales y personales de la seguridad. Necesitan incentivar el actuar de una manera segura, y mostrar las consecuencias por descuidar, evitar u obstaculizar a la seguridad.
Negación del riesgo: Una cosa es entender los riesgos de seguridad, pero otra es creer en ellos. Muchos de los incidentes de seguridad se vuelven problemas por que muy a menudo se piensa que “esto no puede pasar aquí”, o “a nosotros no nos van a hackear”.
En el documento se menciona de manera acertada que la seguridad es una práctica constante, del día a día.
En Purple Security estamos convencidos que la seguridad debe de ser parte primordial de la cultura organizacional de la empresa. Los usuarios, en especial los de nuevo ingreso deben de saber que “así se hacen las cosas en la empresa” que vean a las mejores prácticas de seguridad y la concientización de las amenazas como algo inherente en el operar de la empresa.
Si bien, los conceptos de comportamiento organizacional, comunicación, entrenamiento y otras habilidades intrapersonales pueden no ser lo primero que viene a nuestras mentes como especialistas en tecnología. Tenemos la certeza que, para muchas organizaciones, representan la próxima gran oportunidad para aumentar la seguridad digital en su empresa.
https://purplesec.com/revision-ciberseguridad/
Extractos tomados del escrito: “Security Is an Organizational Behavior Problem”
Publicado en Mayo 17, 2017
Por: Brett Valentine
En: https://securityintelligence.com
https://securityintelligence.com/security-is-an-organizational-behavior-problem/
Guía NO definitiva para la selección de proveedor de pentest. La selección y adquisición de un proveedor de pruebas de intrusión (PENTEST) es una acción que requiere el análisis de ...
La ciberseguridad se ha convertido en una de las principales preocupaciones de las organizaciones en la era digital de hoy, donde los ataques cibernéticos pueden causar pérdidas millonarias, daños a [...]
Monterrey, N.L. México