Empleados: el eslabón más débil de los riesgos de seguridad comercial

Las brechas de seguridad se han vuelto siempre presentes en nuestra sociedad actual, con noticias de brechas, como las del minorista de cuidado infantil Kiddicare y el gigante de las redes sociales LinkedIn, que adornan las portadas la mayoría de las mañanas. Dado que los ciberdelincuentes tienen una presencia cada vez mayor dentro de nuestra sociedad en línea en rápida evolución, es probable que escenarios como los anteriores se conviertan en algo más cotidiano a menos que se tomen las medidas adecuadas.
El costo de la filtración de datos promedio aumentó drásticamente en los últimos doce meses^[1], con el costo promedio para las empresas que aumenta a $ 3.79 millones una vez que se pierde el negocio, se toman en cuenta las multas por cumplimiento y el daño a la reputación. Para decirlo de otra manera, el costo promedio de cada registro robado, que a menudo contiene información sensible y confidencial, es de $ 154, una cantidad que no se debe olfatear. Como resultado, las empresas se preocupan cada vez más por proteger los datos confidenciales que tienen dentro de su negocio.
Las empresas deben comprender cómo los ciberdelincuentes obtienen cada vez más acceso a sus sistemas internos antes de poder mitigar este riesgo. Puede ser una sorpresa para muchos de ustedes, pero los días del ataque de fuerza bruta terminaron, ahora los malos que desean infiltrarse en su red están adoptando un enfoque mucho más calculado. Según una investigación reciente de Intel^[2], los factores internos son ahora responsables de casi la mitad (42 por ciento) de todos los casos de pérdida de datos en el Reino Unido, lo que demuestra que los empleados suelen ser el eslabón más débil de una organización en lo que respecta a la seguridad de la información.
La mayor parte de esto se debe a estafas de phishing, en las que los estafadores intentan adquirir información confidencial, por ejemplo, nombres de usuario, contraseñas y detalles de tarjetas de crédito o robar dinero haciéndose pasar por una entidad confiable a través de un correo electrónico, mensaje emergente, llamada telefónica o mensaje de texto. Una vez que un ciberdelincuente tiene la contraseña de un empleado, obtenida mediante una estafa de phishing o cualquier otra técnica común de ingeniería social, puede acceder a toda la red corporativa y a los datos confidenciales que contiene.
De hecho, la situación está empeorando tanto que Action Fraud con sede en el Reino Unido revela que ahora recibe 8.000 informes de estafas de phishing cada mes.^[3]. El correo electrónico es, con mucho, el vector de ataque más común, con más de dos tercios (68 por ciento) de las personas que informaron sobre una estafa de phishing diciendo que así fue como fueron contactados. Esto se compara con el 12,5 por ciento de las personas que dijeron haber sido contactadas por teléfono, el 8,9 por ciento de las personas que informaron haber recibido un mensaje de texto y el resto afirmando haber sido contactadas de otra manera.
El proceso de phishing también suele ser muy rápido. Según un informe reciente de Verizon^[4], los ciberdelincuentes solo tardan 82 segundos en atrapar a la víctima promedio en una estafa de phishing, y es probable que casi una cuarta parte (23%) de las personas abran un correo electrónico de phishing.
Ya sea por un error humano, una estafa de phishing o una filtración intencional, las organizaciones de todos los tamaños deben adoptar la educación de los empleados como parte de sus políticas de seguridad. Esto no solo educará a los empleados sobre el riesgo y los costos potencialmente abrumadores asociados con las violaciones de datos, sino que también brindará información sobre los tipos de estafas de phishing de las que es probable que sean víctimas. Al hacerlo, los empleados comprenderán el riesgo que estas infracciones representan para la organización y podrán alertar al equipo de TI si están siendo atacados específicamente.
Sin embargo, el problema del phishing se intensifica por el hecho de que las técnicas modernas son cada vez más difíciles de detectar incluso para los empleados más expertos. Si bien la educación del personal es importante, también es imperativo tener una red de seguridad para que pueda comprender exactamente cómo se mueven los datos dentro, alrededor y fuera de su organización.
Solo al obtener una mayor visibilidad, análisis y control de todos los canales de comunicación, las empresas pueden mitigar el costo de los datos sensibles que abandonan la seguridad de la organización. Para facilitar esto, las organizaciones deben poder monitorear el uso de los activos corporativos por parte de cada empleado en el nivel más básico, independientemente de si los usuarios están en la oficina o móviles. Soluciones como las soluciones de control de aplicaciones en la nube (CAC) pueden proporcionar a las empresas esta visibilidad y la capacidad de descubrir, analizar y controlar la información a la que el personal accede o comparte.
Con las presiones adicionales de la transformación digital que afectan cómo y dónde trabajamos, los empleados optan cada vez más por trabajar fuera del entorno de oficina tradicional. Debido a esto, las empresas deben asegurarse de que los empleados adecuados tengan el acceso adecuado a la información y los sistemas de la empresa, sin importar desde dónde trabajen. Con privilegios de acceso que cambian dependiendo de si están dentro o fuera de la oficina. La autenticación multifactor puede desempeñar un papel dominante dentro de la estrategia de ciberseguridad de una organización para ayudar a facilitar la visibilidad del uso de aplicaciones en la nube, autorizadas o no, para que puedan detectar cuándo un intento de phishing puede conducir a una violación de datos sostenida y ayudar a mitigar caída asociada.
[1] https://www-01.
[2] http://www.mcafee.com/us/resources/reports/rp-data-exfiltration.pdf
[3] http://www.actionfraud.police.uk/news/action-fraud-reveals-that-it-receives-8000-reports-of-phishing-scams-every-month-mar16
[4] http://www.verizonenterprise.com/verizon-insights-lab/dbir/2016/