Concienciación en seguridad

La concienciación en seguridad enseña a las personas de una empresa a detectar un engaño antes de caer en él. La mayoría de los ataques no empiezan con código ingenioso. Empiezan con una persona normal que pulsa un enlace de aspecto normal, o que paga una factura que nunca existió. Es la parte de la seguridad que no tiene nada que ver con el software.

La formación de verdad es corta y frecuente. Diez minutos al mes valen más que tres horas una vez al año, porque una sesión larga se olvida a la semana siguiente. Las buenas sesiones usan los mensajes que tu personal recibe de verdad, no ejemplos inventados en otro país. Un aviso de entrega. Una petición de cambio de contraseña. Una nota que parece del dueño y pide una transferencia rápida antes de una reunión.

La otra mitad es la prueba falsa de phishing. Alguien envía al personal un mensaje inofensivo que se comporta como un ataque real y luego cuenta quién ha pulsado. Ese número no está para castigar a nadie. Muestra qué equipo necesita más ayuda y si la sesión del mes pasado sirvió de algo. Manda una cada pocas semanas y el porcentaje baja. Para seis meses y vuelve a subir.

La charla anual falla por una razón sencilla. Se ve, se marca en una lista y se olvida. Nadie recuerda una diapositiva a las cuatro de la tarde de un jueves mientras un proveedor reclama su pago. La gente recuerda hábitos. Mirar la dirección desde la que llegó el correo. Llamar a la persona a un número que ya tenías.

Lo que casi todas las empresas hacen mal es la hora siguiente al clic. Si el empleado espera una bronca, se calla, y una hora tranquila se convierte en una semana tranquila. Di claramente que avisar rápido es lo correcto y que nadie recibe una bronca por ello. Da una sola dirección o un solo teléfono para avisar y trata todos los avisos igual. Ayuda que los sistemas donde entra tu personal guarden quién hizo qué y cuándo, porque así un aviso se comprueba en minutos. Cuando Linkysoft empieza un proyecto de ciberseguridad, preguntamos cuánto tardó alguien en avisar del último error. Esa sola respuesta dice más que cualquier documento de normas, y por eso Linkysoft nunca vende formación en lugar del trabajo técnico. Solo funcionan juntos.