Las amenazas cibernéticas solían ser menos peligrosas. Incluso si nadie quiere que los números de tarjetas de crédito de sus clientes sean robados como resultado de una fuga de datos o un manifiesto loco atascado en su sitio web corporativo, estos incidentes pueden parecer casi curiosos en comparación con los ataques de ransomware que detienen todos sus sistemas de información críticos.

La frecuencia de estos ataques en los Estados Unidos aumentó en más del 150% el año pasado, y en 2021 se espera que sus costos globales alcancen los $ 20 mil millones. Una formación de seguridad eficaz e integral es esencial para mitigar estas amenazas, muchas de las cuales se originan en ataques de phishing o malware de bajo perfil, para llegar a la puerta, ataques que pueden dirigirse a cualquier persona que trabaje en su organización.

Los empleados de la empresa están a la vanguardia de los ataques cibernéticos, y los videos de capacitación listos para usar y las pruebas breves rara vez son suficientes para prepararlos para esta responsabilidad. El problema de una buena formación es que no solo requiere experiencia, sino también tiempo y otros recursos. Las empresas que buscan maximizar la eficiencia y minimizar los costos a veces tienen dificultades para brindar capacitación en seguridad acorde con las amenazas que realmente enfrentan.

Según Gartner®, muchas organizaciones con recursos limitados, en particular las medianas empresas, buscan proporcionar a sus usuarios incluso una formación básica de concienciación sobre seguridad, y mucho menos desarrollar un programa de concienciación sobre seguridad empresarial sofisticado, multicanal, específico al contexto y centrado en los empleados.*

Una forma de superar este problema sin tener que contratar servicios profesionales o depender más de su personal de TI existente es involucrar la automatización en la capacitación en seguridad.

¿Qué es la automatización de la formación?

Aunque la palabra «automatización» no fue acuñada por Ford Motor Company hasta 1947 para describir el uso de equipos automatizados en las líneas de producción de la empresa, hoy en día es uno de los términos más utilizados en la industria de la tecnología. Como palabra de moda, «automatización» realmente está ganando terreno. Propone una solución que resuelve sus problemas sin tener que monitorearlos y lanzarlos constantemente, pero en un sentido muy técnico, cada programa de software que se haya escrito contiene algún elemento de automatización. Supongamos que tiene una solución de capacitación en seguridad que realiza ciertas tareas automáticamente, como enviar recordatorios de capacitación o correos electrónicos de prueba en un horario preestablecido. ¿Es la automatización del entrenamiento?

No en un sentido significativo. Hace lo mínimo de lo que debería hacer cualquier software de capacitación y, en ese sentido, es tan automatizado e inteligente como un reloj despertador. La verdadera automatización debe ser algo más que almacenar tareas en un temporizador.

La formación práctica y adaptativa marca la diferencia

Si actualiza su software de Cuentas por pagar, puede deshacerse de empujar a todos a la sala, obligarlos a ver un video sobre el tema y luego entregar un cuestionario para asegurarse de que tengan cuidado. Cuando el propósito de la capacitación es prevenir violaciones de datos, ataques de ransomware y otras amenazas graves, no es suficiente.

Una mejor solución es la capacitación práctica, que proporciona práctica sobre qué hacer cuando ocurre un ciberataque real y, idealmente, también tiene en cuenta el nivel de conocimiento y el perfil de comportamiento de la persona que completó la capacitación. Los usuarios experimentados pueden beneficiarse de ser educados y probados en enfoques suaves y únicos, mientras que algunos usuarios son simplemente «clickers en serie» que pueden necesitar repetir Phishing 101 varias veces antes de aprender sus malos hábitos.

Por supuesto, esto supone que sabe quiénes son los usuarios, y la automatización puede ayudarlo a resolverlo al participar en un análisis de datos continuo a medida que los usuarios avanzan en el programa de capacitación.

Las soluciones semiautomáticas pueden compensar sus deficiencias al ofrecer muchas opciones de configuración manual, pero el tiempo que lleva configurarlas correctamente reduce las ganancias potenciales de eficiencia, especialmente a medida que las cosas comienzan a crecer. El camino hacia la optimización real siempre pasa por la automatización real, que es esencial para la escalabilidad del entrenamiento. Esta es la única forma en que puede optimizar para lograr eficiencia a gran escala.

Crédito de la imagen: CybeReady

Cómo utilizar la automatización en la formación en ciberseguridad para minimizar el riesgo

Toda organización tiene «empleados de alto riesgo» que amenazan su estabilidad. Descubrimos que una de cada cinco personas en una organización puede caer en esta categoría de alto riesgo. Pueden ser empleados de una estrella de rock absoluta en todos los demás sentidos, pero por alguna razón simplemente se ven obligados a hacer clic en enlaces en correos electrónicos extraños que no deberían haber abierto. Puede que tenga que ver con la forma en que participan, pero normalmente son factores importantes en la formación y la educación. Estos empleados simplemente no saben lo peligrosos que pueden ser los ataques de phishing y cómo identificarlos de manera confiable.

Estas son las personas que más necesitan formación en seguridad y que la necesitan para ser eficaz.

CybeReady es una plataforma totalmente automatizada impulsada por tecnología de aprendizaje automático que mitiga los riesgos de error humano a través de un enfoque educativo que brinda capacitación frecuente, adaptativa y atractiva de forma continua.

Para los equipos de seguridad que ejecutan Lean, la complejidad requerida para ejecutar un programa de capacitación de este tipo es casi imposible de implementar sin una solución verdaderamente automatizada que tenga experiencia en software sofisticado.

CybeReady funciona siguiendo una metodología de entrenamiento continuo que genera suficientes datos para distinguir entre los usuarios que ocasionalmente son atrapados por correos electrónicos de phishing y aquellos que generalmente hacen clic en enlaces peligrosos. El segundo grupo requiere un poco de cuidado y atención especiales, y al dividir a los participantes de acuerdo con su nivel de riesgo, puede brindar capacitación específica que reúna a los participantes en el nivel exacto de conocimiento y los educa a través de lecciones y simulaciones individualizadas que reducen su comportamiento de riesgo.

Estos son algunos de los principios que utiliza CybeReady para lograr un progreso de entrenamiento medible:

• Aprendizaje justo a tiempo: Cuando un empleado hace clic en un correo electrónico malicioso, CybeReady captura el «momento dorado» y muestra una página de tutorial emergente que destaca las señales de alerta que se perdió.
• Recordatorios oportunos: Se envían recordatorios a los empleados de alto riesgo a intervalos estratégicos para mejorar la capacitación y ayudarlos a superar sus malos hábitos.
• Niveles de dificultad adaptables: Algunos correos electrónicos de phishing simulados son obvios y fácilmente reconocibles, otros son muy engañosos. Las evaluaciones de desempeño anteriores se pueden utilizar para seleccionar simulaciones que brinden a los destinatarios el nivel adecuado de desafío.
• Frecuencia de aprendizaje ajustada: Los empleados de alto riesgo reciben correos electrónicos de phishing simulados con más frecuencia. Cuando mejoran en su identificación y se pueden mover de nuevo a una categoría de menor riesgo, la frecuencia se vuelve a ajustar a la normalidad.

Pensamientos finales

En el entorno de amenazas actual, una ciberseguridad sólida es esencial. La verdadera automatización en sus sistemas de capacitación en seguridad puede fortalecer significativamente sus defensas al agrupar recursos de manera efectiva hacia los empleados con mayor riesgo de convertirse en un ciberataque, sin tener que contratar a un equipo de capacitación profesional o forzar a su personal de TI a convertirse en maestros. .

La solución de aprendizaje automático CybeReady tiene experiencia, análisis y metodologías de capacitación integradas, por lo que cuando los piratas informáticos y los phishers comienzan a aparecer, puede estar seguro de que no encontrarán objetivos fáciles entre los empleados armados con el conocimiento del mundo moderno. -Programa de entrenamiento moderno, basado en datos, totalmente adaptable y verdaderamente automatizado.

Comience con el programa de capacitación CybeReady, que está diseñado para equipos de seguridad ajustados.

* Fuente: Gartner, «Guide to the Computer Security Training Market», Richard Addiscott, Claude Mandy, William Candrick, 26 de julio de 2021. GARTNER es una marca registrada y una marca de servicio de Gartner, Inc. y / o sus afiliados en los Estados Unidos e internacionalmente y se usa allí con permiso. Reservados todos los derechos.