Concienciación en su equipo

Módulo 9: Normativa y organización · Tiempo de lectura: 9 minutos

Objetivo de aprendizaje: Después de esta lección podrá organizar la concienciación en un equipo pequeño: acuerdos, notificar sin culpa, practicar y repetir.
Conceptos clave: concienciación, comportamiento, cultura de notificación, simulacro de phishing (con consentimiento y sin castigar), nuevo empleado, repaso breve

Saber no es lo mismo que hacer

Casi todo el mundo sabe que no debe hacer clic en enlaces sospechosos. Aun así ocurre cada día, incluso a personas que lo saben perfectamente. No se debe a la ignorancia. Se debe a que un correo de phishing (lección 1.2 y módulo 3) explota precisamente la forma en que trabajamos: presión, prisa, el deseo de ayudar a un cliente o compañero. Un viernes por la tarde a las cinco menos cuarto, entre otros treinta correos, una "factura pendiente" parece de lo más normal.

Por eso, la concienciación no trata solo del conocimiento, sino del comportamiento: ¿qué hacen realmente las personas, incluso cuando están cansadas o tienen prisa? El objetivo no es que todos se conviertan en expertos. El objetivo es adquirir unos cuantos reflejos fijos:

1. Detenerse ante un mensaje que pide algo: dinero, una contraseña, hacer clic, abrir un archivo adjunto, instalar algo.
2. Comprobar por otra vía: iniciar sesión usted mismo en lugar de seguir el enlace, volver a llamar a un número conocido.
3. Notificar si algo no cuadra, incluso si ya ha hecho clic.

Ese tercer reflejo es el más importante, y depende por completo de cómo lo gestione su equipo.

Notificar sin culpa

Imagine dos empresas. En la primera, un empleado que hizo clic en un enlace de phishing recibe una reacción enfadada del propietario: "¿Cómo se le ocurre ser tan descuidado?" En la segunda, el propietario dice: "Menos mal que me lo dice enseguida, así podemos cambiar su contraseña ahora mismo."

¿Qué ocurre la siguiente vez que alguien hace clic? En la primera empresa, se calla y espera que todo salga bien. En la segunda, lo notifica en cinco minutos.

Esa diferencia es enorme. En una usurpación de cuenta o el inicio de un ransomware, cada hora cuenta (lecciones 1.3 y 3.5). Una notificación en cinco minutos significa: cambiar la contraseña antes de que el atacante haya iniciado sesión, revocar sesiones, desconectar un ordenador de la red antes de que se cifre algo. Una notificación tres semanas después, o nunca, significa que el atacante ha tenido todo el tiempo del mundo.

Una buena cultura de notificación tiene varias características:

• Un único punto de notificación claro. Todo el mundo sabe a quién acudir: un nombre y un número de teléfono, y un sustituto si esa persona no está disponible. Esto también figura en la tarjeta de incidente (lección 8.1).
• Agradecer, no castigar. Quien notifica algo, incluso un error propio, recibe un agradecimiento. Dígalo en voz alta ante el equipo: "Esta mañana Sara notificó una factura falsa, gracias a eso pudimos avisar a los demás."
• La duda también vale. "No sé si esto es real" es una buena notificación. Es preferible revisar diez veces un correo auténtico que pasar por alto una sola vez un correo falso.
• El ejemplo de la dirección. Si el propietario mismo comunica que casi ha caído en algo, resulta más fácil para todos.

Castigar es contraproducente. No porque los errores no importen, sino porque castigar no reduce los errores, solo reduce las notificaciones.

Acuerdos que facilitan el buen comportamiento

Las personas siguen una regla con más facilidad cuando es clara y sencilla. Procure que el comportamiento seguro sea también el comportamiento más fácil. Algunos acuerdos que encajan en casi cualquier empresa pequeña:

Anote los acuerdos en una sola hoja A4. No veinte páginas de política que nadie lee, sino una lista que pueda colgarse junto a la máquina de café.

Practicar

Un acuerdo que nunca se practica se olvida. Existen varias formas de practicar, de ligeras a más intensas.

Revisar ejemplos juntos. Dedique cinco minutos en la reunión de equipo a un correo sospechoso real que alguien haya recibido (sin datos personales). ¿En qué se notó? ¿Cuál era el dominio real del enlace? Esto no cuesta nada y funciona sorprendentemente bien, porque trata de mensajes reales del propio buzón de su equipo.

Un ejercicio de simulación (tabletop). Debaten juntos un escenario: "Es lunes por la mañana y nadie puede acceder al disco de red. En cada ordenador aparece un mensaje de rescate. ¿Qué hacemos?" Repasan la tarjeta de incidente y ven dónde falla (lección 8.1). Una hora, una vez al año.

Un simulacro de phishing. Envía a los compañeros un correo de phishing simulado para ver quién hace clic y quién lo notifica. Puede ser muy instructivo, pero solo si se hace correctamente:

• Con consentimiento y previamente anunciado. Informe de antemano de que este año habrá simulacros, sin indicar la fecha. Nadie debe sentirse engañado después.
• Sin castigar. Quien hace clic recibe de inmediato una breve explicación de cómo podría haberlo detectado, sin reprimendas ni listas de nombres en la reunión de equipo.
• Medir lo que importa. El número de notificaciones es más importante que el número de clics. Un simulacro en el que tres personas hacen clic pero cinco lo notifican en diez minutos es un éxito.
• Nada de temas crueles. Ningún correo falso sobre una bonificación, un despido o la salud de un compañero. Eso daña más la confianza de lo que aporta.
• Cuide la privacidad. No conserve más tiempo del necesario quién hizo clic, y nunca lo use para una evaluación del desempeño.

Para un equipo de cinco personas, la primera forma suele ser suficiente. Un simulacro de phishing solo tiene sentido cuando ya existen los acuerdos y el punto de notificación.

Nuevos empleados y repetición

Hay dos momentos especialmente importantes.

El primer día de trabajo. Un nuevo empleado recibe cuentas, un portátil y acceso a sistemas. Precisamente en esas primeras semanas aún no sabe cómo funcionan normalmente las cosas, y por tanto tampoco qué es anómalo. Un estafador que se hace pasar por "el departamento de informática" o "el director" tiene entonces más probabilidades de éxito. Dedique media hora al inicio a la hoja A4 de acuerdos, el punto de notificación, el gestor de contraseñas y la activación de la verificación en dos pasos. Inclúyalo en la misma lista que el resto del proceso de incorporación (lección 7.1).

Repaso breve. La concienciación se desvanece con el tiempo. Una formación larga al año funciona peor que cinco minutos cada mes. Ideas para ese repaso breve:

• comentar un correo sospechoso de ese mes;
• destacar un acuerdo de la hoja A4 y preguntar si sigue vigente;
• un nuevo tipo de fraude que haya salido en las noticias (por ejemplo, una nueva excusa por sms o WhatsApp, lección 3.4);
• la pregunta "¿ha notificado alguien algo este mes?" y agradecer a quien lo hizo.

En la práctica: así se ve

Un ejemplo, elaborado a partir de situaciones frecuentes. Un estudio de arquitectura con nueve personas tenía un documento de política de catorce páginas que se firmaba al incorporarse y después nunca más se volvía a abrir. Tras un fraude de facturación casi exitoso, cambiaron tres cosas: una hoja A4 con seis acuerdos junto a la impresora, un nombre fijo y un número de teléfono para notificar, y cinco minutos de "correo sospechoso" cada primer lunes de mes en la reunión de equipo. En el primer semestre recibieron más notificaciones que en los cinco años anteriores juntos. Dos de ellas eran ataques reales, detectados tan pronto que no llegó a pasar nada. El resto fueron falsas alarmas, y cada una de ellas se agradeció igualmente.

Resumen

• La concienciación trata del comportamiento: detenerse, comprobar por otra vía y notificar.
• Notificar sin culpa genera notificaciones rápidas; castigar solo reduce las notificaciones, no los errores.
• Recoja los acuerdos en una sola hoja A4 y haga que el comportamiento seguro sea el más fácil.
• Practique con ejemplos reales y un ejercicio de simulación; haga un simulacro de phishing solo anunciado, sin castigar y cuidando la privacidad.
• Dedique atención extra a los nuevos empleados y repita de forma breve y frecuente.

Cuestionario

Ejercicio

Ejercicio D9.2: Un plan de concienciación para su equipo. Elabore para su propia empresa una hoja A4 con un máximo de ocho acuerdos, designe un punto de notificación y un sustituto, y planifique para el próximo año cuándo hará el repaso breve y qué simulacro realizará. A continuación, responda a las preguntas de reflexión.

Para seguir leyendo

Los pasos de los artículos de WebOké corresponden al entorno de WebOké; con otros proveedores el procedimiento es similar.

• ¿Es realmente este correo de WebOké? Cómo reconocer el phishing y utilizar el código de promoción
• INCIBE, Línea de Ayuda en Ciberseguridad: https://www.incibe.es/linea-de-ayuda-en-ciberseguridad
• INCIBE, recursos de ciberseguridad para empresas: https://www.incibe.es/empresas
• INCIBE, Línea de Ayuda en Ciberseguridad (notificar fraude y phishing): https://www.incibe.es/linea-de-ayuda-en-ciberseguridad