De las políticas generales a las intervenciones específicas: la evolución de la gestión de riesgos humanos

Cada trimestre, se repite el mismo ritual en miles de organizaciones: todos los empleados, desde el personal de recepción hasta la alta dirección, asisten a la misma formación en materia de concienciación sobre seguridad. El analista financiero que nunca ha hecho clic en un enlace de phishing recibe el mismo módulo que el comercial que ha hecho clic en tres este mes. El ingeniero con una larga trayectoria y un historial intachable se enfrenta a los mismos controles que el contratista que acaba de empezar a manejar datos confidenciales. Se considera que todos presentan el mismo nivel de riesgo, lo que significa que a nadie se le trata de forma adecuada.

Este enfoque de «talla única» ha caracterizado los programas de sensibilización en materia de seguridad y de gestión del riesgo interno durante demasiados años. Y, durante años, ha dado los mismos resultados previsibles: un desperdicio de recursos en empleados de bajo riesgo, una atención insuficiente a las personas y los comportamientos que realmente suponen un peligro, y una creciente ola de frustración entre los usuarios dirigida hacia los equipos de seguridad que llevan a cabo intervenciones irrelevantes.

¿La buena noticia? Esa época está llegando a su fin. El cambio hacia intervenciones adaptativas y basadas en el comportamiento está permitiendo ofrecer la intervención adecuada, a la persona adecuada, en el momento adecuado, y hacerlo a gran escala.

Por qué la personalización ha estado fuera de su alcance

El concepto de seguridad basada en el riesgo no es nuevo. Los responsables de seguridad saben desde hace tiempo que cada persona representa un nivel de riesgo distinto y que las medidas que se adopten deben ser proporcionales. Sin embargo, convertir ese conocimiento en una realidad operativa ha sido una historia completamente diferente.

Las barreras eran de carácter práctico. El mantenimiento de los grupos de usuarios dinámicos exigía un esfuerzo manual constante. Las señales de riesgo se encontraban en sistemas desconectados entre sí. Convertir una puntuación de riesgo en un cambio real en la política supuso abrirse paso por una maraña de herramientas, tickets y autorizaciones. Para cuando un proceso manual identificaba a un usuario de alto riesgo y aplicaba los controles adecuados, la oportunidad de intervenir de forma eficaz solía haberse perdido ya.

Lo que ha cambiado es la infraestructura. Cuando se combina una evaluación exhaustiva de los riesgos de comportamiento con la automatización y la integración multiplataforma, la seguridad personalizada deja de ser un objetivo al que aspirar y pasa a ser una realidad.

Listas de seguimiento dinámicas: de la visibilidad a la acción

El primer paso significativo en esta evolución es la lista de seguimiento dinámica: un grupo de usuarios que se actualiza automáticamente en función del comportamiento y que va más allá de la gestión de listas estáticas para pasar a una intervención adaptativa.

Las listas de seguimiento tradicionales se gestionan de forma manual. Alguien del departamento de seguridad añade un nombre, tal vez tras un incidente, tal vez a raíz de una información facilitada por Recursos Humanos. Ese nombre permanecerá en la lista hasta que alguien se acuerde de eliminarlo. La lista se va quedando obsoleta. Refleja los riesgos de ayer, no los de hoy.

Las listas de seguimiento dinámicas invierten este modelo. En lugar de seleccionar manualmente a los usuarios, se definen los criterios relevantes —conductas de riesgo específicas, umbrales de puntuación, filtros departamentales, indicadores organizativos— y la lista se gestiona por sí sola. Los usuarios se incorporan al sistema cuando su comportamiento cumple los criterios establecidos y lo abandonan cuando ya no los cumple, y las actualizaciones se ejecutan de forma continua.

Veamos algunos ejemplos prácticos. Se crea y se elimina automáticamente una lista de seguimiento de los empleados del departamento de finanzas que hayan hecho clic en enlaces de phishing reales durante el último mes, en función de su comportamiento real. Una lista de seguimiento de contratistas con puntuaciones elevadas en el tratamiento de datos sensibles se actualiza en tiempo real a medida que cambian los patrones de acceso a los datos. Una lista de seguimiento para los empleados que abandonan la empresa y que muestran comportamientos de riesgo se elabora a partir de la integración con los sistemas de RR. HH. y de señales de comportamiento de forma simultánea.

Los criterios definen la lista. No es alguien que utilice una hoja de cálculo.

Vinculación de listas de seguimiento a controles adaptativos

La visibilidad por sí sola no reduce el riesgo. Lo que hace que las listas de seguimiento dinámicas sean transformadoras es su vinculación con las políticas adaptativas: la capacidad de activar controles diferenciados en función del perfil de riesgo en tiempo real de un usuario.

Esto significa que un usuario de alto riesgo identificado según los criterios de la lista de vigilancia puede verse sometido automáticamente a controles más estrictos del correo electrónico, a requisitos de autenticación más exigentes o a una mayor supervisión, mientras que los compañeros de bajo riesgo siguen trabajando sin ningún tipo de obstáculo. Cuando mejora el comportamiento del usuario de alto riesgo, se relajan las medidas de control. El sistema genera un círculo vicioso: el comportamiento determina la política, y la política se adapta a medida que cambia el comportamiento.

Esto se amplía aún más gracias a la integración con sistemas de recursos humanos como Workday, lo que permite la aplicación automatizada de las políticas en situaciones como la baja de empleados. La automatización basada en etiquetas gestiona a los contratistas, los departamentos específicos y las clasificaciones personalizadas sin que los equipos de seguridad tengan que intervenir manualmente en cada transición.

El resultado es una gestión de riesgos que funciona realmente según el principio de «configurarlo y olvidarse de ello», no porque se ignoren los riesgos, sino porque el marco de respuesta es lo suficientemente inteligente como para adaptarse por sí mismo.

La necesidad imperiosa de la integración

La eficacia de las intervenciones de precisión depende en gran medida de la calidad de las señales de riesgo en las que se basan. Una puntuación de riesgo conductual basada en una única fuente de datos siempre resultará incompleta. Por eso el alcance de la integración reviste una importancia enorme.

En la actualidad, una gestión eficaz de los riesgos relacionados con el factor humano se basa en múltiples categorías de señales de riesgo: datos de seguridad de los terminales procedentes de herramientas como CrowdStrike, señales de identidad y autenticación de Okta y Duo, actividad de red de Palo Alto, entre otros. A través de quince o más integraciones con proveedores, estas señales se combinan para crear una visión global del riesgo humano que ninguna herramienta podría ofrecer por sí sola.

A medida que los ecosistemas de integración se amplían para incluir plataformas como Google Workspace, Cisco XDR y otros proveedores de autenticación multifactorial (MFA), la nitidez de esa imagen no hace más que aumentar, y con ella crece también la precisión de las intervenciones resultantes.

El impacto en la vida real

Cuando las organizaciones pasan de aplicar políticas generales a llevar a cabo intervenciones específicas, los efectos son tangibles en múltiples ámbitos.

Los empleados de bajo riesgo dejan de verse afectados por formaciones irrelevantes y restricciones innecesarias, lo que reduce las fricciones y mejora su relación con el equipo de seguridad. Las conductas de alto riesgo son objeto de una atención y unos recursos específicos, lo que realmente contribuye a reducir el riesgo. Las intervenciones se perciben como útiles, más que como punitivas, ya que están claramente relacionadas con comportamientos concretos y no se aplican de forma arbitraria. Además, los responsables de seguridad pueden demostrar un retorno de la inversión cuantificable al poner de manifiesto una reducción específica de los riesgos en los grupos de población más importantes.

Esto supone un cambio filosófico fundamental: del castigo a la orientación, de las políticas estáticas a las respuestas adaptativas, de las directrices aplicables a toda la organización a las intervenciones que tienen en cuenta las necesidades individuales y, en última instancia, del «teatro de la seguridad» a una reducción significativa de los riesgos.

¿Qué vendrá después?

La trayectoria es clara y apunta hacia una precisión aún mayor. Las plantillas de listas de seguimiento ya preparadas para situaciones habituales —como el uso encubierto de la IA en departamentos sujetos a regulación— reducirán las dificultades para su implementación. La integración directa con campañas de «nudge» específicas permitirá vincular la identificación de riesgos con la formación personalizada. Los marcos de sanciones graduales para los reincidentes supondrán una intensificación proporcional de las medidas. Además, los agentes de configuración ayudarán a los equipos a aplicar las medidas recomendadas sin necesidad de contar con conocimientos especializados.

La época en la que se consideraba que todos los empleados presentaban el mismo nivel de riesgo está dando paso a algo mejor: una seguridad que se adapta al comportamiento real de las personas, que interviene donde realmente importa y que se gana la confianza al ser pertinente, en lugar de limitarse a reaccionar. La seguridad de precisión no es una promesa de futuro. Ya está aquí y está transformando la forma en que las organizaciones gestionan el riesgo humano.