Presentación de Human Risk: la nueva generación de concienciación sobre seguridad

Sin resolver, pero siempre presente 

Desde su primera publicación en 2008, el Informe de Verizon sobre investigaciones de filtraciones de datos (DBIR) ha destacado sistemáticamente el error humano como el principal factor que contribuye a las filtraciones (74% en 2023). Este hallazgo ha llegado a ser tan ampliamente aceptado que la mayoría de los profesionales de la seguridad simplemente lo asumen como un hecho, lo tachan de problema irresoluble y siguen adelante con la protección de redes, dispositivos y aplicaciones. Esto se ha debido en gran medida a la falta de visibilidad basada en datos sobre el problema y de información procesable sobre si intervenciones como la formación o las simulaciones de phishing estaban reduciendo el riesgo centrado en el ser humano. ¿El resultado? Programas con un enfoque único para todos que hicieron poco por demostrar una verdadera reducción del riesgo. Era hora de cambiar. 

Mimecast adquiere Elevate Security

Dada la omnipresencia del error humano en las infracciones, la estrategia de protección de una organización debe incluir una comprensión de su riesgo centrado en el ser humano y las herramientas para mitigar este riesgo de forma demostrable. Por eso, en enero de 2024, Mimecast adquirió Elevate Security, el proveedor líder de gestión de riesgos humanos. Esta adquisición estratégica demuestra el compromiso continuo de Mimecast para mejorar la protección de los clientes y proporcionar una visión proactiva y una visibilidad más profunda de los comportamientos humanos y el riesgo, ayudando a los clientes a proteger mejor su espacio de trabajo digital. La plataforma Elevate ayuda a las organizaciones a identificar de forma proactiva a los usuarios de alto riesgo y a automatizar las respuestas y las medidas de protección. Cuando se combinan con la oferta de formación de concienciación de Mimecast y las suites de seguridad de colaboración y correo electrónico de primera clase, estas capacidades pueden ayudar a reducir el riesgo general y la exposición de las empresas como nunca antes.

¿Qué es la gestión de Human Risk? 

Aunque la mayoría de los incidentes de seguridad tienen que ver con el elemento humano, es un porcentaje muy pequeño de usuarios el que realmente causa esos incidentes. El principio rector de la gestión del riesgo humano es que la formación y los controles de seguridad no deben ser de talla única. Por el contrario, deben aplicarse en función del nivel de riesgo que supongan los usuarios individuales, ya sea en función de sus acciones, de la frecuencia con la que son atacados o de su función. La capacidad de aplicar una formación o unos controles de seguridad a medida permitirá a las organizaciones invertir los niveles adecuados de recursos y atención en los usuarios de mayor riesgo, al tiempo que se reducen las fricciones para aquellos que presentan un riesgo menor. 

He aquí algunos casos de uso: 

• La gestión de riesgos humanos puede ayudar a adaptar las intervenciones de seguridad a los usuarios individuales, permitiendo que las políticas y los controles se asignen dinámicamente a individuos o grupos en función de sus riesgos reales. Esto puede hacer que la estrategia política sea más intuitiva, eficaz y automatizada para los clientes. 
• La combinación de las capacidades de identificación de riesgos de Elevate y la hoja de ruta de formación de concienciación de Mimecast promete ofrecer a los clientes una visión más completa del riesgo de los usuarios, lo que les permitirá adaptar dinámicamente estrategias de formación específicas que pueden ser más eficaces a la hora de influir en los comportamientos de riesgo que una programación genérica de programas de formación.   
• La incorporación de la plataforma de datos de Elevate al conjunto de productos de Mimecast permitirá la integración de más datos procedentes de una mayor variedad de fuentes, lo que proporcionará una mejor inteligencia que, en última instancia, podrá considerar los riesgos humanos en función de las acciones de las personas, los ataques dirigidos contra ellas y sus niveles de acceso a los sistemas corporativos. Esto permitirá a los clientes tomar decisiones mucho más informadas sobre sus posturas de seguridad, ya que juntos ofrecemos una mejor visibilidad y mitigación de los riesgos. 

Unir la gestión de Human Risk y la formación para la concienciación sobre la seguridad 

A medida que las organizaciones evolucionan su estrategia de formación en materia de concienciación sobre la seguridad para tener en cuenta todos los aspectos del riesgo humano, es importante ser conscientes de que la formación en materia de concienciación y la gestión del riesgo humano no se oponen entre sí, sino que es mejor que vayan juntas.

La concienciación sobre la seguridad se centra en lo que los empleados saben sobre seguridad, una pieza importante pero incompleta de la ecuación. La gestión de los riesgos humanos colma las lagunas, pero permite comprender lo que hacen los empleados en relación con la seguridad: ¿qué decisiones buenas y malas en materia de seguridad toman habitualmente? ¿Son reincidentes? ¿Con qué frecuencia son atacados? Con este conocimiento, los profesionales de la seguridad pueden hacerse una idea de la distribución de los empleados de riesgo en su organización. Los análisis de Elevate muestran que el ocho por ciento de los usuarios causan el 80 por ciento de los incidentes. No todos los usuarios son iguales en cuanto a su concienciación sobre la seguridad y el riesgo humano que suponen.

Esta visibilidad permite una aplicación mucho más precisa de las intervenciones de seguridad, como la formación, la retroalimentación y los empujoncitos a la mano de obra, lo que permite impartir la formación adecuada a la persona adecuada en el momento adecuado. Esto maximiza la capacidad de una organización para protegerse de forma proactiva a la vez que reduce las horas de formación innecesarias o las fricciones de seguridad.

Aunque el correo electrónico sigue siendo el mayor vector de amenazas, una estrategia eficaz de gestión del riesgo humano requiere la aportación de una gama más amplia de señales que puedan proporcionar mediciones sobre las áreas prominentes de error humano, como hacer clic en ese enlace de phishing, descargar malware, manejar mal los datos o comprometer una cuenta. La tecnología de Elevate ingiere datos de más de 50 fuentes diferentes para recopilar el contexto del usuario y, a continuación, procesa más de dos mil millones de puntos de datos para determinar el riesgo predictivo que señala con precisión a las personas de riesgo.

El conjunto de productos de Mimecast, en combinación con las capacidades de Elevate, ofrece a los profesionales la posibilidad de llevar sus programas de concienciación en materia de seguridad al siguiente nivel mediante: 

• Evaluación de riesgos basada en el comportamiento, en lugar de basada en la autoevaluación o en la simulación. 
• Una puntuación avanzada de los riesgos que da sentido a todos los datos dispares de los usuarios para comprender qué es verdaderamente arriesgado y dónde reside dentro de la organización. 
• El codazo y la intervención que permiten responder al comportamiento con una formación aplicable y pertinente en el momento en que se demuestra un comportamiento de riesgo. 
• Formación contextual y adaptable que equipa a los equipos de seguridad, TI y concienciación para abordar realmente el riesgo específico del empleado. 
• Recomendaciones para afinar los controles de seguridad del correo electrónico con el fin de proteger mejor a los empleados de mayor riesgo. 
• Verdaderas soluciones de cambio de comportamiento más allá de las simulaciones de phishing. 

Lo esencial 

Las investigaciones demuestran que una minoría de usuarios provoca la gran mayoría de los incidentes de seguridad. Adaptar la formación y los controles de seguridad a cada empleado en función de los niveles individuales de riesgo puede ayudar a dar grandes pasos hacia una mejor postura de seguridad. Con la incorporación de la tecnología Elevate Security a la suite Mimecast, los clientes de Mimecast podrán no limitarse a marcar una casilla de cumplimiento, sino obtener de forma proactiva información y una visibilidad más profunda de los comportamientos humanos y el riesgo, lo que les ayudará a potenciar su fuerza de trabajo.