Qué aprenderá en este artículo
- La cultura de seguridad es el conjunto compartido de comportamientos, actitudes y expectativas que determinan la forma en que los empleados abordan la seguridad en su trabajo diario.
- La sensibilización en materia de seguridad ayuda a los empleados a comprender los riesgos, pero es la cultura la que convierte esa sensibilización en un comportamiento seguro y constante a lo largo del tiempo.
- El apoyo de los responsables, la pertinencia en función del puesto, unas líneas jerárquicas claras y el refuerzo constante son los factores que contribuyen a que el cambio de comportamiento sea duradero.
- La gestión del comportamiento en materia de seguridad contribuye a reforzar la cultura de seguridad, ya que ayuda a las organizaciones a identificar comportamientos de riesgo y a tomar mejores decisiones a lo largo del tiempo.
Una sólida cultura de seguridad determina la forma en que actúan los empleados cuando un mensaje les parece sospechoso, una solicitud les resulta inusual o un flujo de trabajo les presiona para que se salten los procedimientos. No se trata simplemente de formar a las personas una vez y esperar que recuerden qué deben hacer. Se trata de integrar hábitos, expectativas y refuerzos en el trabajo diario. Esto reviste especial importancia, ya que las personas siguen desempeñando un papel fundamental en el riesgo cibernético.
¿Qué es la cultura de la seguridad?
La cultura de seguridad consiste en los comportamientos, actitudes y normas compartidos que influyen en la forma en que los empleados abordan la seguridad en su trabajo diario. Influye en la forma en que las personas gestionan la información confidencial, siguen los protocolos de seguridad, responden ante actividades sospechosas y toman decisiones ante amenazas a la seguridad.
Qué no es la cultura de la seguridad
También es importante definir qué no es la cultura de la seguridad. No es lo mismo que la cultura empresarial en general. La cultura organizativa puede influir en el estilo de liderazgo, la colaboración o las expectativas de rendimiento. La cultura de la seguridad es más limitada y más práctica. Se centra en la forma en que una organización aborda la seguridad de la información, la ciberseguridad las responsabilidades y la toma de decisiones de los empleados ante situaciones de riesgo.
Cultura de seguridad frente a concienciación sobre la seguridad
La cultura de la seguridad también es distinta de la sensibilización en materia de seguridad. La sensibilización en materia de seguridad proporciona a los empleados conocimientos sobre las amenazas, las políticas de seguridad y las mejores prácticas en materia de seguridad. La cultura determina si ese conocimiento se traduce en una acci e y coherente a lo largo del tiempo. Es posible que un empleado comprenda en teoría qué es el « » y el «phishing» , pero es una sólida cultura de seguridad lo que le hace detenerse, verificar y notificarlo, en lugar de reaccionar de forma precipitada.
¿Por qué es importante la cultura de la seguridad?
La cultura de la seguridad es importante porque los hábitos deficientes crean vulnerabilidades que los atacantes saben cómo aprovechar. Cuando los empleados carecen de contexto, apoyo o expectativas claras, incluso las políticas mejor redactadas pueden fracasar en la práctica.
Una cultura de seguridad deficiente aumenta el riesgo para las personas
Cuando las organizaciones no invierten en una cultura de seguridad, es más probable que los atacantes se aprovechen de las personas como la vía más fácil para acceder a la empresa. Esa es una de las razones por las que el phishing, la ingeniería social y otras amenazas cibernéticas siguen siendo tan eficaces.
El impacto en la empresa es real
Las decisiones erróneas en materia de seguridad pueden tener consecuencias financieras y operativas muy importantes. Una cultura de seguridad deficiente puede contribuir a la pérdida de datos, al tiempo de inactividad, a problemas de cumplimiento normativo y a el deterioro de la reputación. Además, puede dificultar que una organización se recupere rápidamente de un incidente de seguridad.
Una cultura sólida favorece la toma de mejores decisiones
Una cultura de seguridad sólida contribuye a reducir el riesgo humano al proporcionar a los empleados contexto, apoyo y unas expectativas más claras . Les ayuda a detectar una posible amenaza con mayor antelación, a informar más rápidamente de actividades sospechosas y a tomar decisiones más seguras en situaciones de presión. En lugar de basarse únicamente en programas de sensibilización generales, las organizaciones pueden reforzar el comportamiento con el paso del tiempo mediante un apoyo y un refuerzo más específicos.
¿Qué es lo que motiva a los empleados a comprometerse con un cambio de comportamiento duradero?
Por lo general, un cambio de comportamiento duradero no se debe únicamente a la concienciación. Los empleados tienden a implicarse más cuando la seguridad se percibe como algo visible, relevante y que se refuerza de forma constante en el trabajo diario.
El apoyo de los responsables hace que la seguridad sea visible
Los empleados prestan atención a lo que refuerza la dirección. Cuando los responsables consideran la seguridad como parte del funcionamiento de la organización , es más probable que los empleados se la tomen en serio. El apoyo visible aporta credibilidad a las iniciativas de seguridad, y contribuye a que la seguridad se perciba como una auténtica prioridad empresarial, en lugar de una tarea secundaria que recae exclusivamente en el equipo de seguridad.
La relevancia impulsa la adopción
Los miembros del equipo tienden a implicarse más cuando perciben que la seguridad es relevante para su trabajo diario. Los mensajes genéricos de sensibilización sobre ciberseguridad suelen pasar desapercibidos porque resultan abstractos.
Las directrices basadas en funciones son más eficaces porque vinculan las cuestiones de seguridad con las decisiones que los empleados toman en la práctica. Los equipos de finanzas, de recursos humanos, de operaciones y de atención al cliente se enfrentan a diferentes formas de riesgo cibernético , por lo que el mensaje debe reflejarlo.
El refuerzo ayuda a que el cambio de comportamiento se mantenga
Una formación en materia de seguridad que se imparte de forma puntual rara vez genera por sí sola un cambio duradero. Los programas más eficaces recurren a la repetición, la retroalimentación oportuna, simulaciones realistas y el asesoramiento basado en roles para reforzar la adopción de mejores decisiones a lo largo del tiempo. Eso es lo que contribuye a que la concienciación se convierta en un hábito, en lugar de ser simplemente información que los empleados escucharon una vez y luego olvidaron.
¿Cuáles son los aspectos fundamentales de una cultura de seguridad sólida?
Una sólida cultura de seguridad se forja a partir de varias dimensiones interrelacionadas, y no solo de una iniciativa de sensibilización o una política concreta. Cada uno de ellos influye en la forma en que los empleados perciben la seguridad, responden ante los riesgos y adoptan comportamientos seguros en su trabajo diario.
- Las actitudes determinan el grado de seriedad con el que los empleados se toman la seguridad y si la consideran relevante para su trabajo.
- Los comportamientos reflejan las acciones cotidianas que llevan a cabo los empleados en respuesta a las expectativas en materia de seguridad.
- La sensibilización permite adquirir conocimientos básicos sobre las amenazas, las políticas y las prácticas de seguridad.
- La comunicación permite transmitir mensajes claros y coherentes sobre las prioridades y expectativas en materia de seguridad.
- La rendición de cuentas refuerza la idea de que los empleados tienen un papel que desempeñar en la protección de la organización.
- El apoyo de la dirección demuestra que la seguridad cuenta con el respaldo de un compromiso visible por parte de los responsables.
- La cultura de denuncia anima a los empleados a informar de cualquier actividad sospechosa sin vacilaciones ni temor.
En conjunto, estas dimensiones favorecen un cambio de comportamiento más sólido al mejorar la comunicación de incidencias, fomentar una toma de decisiones más segura y reforzar la asunción de responsabilidades en materia de seguridad en toda la empresa.
Posible ilustración: un diagrama radial titulado «Las 7 dimensiones de una cultura de seguridad sólida», con «Cultura de seguridad» en el centro y siete nodos a su alrededor: «Actitudes», «Comportamientos», «Concienciación», «Comunicación», «Responsabilidad», «Liderazgo» «Apoyo» y «Cultura de notificación».
¿Cómo pueden las organizaciones desarrollar una cultura de seguridad más sólida?
Para crear una cultura de seguridad más sólida, no basta con limitarse a indicar a los empleados lo que deben hacer. Las organizaciones necesitan la estructura, el refuerzo y el apoyo adecuados para convertir las expectativas en materia de seguridad en hábitos cotidianos constantes.
Entre las fundaciones más importantes se encuentran:
- El compromiso visible de la dirección, ya que un apoyo firme por parte de esta contribuye a posicionar la seguridad como una auténtica prioridad empresarial
- Relevancia basada en las funciones, lo que facilita a los empleados relacionar las orientaciones con el trabajo que realizan a diario
- Canales prácticos de notificación, que ofrecen una forma sencilla y fiable de informar rápidamente sobre actividades sospechosas
- Un refuerzo constante, que permita desarrollar hábitos más sólidos con el tiempo, en lugar de recurrir a recordatorios puntuales
Los cambios de comportamiento duraderos suelen derivarse de una estructura, y no de una actividad puntual. Las organizaciones suelen lograr mayores avances cuando evalúan los comportamientos actuales, identifican patrones de riesgo, orientan sus intervenciones y refuerzan los hábitos más positivos a lo largo del tiempo.
Un modelo de referencia puede reforzar ese proceso mediante la incorporación de promotores en los departamentos o regiones que contribuyan a que las prácticas de seguridad sigan siendo visibles y relevantes a nivel local.
Posible elemento visual: un gráfico tipo «fundamentos» titulado «Fundamentos de una cultura de seguridad más sólida» en el que se muestran los cuatro pilares fundamentales de : compromiso visible de los líderes, relevancia basada en las funciones, vías prácticas de notificación y refuerzo coherente de . Debajo de los cuatro bloques, añada una barra de resultados con el título «Hábitos de seguridad más sólidos en el día a día».
¿Cómo deberían las organizaciones evaluar la cultura de seguridad y el cambio de comportamiento?
Es más fácil mejorar la cultura de la seguridad cuando las organizaciones saben en qué deben fijarse. Las señales más útiles suelen proceder de comportamientos recurrentes, patrones de actuación y la forma en que los empleados responden en situaciones reales a lo largo del tiempo.
Entre los indicadores más evidentes se encuentran las tasas de notificación, la repetición de comportamientos de riesgo, los patrones de simulación de phishing y el cumplimiento de los procedimientos de trabajo seguros. En conjunto, estas señales ayudan a las organizaciones a comprender si los hábitos de seguridad se están afianzando cada vez más en el trabajo diario.
Modelo de madurez de la cultura de seguridad
El seguimiento de las señales resulta útil por sí mismo, pero un modelo de madurez ayuda a las organizaciones a comprender qué significan esos patrones en un contexto . Muestra si la empresa sigue operando a un nivel básico de concienciación o si avanza hacia un cambio de comportamiento duradero y en toda la organización.
- Cumplimiento básico: la seguridad es, en su mayor parte, reactiva y se rige por políticas.
- Bases de la concienciación en materia de seguridad: La organización ha puesto en marcha programas de concienciación, pero el cambio de comportamiento sigue siendo limitado.
- Concienciación y comportamiento en materia de seguridad programática: los equipos comienzan a identificar patrones y a tomar medidas al respecto.
- Gestión del comportamiento en materia de seguridad: las señales de riesgo se asocian a usuarios o grupos concretos, por lo que la asistencia se adapta mejor a cada caso.
- Cultura de seguridad sostenible: el comportamiento seguro se fomenta en toda la empresa y pasa a formar parte de la forma en que se lleva a cabo el trabajo día a día.
¿Cómo puede la gestión del comportamiento en materia de seguridad contribuir a una cultura de seguridad más sólida?
La gestión del comportamiento en materia de seguridad ayuda a las organizaciones a pasar de iniciativas generales de sensibilización a medidas más específicas. Ofrece a los equipos de seguridad de una forma más clara de identificar comportamientos de riesgo, orientar la toma de decisiones más acertadas y reforzar hábitos más sólidos a lo largo del tiempo.
En lugar de tratar a todos los empleados por igual, este enfoque ayuda a las organizaciones a identificar dónde se concentran los riesgos relacionados con el personal y dónde se necesita más apoyo. Esto convierte la gestión del comportamiento en materia de seguridad en una forma práctica de reforzar la cultura de seguridad , ya que vincula la formación en concienciación sobre seguridad con las decisiones reales de los empleados y fomenta mejores hábitos mediante un refuerzo continuo.
La cultura de la seguridad es fundamental para la resiliencia a largo plazo
La cultura de la seguridad constituye una capa de seguridad práctica. Determina la forma en que los empleados responden ante las amenazas, gestionan la información confidencial , notifican actividades sospechosas y siguen procedimientos de trabajo seguros bajo la presión de situaciones reales.
Las organizaciones que desean lograr un cambio de comportamiento duradero necesitan algo más que una formación anual en materia de concienciación sobre seguridad o políticas generales de seguridad . Necesitan comprender mejor los riesgos para las personas, contar con un refuerzo más sólido y disponer de una forma de convertir las decisiones más seguras en hábitos. El enfoque de gestión del comportamiento de seguridad de Mimecast respalda ese objetivo al ayudar a las organizaciones a identificar comportamientos de riesgo , orientar hacia mejores decisiones y reforzar la cultura de seguridad con el paso del tiempo.
