Capacitación en ciberseguridad: formas de adquirir la experiencia que necesitan las empresas para protegerse de los crecientes ciberataques




por Víctor Ruiz, fundador de SILIKN y mentor del Centro de Ciberseguridad 05000

La ciberseguridad empresarial está conformada por tres elementos importantes: la tecnología, los procesos y las personas.

No obstante, cuando se habla de ciberseguridad, las empresas suelen invertir solo en tecnología — y aún cuando se trata de la más avanzada y poderosa en el mercado — este enfoque principal en el aspecto tecnológico, a expensas de la capacitación del personal y el establecimiento de políticas, procesos y procedimientos claramente definidos, ha demostrado ser insuficiente en la medida en que los incidentes cibernéticos continúan aumentando.

En ocasiones los directivos confían en que la tecnología es capaz de responder a un ciberataque, que pueda dar como resultado una filtración masiva de datos o la interrupción de las operaciones, pero esto solo lo han podido corroborar durante los días posteriores a un ataque.

En el peor de los casos, se pierden ingresos, clientes, reputación, se imponen multas, hay demandas y cierran las empresas. Pero esto puede evitarse si la organización, además de hacer inversiones en tecnología y establecer políticas y procedimientos en caso de cualquier incidente cibernético, también invierte en capacitación continua, evaluaciones y simulacros de ataques, con lo cual los empleados pueden obtener una comprensión más clara de las fortalezas y debilidades de su organización en ciberseguridad, y así mejorar sus deficiencias.

Con la preparación adecuada, los directivos de sistemas y seguridad pueden proporcionar una evaluación precisa de las habilidades de su equipo y un camino de mejora para los ejecutivos, miembros de la junta y equipos de cumplimiento, lo que genera confianza en toda la organización.

Un punto importante es que dada la escasez de profesionales con experiencia en ciberseguridad, contratar personal es extremadamente difícil y competitivo, y no es una opción para algunas organizaciones — En este sentido, en general se está experimentando una brecha de habilidades de ciberseguridad sin precedentes, y algunas estimaciones informan para 2024 harán falta más de 10 millones de profesionales. ​Hoy en día, se estima que el 71% de las empresas en América Latina no encuentran perfiles expertos en ciberseguridad — . Sin embargo, los directivos de sistemas y seguridad aún deben encontrar una forma de proteger a sus organizaciones de las amenazas.

Una forma de abordar la escasez de personal y habilidades es construir un equipo flexible a través de capacitación acelerada. Siguiendo un modelo desarrollado por el ejército en el que cada miembro de un equipo está capacitado y puede hacer el trabajo de otro miembro, las empresas pueden identificar ciberprofesionales competentes en sus filas y capacitarlos en otras áreas de seguridad.

Las decisiones de capacitación pueden basarse en debilidades, modelos de proceso y tecnología utilizada. El objetivo es optimizar los roles cubiertos por cada miembro del equipo en cada etapa del proceso, para que nadie se quede sin una función que realizar en ningún momento durante un incidente.

Otra forma en que las empresas pueden gestionar las lagunas de habilidades en su equipo es identificando al personal que no es de seguridad que tiene la competencia para pasar a un rol de ciberseguridad. Dado que los puestos de tecnología suelen ser más fáciles de cubrir que los puestos de seguridad cibernética, evaluar las capacidades de los empleados que no son de seguridad para identificar a los que tienen más probabilidades de tener éxito y brindarles capacitación en seguridad es una forma muy efectiva de agregar nuevos talentos. Este modelo tiene el beneficio adicional de reducir los costos asociados con la contratación de nuevos empleados y puede mantener los salarios bajo control.

Un equipo de ciberseguridad propio es un buen inicio para proteger a la empresa, pues como sabemos un ciberataque dirigido suele ser engañoso, sofisticado y de varias etapas. Incluso las organizaciones de seguridad más experimentadas — con herramientas de seguridad avanzadas — a menudo tendrán dificultades para defenderse de ellos.

Un análisis de la unidad de investigación de SILIKN encontró que sin una colaboración y un liderazgo activos, incluso un gran equipo de ciberseguridad fallará. El estudio concluyó que la colaboración humana y el liderazgo de los equipos de ciberseguridad son esenciales a la hora de responder durante un ciberataque.

Dado que la mayoría de los programas de capacitación enfatizan el conocimiento individual en ciberseguridad, esta falta de enfoque en la colaboración en equipo coloca incluso a los grupos de seguridad más sofisticados en desventaja frente a atacantes bien organizados.

La realización de simulacros de ciberataques de forma rutinaria proporciona una forma de medir la eficacia de todo un equipo y de las habilidades individuales de cada integrante. Evaluar el desempeño de un equipo de defensores mientras trabajan juntos para derrotar a un adversario común revelará mucho más que solo la teoría o habilidades de defensa cibernética.

Estos ejercicios también mostrarán habilidades sociales como la comunicación, el trabajo en equipo, la improvisación y el liderazgo, todo lo cual, según el análisis de la unidad de investigación de SILIKN, es esencial para el éxito de la defensa cibernética en el mundo real.

Frente a la escasez de profesionales capacitados en ciberseguridad y un grupo aún menor de profesionales de seguridad experimentados, las organizaciones deben encontrar nuevas formas de adquirir la experiencia que necesitan para protegerse de los crecientes atacantes sofisticados y bien financiados.

La capacitación, el uso de nuevas técnicas interactivas que pueden evaluar y mejorar las habilidades y la toma de decisiones en el mundo real, al mismo tiempo que se brindan informes objetivos sobre las habilidades, pueden ayudar a desarrollar la fortaleza cibernética de una organización de una manera que ninguna herramienta de seguridad defensiva lo hará jamás.

En este caso, en SILIKN, estamos impartiendo talleres en las empresas con la finalidad de ayudar a los empleados a identificar y hacer frente a las múltiples ciberamenazas que se generan a diario.

Debido al incremento y letalidad que han tenido el ransomware y el phishing en estos últimos meses — contra corporativos, gobiernos, pequeñas y medianas empresas, instituciones educativas, infraestructura crítica y sectores industriales, entre otros, uno de los talleres que genera conciencia y brinda herramientas y recomendaciones de ciberdefensa a los empleados, es el “Taller de prevención, gestión y mitigación en caso de ataque por phishing y ransomware”. Con duración de 6 horas, en línea, con instructor en vivo, sin límite de participantes. Para agendar un taller dentro de su organización, coordinar fechas y conocer los costos, hágalo a través del siguiente enlace https://cutt.ly/afxGhPI o envíe un mensaje: https://cutt.ly/QfUQTMD

Para más información, visite: https://www.silikn.com/