Los ciberataques están aumentando y tienen el poder de interrumpir la infraestructura crítica, las empresas y los gobiernos.
La mayoría de estas brechas se han debido a un factor humano, a medida que las técnicas de ingeniería social se vuelven más sofisticadas.
Junto con los avances tecnológicos, necesitamos un enfoque más holístico de la ciberseguridad que tenga en cuenta el comportamiento humano.
La sociedad debe estar preparada para defenderse de los ciberataques. Más que en ningún otro momento de nuestra historia, los ciberdelincuentes, los Estados nacionales hostiles y otros actores malintencionados tienen acceso a tecnología sofisticada que puede interrumpir el funcionamiento de la infraestructura crítica, las empresas, los gobiernos y la vida cotidiana de las personas en todo el mundo.
Algunas el 82 % de las brechas de ciberseguridad en el último año se debieron a un factor humano. El disruptivo ataque de ransomware a Colonial Pipeline que paralizó el mayor oleoducto de combustible de Estados Unidos y provocó escasez fue consecuencia de una contraseña comprometida y de la reutilización de contraseñas. Semanas después, JBS, el mayor productor de carne del mundo, fue atacado mediante una infección por el malware Qbot, que se cree que se propagó a través de un correo electrónico de phishing.
Para complicar aún más la situación, los piratas informáticos utilizan los avances tecnológicos que los defensores emplean para proteger a los usuarios, como el aprendizaje automático y la inteligencia artificial (IA), para eludir la detección y manipular mediante ingeniería social.
Los ataques de phishing actuales están cada vez más dirigidos de forma precisa y diseñados para eludir los sistemas tradicionales de detección de correo electrónico. Los atacantes utilizan la IA para realizar labores de reconocimiento a partir de perfiles de redes sociales a gran escala, replicar los estilos de comunicación de contactos de confianza y crear mensajes de audio o vídeo falsos convincentes para utilizarlos en ataques de ransomware o de spear phishing.
El entorno tridimensional del metaverso también podría facilitar un uso más eficaz de estos métodos de ingeniería social. Esto significa que las personas deben estar más capacitadas e informadas que nunca para identificar y responder a las nuevas amenazas.
Todos necesitan formación en ciberseguridad
Al considerar nuestra respuesta, debemos centrarnos en proteger nuestro hardware y software, pero también debe prestarse la misma atención a la protección del comportamiento humano.
Vivimos en la era digital, en la que la persona media pasa seis o más horas al día en línea, tiene 10 dispositivos conectados en el hogar y tiene al menos 100 cuentas en línea, y estas cifras seguirán aumentando.
Los gobiernos, los agentes del sector privado y las instituciones educativas deben invertir en la formación de todos los ciudadanos. El modelo de educación en ciberseguridad del Gobierno de Estonia es una referencia de primer nivel, al haber reinvertido en programas de educación y formación en colaboración con el mundo académico y el sector privado.
El Gobierno se ha centrado en la formación de todos los ciudadanos, desde informar a las personas mayores sobre ciberseguridad hasta enseñar a los alumnos de educación infantil a programar y mostrar a los adolescentes cómo realizar comprobaciones de seguridad en los dispositivos de sus padres y familiares, con el fin de capacitar a los hogares para que asuman su responsabilidad.
Las organizaciones del sector privado deberían poner a disposición materiales de concienciación y formación en ciberseguridad tanto para clientes como para no clientes, con el objetivo de beneficiar a toda la sociedad. Santander y otras organizaciones privadas han tomado la iniciativa de ofrecer y compartir formación gratuita en ciberseguridad en sus sitios web.
El Centro de Aprendizaje en Ciberseguridad del Foro Económico Mundial es un buen modelo que agrupa recursos para pequeñas empresas y particulares a partir de recursos del sector privado.
La formación periódica, junto con los ejercicios prácticos, son mecanismos probados para generar un cambio real. Al igual que los colegios realizan simulacros de incendio, las simulaciones éticas controladas de phishing y las pruebas incluidas en el currículo escolar para detectar falsificaciones profundas y técnicas de ingeniería social en la mensajería y las redes sociales pueden resultar beneficiosas.
Las ciudades también podrían llevar a cabo ejercicios controlados de ingeniería social con pequeñas empresas que decidan participar voluntariamente.
La opción segura debe ser siempre la predeterminada
La combinación de formación, concienciación y soluciones tecnológicas en ciberseguridad que orienten a las personas hacia los comportamientos adecuados es un componente esencial de una ciberseguridad holística.
La ambición de todo tecnólogo debería ser convertir la mitigación de riesgos en un “hábito” inconsciente integrado en el producto. La experiencia de usuario (UX) debe tener siempre como opción predeterminada la opción segura, para permitir que las personas adopten medidas básicas de seguridad.
Sería una buena práctica que los sistemas operativos móviles tuvieran como predeterminada la activación de las actualizaciones automáticas de software. Los portátiles y los ordenadores de escritorio deberían presentar el cifrado como opción predeterminada. La autenticación multifactor (MFA) o la autenticación de segundo factor (2FA) deberían ser siempre la opción predeterminada.
El economista del comportamiento Dr. Richard Thaler comentó en su libro Nudge: “Si quieres que las personas hagan algo, facilítaselo. Elimina los obstáculos.”
La seguridad de Gmail es un ejemplo ilustrativo del impacto que una solución tecnológica puede tener en los comportamientos seguros. Desde 2011, cuando Google implantó su función 2FA para Gmail, informó de que menos del 10 % de los usuarios la tenían activada en Gmail. En 2021, Google anunció que activará la 2FA de forma predeterminada.
La ciberseguridad impulsada por los consumidores es fundamental
Para la mayoría de los consumidores actuales, la seguridad ya es una de sus principales preocupaciones. Los consumidores informados ya empiezan a exigir a las empresas y los fabricantes que integren la seguridad y demuestren su compromiso con ella. Un ámbito en el que esto ya empieza a ocurrir es el de los dispositivos del internet de las cosas.
Mientras tanto, los organismos de protección del consumidor, las empresas y el mundo académico estudian el uso de etiquetas de seguridad y privacidad para los dispositivos (similares a las etiquetas nutricionales) para proporcionar a los consumidores información en el momento de la compra. Las iniciativas avanzan a nivel internacional en el Reino Unido, Finlandia y Singapur.
¿Qué está haciendo el Foro Económico Mundial en materia de ciberseguridad?
El Centro para la Ciberseguridad ofrece una plataforma de confianza en la que los líderes se reúnen para comprender los riesgos cibernéticos en evolución y sus implicaciones sistémicas. Se centra en generar comprensión y confianza en un mundo digital cada vez más interconectado.
Al facilitar la colaboración intersectorial y el intercambio de conocimientos, el Centro ayuda a los socios a fortalecer su ciberresiliencia y a abordar retos que requieren respuestas colectivas.
A medida que avanzamos hacia el metaverso, los auriculares y otros dispositivos portátiles cobrarán mayor importancia; los usuarios se beneficiarían de normas sobre la forma en que estos dispositivos protegen sus datos. Este tipo de iniciativas de concienciación contribuyen a crear un ecosistema más sólido y seguro de usuarios concienciados.
En resumen, a medida que la tecnología y las ciberamenazas evolucionan, es más importante que nunca invertir en las personas. Un ecosistema cibernético sólido debe incorporar la formación, la concienciación y la UX para ofrecer una ciberseguridad más inteligente.
Los esfuerzos conjuntos de los sectores público y privado son el mecanismo más eficaz para impulsar estas iniciativas de ciberseguridad y fomentar una mayor confianza en línea.
