Descubra cómo evaluar la cultura de seguridad de su organización.
Comprenda hasta qué punto esa cultura de seguridad contribuye a la seguridad de su organización.
Aprenda a optimizar la cultura de seguridad de su organización y, como resultado, la seguridad de toda la organización.
Empecemos por analizar qué es la cultura y por qué importa. La cultura es tácita y, por naturaleza, difícil de definir. A menudo no se expresa, se basa en comportamientos y está oculta en los pensamientos y la mente de las personas. A menudo la vemos reflejada en el marco de la organización: en su visión, misión y valores, que también pueden describir sus actitudes ante distintas cuestiones. Por ejemplo, ¿valora la innovación por encima de la tradición? ¿Se centra en las personas o en los procesos? ¿Acepta el cambio? ¿O se resistirá a él a cada paso?
La cultura observable es la forma en que una organización recibe a los nuevos empleados, se une (o no) en momentos de crisis, gestiona el desempeño, celebra cumpleaños, responde a los cambios y las ideas, y trata a sus clientes y proveedores.
La cultura también se refleja en la forma en que realiza su trabajo cotidiano cuando nadie observa. Esto quedó patente cuando pasamos al trabajo a distancia a raíz de la COVID-19 y observamos un aumento de los incidentes cibernéticos y de las brechas de seguridad exitosas.
Todos conocemos la expresión «cultura tóxica». Describe una organización que no es un buen lugar para trabajar. Las personas son desagradables, nadie quiere realmente ir a trabajar, se recompensa o se ignora el mal comportamiento y la percepción general es muy negativa.
¿Qué es una cultura de seguridad?
Depende de a quién se le pregunte. En noviembre de 2019, KnowBe4 encargó a Forrester Consulting evaluar la cultura de seguridad en empresas de todo el mundo. En este estudio de 1,161 personas, se dieron 758 definiciones distintas de cultura de seguridad. Luego, esas 758 definiciones se agruparon en cinco categorías según la opinión general reflejada en cada una de las definiciones propuestas. Este es el desglose:
El 29% consideraba que la cultura de seguridad consiste en cumplir las políticas de seguridad.
El 24% dijo que consiste en tener conciencia y comprensión de las cuestiones de seguridad.
El 22% dijo que consiste en reconocer que la seguridad es una responsabilidad compartida en toda la organización.
El 14% indicó que tenía que ver con establecer grupos formales de personas que pudieran influir en las decisiones de seguridad.
El 12% dijo que una buena cultura de seguridad significa que la seguridad está integrada en la organización.
Aunque todas las respuestas son correctas a su manera, destaca una que las engloba a todas: la del 12% de las personas que dijeron que una buena cultura de seguridad significa que la seguridad está integrada en la organización.
¿Qué hace el Foro Económico Mundial en materia de ciberseguridad?
El Centro de Ciberseguridad ofrece una plataforma de confianza donde los líderes se reúnen para comprender los riesgos cibernéticos en evolución y sus implicaciones sistémicas. Se centra en fomentar la comprensión y la confianza en un mundo digital cada vez más interconectado.
Al facilitar la colaboración intersectorial y el intercambio de conocimientos, el Centro ayuda a sus socios a fortalecer la ciberresiliencia y a abordar los desafíos que requieren respuestas colectivas.
¿Qué es una buena cultura de seguridad?
Una buena cultura de seguridad es aquella en la que las personas toman las decisiones correctas en materia de seguridad, conocen el panorama de amenazas, saben qué señales de alerta deben vigilar, notifican toda actividad sospechosa y comprenden su papel en la ciberseguridad como punto final humano.
Una cultura de (ciber)seguridad no consiste solo en completar cursos de formación o denunciar correos electrónicos de phishing. También abarca situaciones que pasan desapercibidas y que a veces no se pueden medir, así como la respuesta posterior. Veamos las ventajas de tener una cultura de seguridad frente a no tenerla.
Las siguientes situaciones se presentan desde el punto de vista de las personas —sus usuarios— y representan lo que pasa por su mente cuando se enfrentan a una situación relacionada con la seguridad.
Situación 1 – Llega a una bandeja de entrada un correo electrónico de phishing (correo malicioso) de un banco. Contiene varios errores gramaticales, un enlace claramente sospechoso, distintos tamaños de letra, carece de formato y la dirección de correo electrónico del remitente es claramente falsa.
Situación 2 – Se encuentra un dispositivo USB en el suelo de un pasillo de oficina con la inscripción «Nómina 2022».
Aunque estas situaciones nos parezcan instintivas a quienes vivimos y respiramos la seguridad de la información y la ciberseguridad, no lo son para los demás. Les aseguro que esto es exactamente lo que su personal piensa y hace todos los días.
Su organización tiene una cultura de seguridad, pero ¿es la que desea?
Es cierto. Todas las organizaciones ya tienen una cultura de seguridad, les guste o no. El reto consiste en comprender cómo es hoy, definir cómo queremos que sea y trabajar para hacer realidad esa visión.
Para comprender la cultura de seguridad que tiene hoy, debe plantearse algunas preguntas, hacer observaciones y tomarse el tiempo de documentar lo que descubra.
Empiece por preguntarse: ¿Entiende su personal el impacto que tendría una brecha de seguridad en su organización? ¿Conoce el panorama de amenazas cibernéticas? ¿Bloquea sus dispositivos cada vez que se aleja de ellos? ¿Sigue las políticas vigentes (uso de internet, escritorios despejados, notificación de incidentes, etc.)? ¿Cómo responde ante el phishing y otras formas de ingeniería social? ¿Recurre constantemente a soluciones alternativas inseguras (como usar una cuenta personal de Dropbox o dispositivos personales sin protección en el trabajo, etc.)?
Una vez que tenga una idea de su situación actual, es hora de considerar, debatir y definir cómo debería ser la cultura de seguridad de su organización.
Las Siete dimensiones de la seguridad de KnowBe4 son un excelente punto de partida, ya que examinan los siguientes elementos:
1. ¿Qué actitudes espera que tenga su personal con respecto a la seguridad?
2. ¿Qué comportamientos desea cambiar o ver?
3. ¿Tiene su personal comprensión, conocimientos y conciencia sobre el tema?
4. ¿Cómo se comunica con su personal y siente este que forma parte de la solución?
5. ¿Ha tenido en cuenta e incluido a su personal en sus políticas? ¿Sabe qué debe hacer?
6. En cuanto a las normas de conducta no escritas de su organización, ¿ha pensado en incluir la (ciber)seguridad?
7. Por último, y quizá lo más importante, ya que sin ello está destinado a fracasar: ¿comprende su personal por qué la ciberseguridad es responsabilidad de todos y que tiene un papel fundamental que desempeñar?
Cuando tenga las respuestas a estas preguntas, estará muy cerca de crear y cultivar la cultura de seguridad que desea. El siguiente paso es plantear a su personal una serie de preguntas mediante nuestra Encuesta sobre cultura de seguridad de nuestro Informe sobre cultura de seguridad 2022, que le ofrece una referencia inicial para las siete dimensiones de la cultura.
Pregúntese: ¿Le importa a mi organización la seguridad? ¿Qué áreas de la empresa son las menos y las más conscientes de la seguridad? ¿Qué empleados son más reacios al riesgo? ¿Qué tan sólida o débil es nuestra cultura de seguridad? ¿En qué parte de nuestra organización debemos mejorarla? Y ¿qué tan eficaz es nuestro programa de cultura de seguridad?
Además de responder preguntas operativas como las anteriores, la Encuesta sobre cultura de seguridad le proporciona indicadores para informar al consejo de administración o al equipo directivo sobre la postura de seguridad de su organización. También le ofrece un punto de partida para implementar iniciativas de concienciación, formación y educación en toda la organización.
Volvamos ahora a la pregunta inicial: ¿Qué le ocurre a una organización cuando carece de una cultura de seguridad? Reformulémosla así: ¿Qué le ocurre a una organización cuando tiene la cultura de seguridad que desea?
Crear una cultura de seguridad sólida y positiva, tal como usted la define, es un mecanismo eficaz para influir en el comportamiento de sus usuarios y, de ese modo, reducir el riesgo de su organización y aumentar su resiliencia.
