Autor
Ciberseguridad720
Editorial Team
En el ecosistema de la ciberseguridad para PYMEs, muchas empresas invierten recursos en desplegar un sistema de gestión de seguridad de la información (SGSI) —por ejemplo basado en ISO 27001 o en NIST Cybersecurity Framework— pero muchas veces, obvian detalles relevantes que deberían considerarse en la fase de implantación; uno de ellos, corresponde a la ausencia de pruebas sobre el sistema de forma realista, regular y útil. Y eso es justamente lo que separa a las empresas que “tienen un SGSI” de aquellas que “realmente lo viven”.
La necesidad de probar o testear el SGSI no es un lujo, sino una exigencia operativa:
A continuación exploraremos por qué es clave hacer estas pruebas, qué aspectos conviene testear, y cómo acercarlo de forma realista (sin que sea un ejercicio exclusivo de “cumplimiento” sino además de mejora continua).
En general, se debería testear todas las capacidades de ciberseguridad que hacen parte del SGSI; no obstante, teniendo en cuenta que los recursos disponibles dentro de las PYMEs son reducidos, se debería considerar por lo menos lo siguiente:
Hoy en día proliferan plataformas que permiten lanzar campañas de simulación de phishing de forma prácticamente “plug-and-play”. Si bien son útiles, es importante reconocer sus limitaciones cuando el objetivo es una verdadera mejora de la seguridad real:
Por tanto, la solución no está en abandonar las herramientas automatizadas —sino en adaptarlas : combinar simulaciones técnica y psicológicamente sofisticadas, con análisis cualitativo, feedback individualizado y diseño de intervención que tenga en cuenta los factores humanos.
Aquí van algunas sugerencias concretas y adaptadas a PYMEs:
Simulaciones de phishing adaptadas
Medir el conocimiento y la capacidad de detección real
Evaluar los incidentes reales como “lecciones”
Revisar procesos de detección y respuesta
Incorporar factores humanos y contextuales en la simulación
Para una PYME que desea no solo tener un SGSI “por libro”, sino que funcione de verdad, testear el sistema es imprescindible . Y dentro de ese testeo, la dimensión humana —y en especial, la capacidad del usuario de detectar y reaccionar ante ataques tipo phishing por cualquier medio— merece un lugar central.
Sin embargo, no basta con una campaña genérica de phishing al año. Diferentes estudios nos alertan de que los programas tradicionales de concienciación pueden no tener el impacto esperado. Por tanto, combinar tecnología, simulaciones inteligentes, enfoque psicológico, contexto realista y reporte-respuesta es la receta para que el “ring” donde el usuario final se convierte en la primera capa de defensa sea más sólido día a día.
En este sentido, la oferta de plataformas automatizadas de phishing es una herramienta útil, pero no la solución completa : cuidar el factor humano, el análisis posterior y adaptar a la realidad de la empresa marca la diferencia.
Lecturas conectadas con este tema para seguir profundizando sin salir del blog.
En un mundo cada vez más digital, los datos personales se han convertido en uno de los activos más valiosos de cualquier organización . Para una gran empresa esto ya es…
Ciberseguridad720
Editorial Team
El pasado 31 de enero nos despertamos con una noticia que, de ser cierta, helaría la sangre de cualquier responsable de cumplimiento; una supuesta filtración masiva de…
Ciberseguridad720
Editorial Team
Durante los últimos meses hemos tenido numerosas conversaciones con empresas que empiezan a oír hablar de NIS2 como si fuera una normativa lejana, diseñada solo para…
Ciberseguridad720
Editorial Team