El elemento humano sigue impulsando las brechas de seguridad.
“Ya sea en los casos de ataques a infraestructuras críticas con amplia repercusión mediática o en vulneraciones masivas de cadenas de suministro, los ciberdelincuentes con motivaciones financieras y las bandas patrocinadas por Estados nunca, o casi nunca, han actuado con tanta intensidad como en los últimos 12 meses”.
DBIR de 2022
Así lo establece la publicación de Verizon 2022 Data Breach Investigations Report.
Ya han pasado 15 años desde que salió el primer informe anual de investigaciones de brechas de datos de Verizon. En la edición del 2022, el informe de 108 páginas analiza más de 23.000 incidentes y 5.200 brechas confirmadas de todas partes del mundo.
Los resultados del estudio de Verizon señalan como principales causas de las brechas de seguridad:
- El uso de credenciales expuestas o robadas
- La suplantación de identidad
- El uso indebido o, simplemente, un error
DBIR de 2022. Figura 1. El componente humano en las fugas (n=4,110); cada glifo representa 25 fugas.
Queda claro que las personas siguen desempeñando un papel clave, tanto en los incidentes como en las brechas de seguridad de la información.
DBIR. Resultados relevantes
El 82% de las brechas involucraron el elemento humano, incluidos los ataques sociales, los errores y el uso indebido.
Hubo un 13% de aumento en las brechas de ransomware, más que en los últimos 5 años combinados.
En el 62% de los incidentes, el patrón de intrusión al sistema involucró a actores de amenazas que comprometieron a socios (cadena de suministro)
Servicios de prevención del ciberriesgo humano
Obviamente, la formación para concienciar en seguridad a los usuarios es fundamental. Es clave adoptar una estrategia de seguridad centrada en las personas que ayude a la organización a gestionar los riesgos para la seguridad de manera más eficaz, poniendo énfasis en las amenazas que se dirigen a las personas y se aprovechan de ellas.
Cada elemento de riesgo señalado por el informe de Verizon tiene estrategias de mitigación propias, pero, afortunadamente, Kymatio dispone de servicios que permiten automatizar los planes de gestión, prevención y mitigación del riesgo de los empleados. A continuación vamos a recorrer estrategias para prevenir:
- El uso de credenciales expuestas o robadas
- Los ataques de suplantación de identidad
- El uso indebido o, simplemente, un error
Soluciones. Uso de credenciales expuestas (o robadas)
El uso de credenciales robadas o comprometidas es la causa más común de las brechas de datos. Las credenciales fueron el principal vector de ataque en el 19% de las brechas en 2022 y también el principal vector de ataque en 2021, causando el 20% de las brechas.
Las credenciales, como la dirección de correo electrónico o la contraseña, pueden caer en las manos de los delincuentes a través de ataques de ingeniería social, pero a menudo la fuente suele ser una brecha de datos de un servicio online.
En cualquier caso, para abordar de forma holística este problema es necesaria la monitorización de la exposición de credenciales. Los resultados obtenidos pueden servir de driver para lanzar 2 líneas de trabajo.
Trabajo con credenciales expuestas, línea de control
Revisión periódica y automatizada de la exposición de credenciales, tipología de los datos expuestos e impacto potencial de la información expuesta (combinación de dirección de correo y contraseña, IP, usuarios…). La organización debe conocer su nivel de exposición y trabajarlo internamente.
Trabajo con credenciales expuestas, línea de sensibilización del personal
Una de las mejoras prácticas para la sensibilización de los empleados es trabajar con ellos, además de con ejemplos de terceros e información general, mostrándoles casos reales con sus propios datos.
Para obtener más información sobre cómo gestionar y mitigar el riesgo de credenciales robadas o comprometidas en brechas de terceros recomendamos Kymatio Account Breach Scanner (ABS).
Soluciones. Suplantación de identidad
El phishing es un buen ejemplo para ilustrar este riesgo. Es parte de nuestro día a día en un mundo en el que alcanzamos un avanzado nivel de digitalización en el ámbito tanto empresarial como personal.
Ante esta situación es fundamental disponer de una plataforma de simulación de ataque 360º (phishing, spear phishing, smishing, QR malicioso, etc.) que permita el entrenamiento y simulación de ciberataques.
Los tres elementos principales de esta línea de actuación son:
- Medición de la línea base de la organización con respecto a su comportamiento frente a las distintas simulaciones de ataque.
- Determinación de objetivos de disminución de errores humanos. Desde los datos de baseline obtenidos, definir un objetivo y coordinar los esfuerzos para alcanzar dicha meta en un período estipulado, de forma que sea realista y alcanzable.
- Entrenamiento periódico del personal de la organización.
Soluciones. Uso indebido y error humano (Concienciación)
La ingeniería social, o hacking de personas, consiste en comprometer psicológicamente a una persona. Se consigue alterar su comportamiento, facilitando que pueda tomar decisiones y realizar acciones en contra de su propio interés y el de la organización, como puede ser violar la confidencialidad de los datos.
Pero en muchos casos lo que ocurre es, sencillamente, una falta de conciencia sobre la seguridad unida a la inexistencia de sensibilidad sobre la importancia de tener una cultura de seguridad.
La mejor forma de trabajar este riesgo es un programa de concienciación sobre la seguridad de nueva escuela, reservando el e-learning tradicional para aplicarse una vez conocidos los gaps. Un programa que permita entender aquellas áreas que cada empleado tiene que mejorar, determinando todos aquellos elementos que generan el HSG o Human Security Gap.
No siendo una tarea sencilla, existen metodologías y servicios que nos permitirán mejorar la situación en diferentes líneas:
- Medición del estado de alerta de los empleados y sus gaps.
- Lanzamiento de programas de concienciación en seguridad personalizados, dirigidos a las áreas donde es necesario el refuerzo de información para cada empleado de forma individualizada.
- Enfrentar a cada persona a situaciones específicas, permitiéndoles decir en cada caso la mejor alternativa y conseguir medir su evolución en cada dominio principal de la seguridad.
- Entregar contenidos ágiles, fáciles de consumir (nano-micro contenidos) y vinculados a las áreas necesarias de conocimiento.
- Realizar todo lo anterior respetando el tiempo del empleado, de forma flexible.
Para obtener más información sobre cómo gestionar y mitigar el riesgo de uso indebido y error humano, recomendamos ver cómo trabajan en conjunto nuestros servicios. Descubre el programa de evaluación y concienciación Kymatio Assessment & Awareness, el servicio de entrenamiento con simulación de ataques de ingeniería social Kymatio Trickster, que incluye NeuroPhishing, y la gestión de exposición de credenciales con Kymatio Account Breach Scanner (ABS).
