¿Somos los humanos la falla de los sistemas de ciberseguridad?

Cuando se habla de ciberseguridad, es común encontrar titulares como: “El factor humano, el eslabón más débil de la empresa” o “El 90% de los ciberataques ocurren por un error del usuario”, una narrativa que insiste en enfocarse en el empleado como el mayor riesgo para los sistemas de ciberseguridad.

Las soluciones planteadas por las organizaciones insisten en capacitar al personal de manera intensiva, realizar simulacros de phishing y socializar manuales de procedimientos sobre ingeniería social o accesos remotos, entre muchas otras medidas; sin embargo, aunque estas acciones son necesarias, no son la solución definitiva frente a la ciberdelincuencia.

Por esto, este Mes de la Ciberseguridad es una oportunidad para cambiar esta perspectiva, partiendo de que las empresas deben dejar de ver al empleado como un riesgo inminente que se debe contener y empezar a entender al colaborador o usuario como un punto de partida para el diseño y la implementación de sistemas de seguridad.

La falsa expectativa de lograr un usuario perfecto

El enfoque tradicional de las empresas al implementar sistemas de seguridad informática parte de una ilusión casi utópica: que mediante el entrenamiento y la educación, se pueda crear un usuario que no cometa errores, que detecte el 100 % de los correos maliciosos y que no busque atajos que lo lleven a páginas web no recomendadas; una ilusión que ignora la naturaleza humana de los colaboradores.

Es un hecho que un empleado no inicia su jornada laboral pensando en incumplir las normas de TI, sino que se dispone a cumplir las metas operativas que tiene a su cargo; si, para cumplir con sus obligaciones, necesita enviar un archivo muy pesado y tiene poco tiempo para hacerlo, pero una plataforma organizacional le exige un proceso de autenticación que tarda diez minutos, seguramente buscará una alternativa más rápida para gestionar los documentos, como una nube pública u otro medio no oficial, especialmente si está bajo presión para cumplir sus objetivos.

En este escenario, la seguridad puede entrar en conflicto con la productividad y llevar al colaborador a inclinarse por lograr esta última, por lo que culpar al usuario por buscar la mejor manera de hacer su trabajo podría ser un error de diagnóstico previo, ya que el problema no es necesariamente la falta de conocimiento o apropiación de los riesgos existentes por parte del empleado, sino que el sistema ignoró las necesidades operativas de los colaboradores en el día a día.

La importancia de la caracterización antes de la implementación: el rol del experto

El primer paso de cualquier estrategia moderna de protección de la información debería partir de comprender a las personas que utilizarán los sistemas, lo que implica que quienes se encargan de seleccionar e implementar soluciones de ciberseguridad conozcan las necesidades de los usuarios, sus funciones, sus hábitos de uso de la tecnología y las particularidades de su operación, antes de adquirir licencias de software costosas o imponer bloqueos masivos en la navegación.

Esta caracterización implica, a su vez, hacerse preguntas sobre el día a día del negocio; por ejemplo: ¿cómo interactúan las diferentes áreas con la tecnología?, ¿qué actividades generan mayores retrasos?, ¿en qué momentos del día las personas están sometidas a mayor presión y pueden estar más expuestas a errores o distracciones?

En ese sentido, la ciberseguridad no debería enfocarse únicamente en diseñar barreras cada vez más difíciles de superar para los ciberatacantes, sino en garantizar que las medidas de protección sean efectivas sin imponer dificultades innecesarias a los empleados ni incorporar pasos que dificulten sus dinámicas de trabajo.

Transferir el riesgo del usuario al sistema

Si un colaborador hace clic en un enlace de phishing cuidadosamente diseñado por ciberdelincuentes, el sistema debería contar con mecanismos que reduzcan las consecuencias de ese error; si una sola acción permite comprometer gran parte de la red, es necesario revisar si la arquitectura y los controles de seguridad de la organización permiten contener los incidentes, en lugar de atribuir toda la responsabilidad a la persona que se distrajo.

La ciberseguridad debe migrar hacia medidas que absorban el impacto del comportamiento humano como:

• Autenticación segura y usable: en lugar de depender exclusivamente de contraseñas complejas y difíciles de gestionar, las organizaciones pueden evaluar mecanismos como la autenticación sin contraseña (passwordless), las llaves de seguridad o el inicio de sesión único (SSO), según sus necesidades y riesgos; estas alternativas pueden facilitar el acceso y reducir determinados riesgos, aunque deben complementarse con otras medidas de protección
• Aislamiento y contención: herramientas como el aislamiento del navegador y las arquitecturas basadas en Zero Trust pueden contribuir a limitar el alcance de un incidente, siempre que se implementen de acuerdo con los riesgos de la organización y se integren con otros controles; el objetivo es reducir las posibilidades de que un error individual comprometa otros sistemas o información.
• Diseño de experiencia de usuario (UX) enfocado en la seguridad: las alertas de los sistemas deben ser claras y contextualizadas; si un software bombardea al usuario con advertencias técnicas incomprensibles o demasiado frecuentes, puede generar fatiga de alertas y aumentar la probabilidad de que estas se ignoren, por lo que la claridad en el diseño también contribuye a la protección.

Hacia una seguridad sostenible

Cambiar el enfoque implica también transformar la cultura interna de la organización, ya que, cuando se expone o sanciona automáticamente al empleado que cae en una prueba de phishing, se corre el riesgo de que las personas oculten sus errores por miedo a las consecuencias.

El ocultamiento puede tener consecuencias mayores, ya que retrasa el tiempo de respuesta del equipo técnico; por ello, si un empleado detecta algo extraño o comete una equivocación, debe contar con canales directos y sencillos para reportarlo, que ofrezcan confidencialidad y, cuando sea viable, la posibilidad de hacerlo de manera anónima, con la confianza de que su aviso será valorado como una alerta temprana y no como motivo de un castigo.

De esta manera, el colaborador se convierte en un participante activo de la seguridad de la organización en la primera línea de defensa, en lugar de ser visto como una amenaza interna para los sistemas de la organización.

En conclusión

Este Mes de la Ciberseguridad es una oportunidad para que los líderes tecnológicos y directivos reconsideren la narrativa que hemos construido frente a la seguridad de la información, ya que seguir invirtiendo tiempo y recursos únicamente en intentar modificar el comportamiento humano es una estrategia que puede resultar insuficiente.

La solución a la ciberdelincuencia no llegará el día en que todos los empleados piensen como analistas de seguridad, sino cuando los expertos logren diseñar sistemas pensados para personas reales, teniendo en cuenta sus necesidades, sus dinámicas de trabajo y las condiciones en las que utilizan la tecnología.

Por eso, la invitación es a que, desde la implementación, la tecnología incorpore la seguridad en su diseño y que los expertos y las organizaciones asuman un papel activo en la gestión y mitigación de los riesgos; así, los usuarios podrán dedicarse a hacer su trabajo con mejores condiciones de seguridad, sin ser señalados automáticamente como el factor más vulnerable de una organización.

Evalúe el nivel de usabilidad y protección de sus sistemas informáticos con el acompañamiento de nuestros especialistas en LOG TEC CONSULTING GROUP. Diseñe una estrategia de ciberseguridad efectiva y adaptada a la realidad operativa de su equipo.