Investigaciones universitarias sugieren capacitación contra ciberataques
Stu Sjouwerman
Un artículo de investigación en el Journal of Computer Information Systems dice que la capacitación en conciencia de seguridad es un complemento necesario para las defensas técnicas y las políticas de seguridad, informa SC Magazine. Publicado por investigadores de la Universidad de Sussex y la Universidad de Auckland, el artículo reconoce que las defensas técnicas pueden ayudar, pero no pueden influir en las respuestas conductuales humanas a las que se dirige la ingeniería social.
Hamidreza Shahbaznezhad, coautor del
informe y científico de datos senior en la industria en la Universidad de
Auckland, dijo en un comunicado de prensa que las defensas técnicas son útiles
pero no exhaustivas.
“Aunque se implementan contramedidas
técnicas como herramientas anti-phishing y spam, detección de malware por
correo electrónico y prevención de pérdida de datos para mitigar el riesgo de
ataques de phishing, el uso de estas tecnologías para detectar ataques
de phishing sigue siendo un problema
desafiante”, dijo Shahbaznezhad. "Esto no es menos importante porque
a menudo requieren la intervención humana para analizar y distinguir entre
phishing y correos electrónicos legítimos".
La Dra. Mona Rashidirad, coautora y
profesora de estrategia y marketing en la Escuela de Negocios de la Universidad
de Sussex, agregó que la capacitación en concientización debe tenerse en cuenta
en los presupuestos de seguridad de las organizaciones.
"Las medidas de seguridad por sí
solas no protegerán a una empresa de las estafas de phishing", dijo el Dr.
Rashidirad. “Las organizaciones y los individuos invierten sustancialmente
en salvaguardas de seguridad para proteger la integridad, disponibilidad y
confidencialidad de los activos de información. Sin embargo, nuestro
estudio respalda los hallazgos de estudios recientes de que estas salvaguardas
no son adecuadas para brindar la máxima protección de la información sensible y
confidencial”.
Los investigadores escriben que los
programas de capacitación deberían enseñar a los empleados cómo pensar sobre su
propio comportamiento y cómo los atacantes pueden manipularlos.
"De hecho, los profesionales de la
seguridad deberían apuntar a que dichos programas de concienciación sobre
seguridad de la información informan a los usuarios sobre los factores
intrínsecos y extrínsecos que pueden influir en su comportamiento", dice
el documento. “Por lo tanto, los empleados pueden estar más atentos para
comprender cómo los delincuentes de ciberseguridad pueden explotar la
percepción de los empleados desde diferentes perspectivas individuales /
motivacionales, organizacionales y tecnológicas. Los empleados pueden
necesitar conocer los arsenales de seguridad existentes junto con los riesgos
de seguridad que podrían ser explotados por atacantes malintencionados".
Las organizaciones necesitan implementar una combinación de soluciones técnicas, políticas de seguridad y capacitación de empleados para combatir estas amenazas. La capacitación en concientización sobre seguridad en la nueva escuela puede permitir a sus empleados defenderse contra ataques de ingeniería social.
Comentarios
Publicar un comentario