Por: Rukma Sen: Gerente de mercadotecnia de producto.
El phishing es todavía uno de los vectores de riesgo más significativos que enfrentan las empresas hoy en día. Tecnologías innovadoras de seguridad de email, como Microsoft Defender para Office 365, detienen a la mayoría de los ataques de phishing antes de que golpeen sus bandejas de entrada, pero no hay tecnología en el mundo que pueda prevenir al 100 por ciento que los ataques de phishing lleguen a sus bandejas. En ese momento, sus empleados se vuelven sus defensores. Deben estar entrenados para reconocer y reportar ataques de phishing, pero no todo el entrenamiento es igual de competente.
Este texto examina el estado actual del entrenamiento de concienciación en seguridad, incluida la forma en que ustedes pueden crear una solución inteligente para detectar, analizar y remediar el riesgo de phishing. También conocerán sobre un evento próximo para ayudarles a obtener información de valor, impulsada por datos, para comparar su nivel actual de riesgo de phishing contra el de sus colegas.
Una nueva realidad para la ciberseguridad
El director de seguridad de la información (CISO, por sus siglas en inglés) en una empresa moderna, debe lidiar con una miríada de amenazas. La mezcla híbrida de sistemas legados en sitio y de soluciones de nube, junto con la proliferación de dispositivos y sombras de empleados, significa que las necesidades de sus sistemas de seguridad necesitan una visión nueva e integral del riesgo de phishing a través de la organización. Las métricas de finalización de entrenamiento auto reportadas brindan información de valor sobre cambios de comportamiento o reducción de riesgo, lo que lleva a los CISO a desconfiar de esas métricas. Las mejoras en el comportamiento del empleado se vuelven difíciles de medir, lo que deja a los CISO ansiosos de que el comportamiento del empleado haya mejorado del todo.
Muchos trabajadores de la información ven al entrenamiento en concienciación sobre seguridad como una interrupción tediosa que resta productividad. A menudo, cuando un empleado es comprometido durante un ataque simulado, encuentran que el entrenamiento subsiguiente es punitivo y se aleja del entrenamiento como si nada hubiera pasado. Lo que es peor, las simulaciones son, a menudo, fuera de contexto y no hacen sentido para la industria o función del empleado.
Protección centrada en las personas
Hacer a los comportamientos seguros parte de los hábitos diarios de las personas, requiere de un programa regular de educación focalizada combinada con simulaciones realistas. Esto significa simulaciones regulares de brechas y ataques contra terminales, redes y controles de seguridad de nube. Microsoft Defender para Office 365 ahora presenta simulaciones para ayudarles a detectar y remediar riesgos de phishing en toda su organización. Attack Simulation Training en Microsoft Defender para Office 365, entregado en asociación con Terranova Security, les ayuda a obtener visibilidad sobre riesgo organizacional, la línea de base contra tasas predichas de compromiso, y a priorizar remediaciones. Para conocer más sobre esta capacidad, vean el lanzamiento del producto, que se dio en Microsoft Ignite 2020.
Terranova Security emplea un enfoque pedagógico para la ciberseguridad, que incluye gamificación y sesiones interactivas diseñadas para atraer el interés de los usuarios. Las simulaciones están localizadas para empleados de todo el mundo y siguen las más altas directrices de accesibilidad de contenido (WCAG, por sus siglas en inglés) 2.1. Ustedes podrán medir los cambios en el comportamiento de los empleados y desplegar un programa de concienciación sobre seguridad integrado y automatizado, basado en tres pilares de protección:
- Simular amenazas reales: Detectar vulnerabilidades mediante el uso de señuelos reales (emails de phishing verdaderos) y plantillas, para entrenar a los empleados en las amenazas más actuales. Los administradores pueden automatizar y personalizar simulaciones, incluidos los datos adjuntos de carga útil, segmentación de usuario, calendarización, y limpieza. Los grupos de Azure Active Directory (AAD) automatizan la importación de usuarios y la vasta lista de contenido de entrenamiento permite un entrenamiento personalizado, basado en la calificación de vulnerabilidad o el desempeño en la simulación del usuario.
- Remediar de manera inteligente: Cuantifiquen su riesgo de ingeniería social a través de los empleados y vectores de amenaza para dirigir con precisión el entrenamiento correctivo. Midan el impacto del comportamiento y den seguimiento al progreso de su organización con respecto a la línea de base de la tasa de compromiso. Configuren simulaciones automatizadas de reincidencia de infractor con la métrica de susceptibilidad de usuario y añadan contexto al correlacionar el comportamiento con una calificación de susceptibilidad.
- Mejorar su postura en seguridad: Refuercen su sistema de seguridad humana con un entrenamiento hiper dirigido. Attack Simulation Training en Microsoft Defender para Office 365 brinda nano aprendizajes y micro aprendizajes para satisfacer diversos estilos de aprendizaje, que permiten reforzar la concienciación.
Revisen su nivel de amenazas
En coincidencia con el Mes Nacional de la Concienciación en Ciberseguridad (NCSAM, por sus siglas en inglés), Terranova lanzará los resultados de su Terranova Security Gone Phishing Tournament™ a finales de octubre. Este popular evento ayuda a los líderes en seguridad a obtener una instantánea de la tasa de clics en phishing de su organización. Terranova lanzó esta campaña en agosto y brindó una simulación gratuita de phishing para sus solicitantes y les permitió compararse entre sus colegas, para darles datos precisos de su tasa de clics para comparación.
Patrocinado en conjunto con Microsoft, Terranova Security Gone Phishing Tournament™ utiliza una plantilla de email de Attack Simulation Training, una nueva capacidad de Office 365 ATP que se lanzará más adelante en 2020, que actúa como una herramienta inteligente de manejo de riesgo de ingeniería social que utiliza simulaciones conscientes del contexto y entrenamiento focalizado.
Para conocer más sobre las soluciones de Microsoft Security, visiten nuestro sitio web. Agreguen a Favoritos el blog de Security para estar al tanto de nuestra cobertura experta en cuestiones de seguridad. También síganos en @MSFTSecurity para las noticias más recientes y actualizaciones en ciberseguridad.