Después de varios años trabajando en consultoría, hay algo que no deja de sorprenderme, especialmente cuando pienso en cómo formamos y comunicamos en ciberseguridad.
Quienes nos dedicamos a esto podemos pasarnos días diseñando un simulacro de phishing. Pensamos el escenario, preparamos el correo, seleccionamos cuidadosamente a quién se lo enviamos e incluso buscamos la franja horaria perfecta para lanzarlo.
Todo para que, cuando aparezca en su bandeja de entrada, el usuario sepa reconocer las señales de alarma y detectar que algo no termina de cuadrar.
Y si acierta, ¡enhorabuena! Dependiendo de la empresa y de cómo ha diseñado esta experiencia, le saldrá desde confeti animado en la pantalla hasta la acumulación de unos cuantos puntos, escalando posiciones en una clasificación imaginaria de cibercampeones. En otras, con suerte, llegará a enterarse de que aquello era un simulacro.
Y después, nada. A seguir con la vida, los otros 300 correos pendientes y esa reunión que perfectamente podría haber sido un mensaje por Teams.
Hasta aquí, todo fenomenal (se supone).
Ahora, imagina que mañana llega a tu bandeja de entrada un correo prácticamente idéntico. No sabes si es auténtico, tampoco encuentras nada especialmente raro y, por si fuera poco, tienes mil cosas pendientes por hacer.
Y ahí es cuando el confeti y los ciberpuntos sirven de bastante poco. Porque quizá nos hemos pasado demasiado tiempo entrenando a las personas para aprobar el examen, pero no para enfrentarse a lo que viene después.
Esto es algo que llevo tiempo cuestionándome. Tras haber liderado varios proyectos de concienciación en ciberseguridad, he visto cómo dedicamos una cantidad considerable de esfuerzo a enseñar a las personas a identificar amenazas. Les explicamos los riesgos, mostramos ejemplos, diseñamos simulaciones y después medimos cuántos han acertado.
Pero hay una parte de la historia que no siempre recibe la misma atención. Desde luego, no solemos olvidar enseñar cómo reportar una amenaza. En muchas formaciones explicamos los canales disponibles y los procedimientos que deben seguirse. El problema es que a veces damos por hecho que, como ya lo hemos explicado un par de veces, las personas sabrán recordarlo y aplicarlo cuando realmente lo necesiten.
Es bastante habitual encontrarnos con esa idea de que basta con una breve mención al final de la sesión o del curso. Y claro, para quienes trabajamos en este sector y podemos citar los procedimientos casi de memoria, puede parecer más que suficiente.
Pero yo, como profesional de Security Awareness, también tengo que ponerme en el lugar de alguien que lleva meses sin necesitar reportar nada o que, sencillamente, nunca ha tenido que hacerlo.
Porque imagina que mañana tu compañero de oficina recibe un correo sospechoso. Algo no le cuadra, y recuerda vagamente que en alguna formación explicaron qué debía hacer. Entonces, comienzan las dudas. ¿Había que reenviarlo a una dirección concreta? ¿Utilizar el botón de reporte de Outlook? ¿Abrir un ticket? ¿Avisar directamente a IT? ¿Y qué pasa si ya ha hecho clic?
Quizá termina eliminando el mensaje y a otra cosa mariposa. No porque no le importe la seguridad, sino porque realmente no tiene claro cuál es el siguiente paso. O, mejor dicho, el paso adecuado.
Y si trasladamos todo esto a una llamada sospechosa, o al ver que alguien desconocido accede a una zona restringida, apaga y vámonos. Porque, siendo honestos, ¿sabría cómo comunicarlo? ¿Recordaría a quién acudir?
En nuestra cabeza estaba clarísimo, pero en la de los demás, tal vez no.
Después de darle muchas vueltas, creo que ahí está una de las cuestiones que deberíamos replantearnos.
Como profesionales de la ciberseguridad, a veces confundimos haber comunicado una recomendación o explicado un procedimiento con haber conseguido que las personas sepan aplicarlo cuando realmente lo necesitan.
Podemos explicar cómo reportar una amenaza y que, meses después, alguien no recuerde el procedimiento. Podemos enseñar a identificar las típicas red flags y que una persona siga sin saber cómo reaccionar cuando recibe una petición extraña.
Eso no significa que nuestras formaciones sean malas o que todo lo que hemos hecho hasta ahora no sirva. Significa que, si queremos que las personas desarrollen hábitos de seguridad que puedan aplicar en su día a día, necesitamos ir un poquito más allá de transmitir información, por muy bonita que nos haya quedado la infografía.
Entonces, ¿cómo resolvemos esto?
No creo que necesitemos reinventar todos nuestros programas de concienciación ni convertir cada formación en una experiencia inmersiva extensa y complicada. Basta con introducir algunos cambios que, en mi humilde opinión, son bastante concretos:
El ejercicio no debe terminar cuando identificamos la amenaza. Si organizamos un simulacro de phishing, ¿por qué no dar más protagonismo a los indicadores de reporte? No se trata únicamente de medir cuántas personas han identificado el correo como sospechoso, sino también de comprobar cuántas han sabido utilizar el canal adecuado para comunicarlo.
Porque una cosa es recordar que existe un botón específico de reporte y otra muy diferente es saber utilizarlo cuando realmente importa.
Practicar cómo actuar, aunque no siempre tengamos la respuesta correcta. Podemos presentar un correo aparentemente legítimo, sin señales evidentes de fraude, y preguntar cómo actuarían ante él. ¿Responderían? ¿Compartirían información? ¿En qué momento decidirían reportarlo y por qué canal?
Me interesa mucho más entender cómo razonan y qué decisiones toman que comprobar si las personas han memorizado una lista de señales de alerta.
Que el procedimiento sea tan fácil de utilizar como de explicar. Si queremos que las personas se acostumbren a reportar posibles amenazas, tenemos que explicarles claramente cómo hacerlo y ponérselo fácil. Y no hablo solo de correos sospechosos. ¿Qué pasa si reciben una llamada extraña, detectan un acceso no autorizado o creen que han cometido un error? Lo importante es que sepan a quién acudir y cómo pedir ayuda, sin tener que jugar a las adivinanzas en plena amenaza.
Que lo aprendido también tenga sentido fuera del trabajo. Esta es mi parte favorita. ¿Por qué no aprovechar situaciones cotidianas para enseñar comportamientos que nos sirvan tanto dentro como fuera de la oficina? Si algo he aprendido durante estos años es que los hábitos de seguridad que desarrollamos en el entorno laboral pueden sernos de enorme utilidad en nuestra vida personal.
Y creo que ahí tenemos una oportunidad estupenda para conseguir que la ciberseguridad deje de percibirse como una obligación de empresa y se convierta en algo realmente útil para las personas.
Al final, no se trata de vivir sospechando de cada correo, llamada o mensaje que recibimos. La cuestión está en enseñar a las personas a enfrentarse a estas situaciones con más confianza. Que sepan cuándo pararse a pensar, cómo comprobar una petición sospechosa y dónde acudir si necesitan ayuda.
Y, sobre todo, que no tengan miedo a equivocarse, levantar la mano o comunicar que algo ha salido mal.
Nuestro objetivo no debería ser que las personas acierten siempre, sino que sepan cómo actuar incluso cuando no tienen todas las respuestas.
Y quizá esa sea la pregunta que deberíamos hacernos la próxima vez que diseñemos un programa de formación: ¿estamos preparando a alguien para superar un simulacro o le estamos dando herramientas realmente útiles para la vida real?