Doce de cada cien y chau red corporativa: la matemática del enlace tentador

A ver, seamos honestos: cuantos de ustedes, por treinta mil dolares, no harian algo que saben que no deberian? Yo no voy a tirar la primera piedra. El problema es que cuando uno hace clic en un enlace sospechoso en nombre propio, el unico afectado es uno mismo. Pero cuando ese clic se hace desde la computadora del trabajo, el afectado es toda la compania. Y eso, amigos, ya no es un tema personal.

Que dice el estudio y por que importa

Kaspersky, la firma de ciberseguridad que en la Argentina todos conocen porque salio en algun aviso entre el noticiero y el partido, puso una cifra concreta sobre la mesa: uno de cada ocho empleados estaria dispuesto a abrir un enlace malicioso si la recompensa fuera de 30.000 dolares. O sea, el doce coma cinco por ciento. Traducido a la vida de un santafesino: en una pyme de veinte empleados, casi tres personas estan dispuestas a entregar las llaves de la empresa por lo que cuesta una camioneta usada.

El problema no es tecnico, es de diseño

El informe senala que solo el 26 por ciento de los encuestados consultaria con el area de sistemas antes de hacer clic. Tres de cada cuatro, ni se les cruza la idea. Eso significa que el canal de reporte existe, pero no se usa. Y cuando el canal no se usa, no es un canal: es un buzon pintado en la pared.

Que recomienda Kaspersky

• Simulaciones de phishing periodicas para medir como reacciona cada equipo ante amenazas controladas.
• Aplicacion estricta del principio de minimo privilegio: cada cuenta accede solo a lo que necesita y nada mas.
• Canales seguros y anonimos para que cualquier empleado pueda reportar un enlace sospechoso sin miedo a quedar como el que levanto la mano de mas.
• Capacitacion continua y practica, no la charla anual de cuarenta minutos con diapositivas que nadie lee.

“No basta con esperar que una persona reconozca un enlace sospechoso, especialmente cuando existen incentivos que pueden llevarla a tomar una mala decision.”Leandro Cuozzo, analista de investigacion de Kaspersky para America Latina

La conclusion a la que arriba el informe es bastante obvia una vez que uno la lee: las empresas siguen gastando fortunas en firewalls, antivirus y plataformas de deteccion, pero se olvidan de entrenar a la gente que efectivamente usa la compu. Es como poner una puerta blindada en la casa y dejar la llave debajo del tapete porque al dueño le da fiaca sacarla del bolsillo.

Moraleja, querido lector: la proxima vez que te llegue un mail sospechoso prometiendote plata, llamame antes de hacer clic. Y si en tu empresa no hay a quien llamar, ese ya es el primer problema. Veremos.