Tenía apenas ocho años cuando una de mis sagas preferidas de Ciencia Ficción, Star Trek, estrenaba su cuarta aventura cinematográfica. Recuerdo, de manera especial, una de las escenas (quizá la más divertida) de la película. En ella, todo un ingeniero de la nave estelar Enterprise, interactuaba con uno de esos ordenadores con el monitor de fósforo verde, teclado mecánico (otra vez de moda) y ratón sin rueda, típicos de mediados de los ochenta. Scotty, el escocés de la saga, se sentaba delante del ordenador intentando comunicarse con ese vetusto pc –menos potente que el dispositivo móvil que tenemos entre nuestras manos– hablándole directamente como si fuera nuestra querida Siri, Alexa o Google Assistant. Evidentemente, el PC, no respondió. La escena continúa con alguien, oriundo de la época, invitándole a coger el ratón para interactuar con el ordenador. Scotty, con la seguridad que le daban sus galones de ingeniero jefe, cogió el ratón y empezó a hablar directamente con él, dejando a todas las personas de la sala con cara de incredulidad por su actitud.
Seguro que a más de uno de vosotros se os ha quedado esa misma cara de asombro ante el comportamiento de alguno de los usuarios de vuestra corporación. El ejemplo anterior ilustra cómo el desconocimiento de la tecnología, aunque sea obsoleta, puede llevar a las personas a una mala praxis de la misma. Es ahí donde nos encontramos con uno de los grandes problemas que, en la actualidad, debemos afrontar en el mundo de la ciberseguridad: La educación es prácticamente nula.Esto hace que los hábitos, hasta ahora muy arraigados entre los usuarios, sean tan o más peligrosos que los propios ataques realizados por parte de los piratas informáticos, es decir, el problema surge porla ‘capa 8’, o lo que es lo mismo, por el error humano.
La complejidad, cada vez mayor, de las tecnologías de la información, levanta muros, casi infranqueables, entre los usuarios y los departamentos de TI. Muchas veces olvidamos, sobretodo por la celeridad del día a día, que debemos ser el catalizador elemental en la adopción de las nuevas tecnologías. Nuestra misión principales facilitar el uso de los sistemas a los usuarios estableciendo políticas que no interfieran en el día a día de los trabajadores de nuestra organización y, al mismo tiempo, no supongan un riesgo para la empresa.
Cuántas veces hemos pensado: ¿Por qué es tan difícil que cambien la contraseña regularmente? ¿Por qué no revisan las URLs de los enlaces en los correos? ¿Por qué cuesta tanto la implementación de contraseñas complejas? Muchas preguntas y puede que una sola respuesta: ‘no’ son técnicos como nosotros. ¿Cuántas veces hemos empezado una conversación con alguien usando terminología que damos por hecho que el interlocutor conoce? (Entono el mea culpa).
Quizá uno de los factores de vital importancia; y que nos exige cierto grado en psicología aplicada es que trabajamos con personas –y somos complicados–. Cada uno de nosotros percibe la realidad de forma diferente. Estamos sujetos a nuestras propias emociones derivadas de nuestro estado de ánimo en cada instante y a nuestras experiencias en la vida. Todo esto puede afectar, sin que nos demos cuenta, a la seguridad de la empresa. A continuación, se resumen varios de estos sesgos cognitivos y emocionales:
- Prejuicios: configurarán cómo actuaremos delante de un cambio o idea nueva.¿Qué prejuicios hay en la organización y cómo nos afectan?
- Emociones: situaciones familiares; descontento de los empleados ; falta de valoración por parte de la empresa, entre otros aspectos… . Cosas aparentemente sin importancia que podrían llevar a una brecha de seguridad en el sistema. ¿Hay correlación entrela satisfacción de los empleados y los comportamientos de riesgo/ataques?
- Enfoque: hay que focalizarse menos en cómo la gente debería actuar; o cómo esperamos que actúe.
No debemos olvidarnos del usuario más importante; y el alumno que debemos mimar más de una empresa: el CEO. Una de las mayores trabas que tenemos, a la hora de aplicar estándares de seguridad adecuados (perimetral, formación, etc.), es el equipo directivo de las empresas. El requisito de obtener resultados y la necesidad de generar beneficios inmediatos ofusca la necesidad de invertir en ciberseguridad. Los responsables de las empresas suelen percibir la inversión en ciberseguridad como un gasto superfluo que no genera beneficios a corto plazo. Sin embargo, un 60% de las empresas que sufren un ciberataque desaparecen en menos de 6 meses.
Nos queda mucho camino por recorrer. No sólo debemos ocuparnos de las amenazas externas/internas, sino también de educar a toda la organización para que sean conscientes de los peligros que conlleva un ciberataque. Como vemos con Scotty en Star Trek, no debemos nunca olvidar el contexto: las emociones de cada uno y los sesgos a los que están sometidos los usuarios. Solo así lograremos su complicidad y ayuda para mejorar los procesos de la empresa de la que somos responsables.
