Históricamente, la seguridad cibernética se ha considerado como una función del departamento de TI. Los datos se almacenan en sistemas informáticos, por lo que el Director de TI es responsable de su protección.

Y sigue siendo cierto que muchas de las medidas de seguridad utilizadas para proteger los datos están basadas en TI. Cortafuegos, permisos, encriptación - todas son soluciones técnicas para prevenir la pérdida, el robo y la fuga de datos.

En reconocimiento de estas garantías de seguridad superiores, los ciberdelincuentes están teniendo que desarrollar métodos de ataque más avanzados. Evitar los cortafuegos perimetrales ya no es suficiente para acceder a su red.

Los ataques modernos tienen lugar ahora en múltiples niveles, y ya no son puramente técnicos. Los criminales están usando a sus propios empleados contra sus defensas - aunque la mayoría de estas personas no tendrán idea de que están haciendo algo malo.

Las personas son su mayor riesgo para la seguridad

La desafortunada verdad es que las personas representan el mayor riesgo para la seguridad corporativa. No hackers - sus propios empleados.

A pesar de la creciente conciencia de los peligros de los correos electrónicos fraudulentos, sigue siendo el punto de entrada clave para la mayoría de los ataques cibernéticos. Las cifras del Gobierno del Reino Unido sugieren que el 72% de los ataques en 2017 se lanzaron por correo electrónico.

Una vez más, las defensas perimetrales son muy buenas para detectar y bloquear el malware y los ransomware, pero los mensajes maliciosos siguen llegando a veces. En la mayoría de los casos, el malware permanece inactivo hasta que alguien abre el archivo adjunto infectado y activa la transferencia del virus.

Everyone has a role to play

With so many potential attack points, the key to improving security is to create a culture of healthy suspicion. In the era of openness and social business this approach may seem counterintuitive, but the stakes are too high to continue making basic mistakes with security.

An effective security culture will mean moving from the traditional “trust but verify” model, to a new “verify then trust” alternative. This means that any email, file or approach by a third party should be considered hostile until employees prove otherwise.

The reality is that Advanced Persistent Threats (ATP) use multiple vectors to compromise your security – including spoofing communications from trusted sources. Maintaining a healthy level of scepticism helps to reduce the risk of these more subtle techniques successfully infiltrating your systems.

Lead from the top

Cultural change always starts at the top of the business. The IT Director may define what needs to change, but the rest of the C-Suite is responsible for communicating those changes to the rest of the business.

More than simply defining a vision however, employees will need regular training. First, they need to be able to identify new attacks, and then ensure they continue to apply that knowledge.

Because people play an important role in starting or preventing ATP attacks, it is critical that your people are properly prepared for their role in improving security. Data protection may not be an explicit aspect of most jobs, but everyone now has a part to play.

To learn more about security culture and how to use technology to complement it, please get in touch.

Marco Borza

Written by Marco Borza

I am the Founder of Advantio.
Technology has been my passion since I was a kid; when I first heard the handshake of an old 300bps modem I realised security would be key in an interconnected world. Since then it has become my passion and primary focus.
The reason why I've started my own business is to make IT Security simple.

Certifications: CISSP / CCSA (Checkpoint) / ITIL Foundations / ACSA (ArcSight)/ Linux+/ PCI-QSA / PA-QSA