5 cosas que puede hacer para reforzar su defensa ante los cibercriminales

La mejor manera de asegurarse de que todos consideren la ciberseguridad una parte fundamental de sus responsabilidades es incorporarla en las revisiones de rendimiento. Esto no debería tomar la forma de llamar a los trabajadores por cada enlace dudoso en el que hacen clic. En su lugar, debería ser una conversación constructiva sobre cómo se mantienen al día con su entrenamiento de alfabetización cibernética. Hay herramientas de verificación de salud cibernética que los trabajadores pueden usar para analizar su comportamiento en línea y abordar las debilidades (como reutilizar Pa$$w0rd a través de la mitad de Internet o no usar la autenticación de dos factores) y, a menudo, estas se pueden usar para rastrear el progreso hacia los objetivos de ciberseguridad a nivel de la organización.

Cuando las precauciones de seguridad se discuten regularmente, se convierten en parte de la forma en que haces negocios.

Proteja las joyas de la corona

RR. HH. tiene la custodia de parte de la información más confidencial de una organización, y los piratas informáticos lo saben. En los últimos cinco años más o menos, muchas empresas han adoptado plataformas que permiten a los empleados realizar tareas rutinarias de autoservicio, como las solicitudes de vacaciones. Sin embargo, las plataformas de terceros conllevan riesgos. Los hackers los atacan en los llamados ataques a la cadena de suministro, sabiendo que si tienen suerte, pueden acceder a tesoros de información de múltiples empresas. En 2021, más de 300 organizaciones fueron violadas en un hackeo de un sistema de transferencia de archivos ampliamente utilizado. Uno de ellos fue la Universidad de California, que dijo que la información expuesta incluía los números de seguro social de los empleados, las licencias de conducir y los detalles del pasaporte (el sistema de la UC ofreció a su personal servicios gratuitos de monitoreo de identificación).

El primer trabajo de los profesionales de recursos humanos es garantizar que los datos de los empleados sigan siendo confidenciales. Realice una amplia diligencia debida antes de que su organización se inscriba en cualquier servicio de recursos humanos de terceros. Solo considere a las empresas que cumplan con las normas internacionales (SOC 2 e ISO 27001 son las principales a tener en cuenta) y compruebe en línea los informes de incidentes de seguridad en el sitio en los últimos años. Además, investide dónde se almacenan sus datos y cómo se hace una copia de seguridad de los que se realizan. Dependiendo de su ubicación e industria, es posible que tenga que cumplir con las leyes de residencia de datos.

Deje de acumular datos

La actualización de la política de retención de datos debe estar en la lista de tareas pendientes de cada departamento de recursos humanos. Digo actualización porque cada empresa tiene una política de retención de datos.  Cuantos más datos tenga, peor puede ser una violación: es especialmente malo si está acumulando datos que  no necesita. Muchas jurisdicciones tienen límites sobre el tiempo que las empresas deben retener la información confidencial; a menudo son alrededor de siete años para los registros de los antiguos empleados.

Averígüeles quién se encargará cuando ocurra una violación

La ciberseguridad puede ser la responsabilidad diaria de todos, pero cuando un ataque se lleva a cabo, debe haber una persona a cargo de la respuesta. En la jerga de ciberseguridad, llamamos a esto el comandante del incidente. Si bien todo el mundo puede tener una opinión sobre el mejor curso de acción, el poder de toma de decisiones recae en ellos.

La especificación de trabajo para el comandante de incidentes solo tiene una línea: es quien mejor entienda los problemas de ciberseguridad en su organización. Dependiendo del tamaño de su negocio, ese podría ser un líder de ciberseguridad, el jefe de TI o podría ser Joanne en contabilidad que tomó algunos cursos sobre estas cosas. Sea quien sea, asegúrate de haberlos identificado antes de que ocurra un incidente y de haberlo comunicado claramente a tu equipo. Una vez que ocurre un incidente de ciberseguridad, los eventos se mueven rápidamente, en un caso en el que estuve involucrado, los piratas informáticos dieron una advertencia de 45 minutos antes de comenzar a publicar información confidencial, por lo que no querrá perder el tiempo averiguando quién está a cargo.

Haga algunos ejercicios

La planificación es solo la mitad de la ecuación. La práctica es la otra. Muchas investigaciones han demostrado que la gente no piensa con claridad en situaciones estresantes. Realizamos simulacros para incendios y terremotos para darnos un marco al que retroceder en caso de emergencia. La misma idea funciona para los incidentes de ciberseguridad. Reserva dos horas una vez al año para realizar un ejercicio de mesa con personal clave que simule lo que harás si la empresa es hackeada. En estos ejercicios, alguien asume el papel de moderador para explicar la naturaleza del ataque y lo que se ha visto afectado, mientras que todos los demás juegan cómo responderían.

La primera vez que realice el ejercicio, es probable que sea un desastre, pero ese es el punto. La lucha por resolver las cosas revelará las lagunas en tus planes. Con el tiempo, los ejercicios se convertirán en algo natural.