Deje de culpar al usuario final por el riesgo de seguridad

Es común entre los profesionales de la ciberseguridad señalar al usuario final como una de las principales áreas de riesgo en la protección de la organización. Esto es comprensible. Los sistemas y el software están bajo nuestro control, pero los usuarios son impredecibles, esa variable rebelde que expande nuestra superficie de amenazas a cada usuario disperso geográficamente, dispositivo personal y debilidades y fallas demasiado humanas.

Ciertamente, los actores de amenazas apuntan a nuestros usuarios con bastante éxito; no estoy aquí para descartar esta verdad obvia. Pero lo que es igualmente cierto es esto: WNo podemos entrenar para salir de este problema. Las empresas invierten importantes inversiones en la formación de concienciación sobre la seguridad de los usuarios y, aun así, sufren infracciones vergonzosas y costosas. Por lo tanto, centrarse principalmente en proteger al usuario final no es una buena estrategia.

Sistemas seguros con una nueva estrategia en mente

Realidad: sus usuarios son un factor de riesgo importante. De acuerdo a Informe de investigación y violación de datos de 2022 de Verizon”, el 35% de las infecciones de ransomware comenzaron con un correo electrónico de phishing. Realidad: Esto es a pesar de las crecientes inversiones en capacitación de concientización sobre seguridad durante muchos años. El mercado de la formación en sensibilización sobre ciberseguridad se proyecta para crecer de $1,854.9 millones en 2022 a $12,140 millones en 2027. Realidad: Incluso con todas estas inversiones, el ransomware (solo como un tipo de ataque) también se espera que crezca agresivamente, a pesar de muchos esfuerzos organizativos, incluida la formación.

Un hecho triste e inevitable: nuestros usuarios seguirán cometiendo errores; después de todo, todos somos humanos. Una encuesta realizada demostrar la necesidad de más capacitación en seguridad, en mi opinión, demostró su incapacidad para detener la crisis cibernética: Cuatro de cada cinco encuestados habían recibido capacitación en concientización sobre seguridad; entre el 26% y el 44% (según la edad demográfica) continuaron haciendo clic en enlaces y archivos adjuntos de remitentes desconocidos de todos modos.

No cuente solo con asegurar al usuario

Deberíamos concluir que la seguridad organizacional no debe depender en gran medida de proteger al usuario, que se verá comprometido, y luego comenzar a proteger los sistemas con esta suposición en mente. Por lo tanto, incluso si se viola a un usuario final, la cantidad de daño sistémico causado por ese compromiso no debería ser grande. si se emplean y orquestan correctamente las medidas de seguridad adecuadas.

¿Deberíamos capacitar a nuestros usuarios finales? Absolutamente, enfáticamente, sí. La seguridad fuerte requiere un enfoque en capas, y eso significa reforzar su seguridad asegurando cada entrada a sus sistemas. Pero debemos comenzar a eliminar el riesgo del usuario final de la ecuación. Esto requiere algunas decisiones difíciles y una aceptación significativa del liderazgo para estas decisiones.

¿Cómo podemos desarmar a los usuarios como riesgo principal?

Las organizaciones deben bloquear mejor el acceso y orquestar los controles de seguridad. Los sistemas son demasiado abiertos por defecto; debemos cerrarlos por defecto, evaluar cada riesgo y luego abrir el acceso por excepción y con plena intencionalidad. Los usuarios no pueden hacer clic o abrir lo que no pueden acceder, y en las organizaciones que evaluamos o reparamos después de la infracción, vemos que los empleados y los sistemas tienen mucho más acceso del necesario en el curso del trabajo. Las empresas deben implementar una orquestación de seguridad más sólida en su gente, procesos y tecnología para que, en caso de que un actor de amenazas obtenga acceso a través de un clic incorrecto de todos modos, haya controles diseñados para detener su movimiento lateral y la recolección/escalada de credenciales.

Las organizaciones pueden tomar medidas proactivas para reducir el riesgo de los usuarios, que incluyen: bloquear el acceso a cuentas de correo electrónico personales; filtrado de tráfico HTTPS con inspección profunda de paquetes; bloquear el acceso a Internet a subredes/VLAN de no usuarios de forma predeterminada; requerir que todo el tráfico de usuarios sea inspeccionado y filtrado todo el tiempo, sin importar el punto final; prohibir todos los sistemas de intercambio de archivos y bóvedas de contraseñas excepto los aprobados por TI; y habilitar funciones de seguridad en herramientas como firewalls y detección y respuesta de punto final (EDR).

¿Por qué no se está haciendo esto ya? las barreras

El bloqueo del acceso a sitios y plataformas personales y el acceso más lento a los sistemas provocado por el filtrado/inspección pueden causar cierto grado de insatisfacción entre los usuarios y los líderes. Algunas de las herramientas necesarias también son costosas.

TI necesita una voz más fuerte, que exprese los problemas, las soluciones, los riesgos y los resultados del fracaso en términos que los líderes puedan escuchar y comprender, de modo que se puedan asignar los controles adecuados y los costos asociados. Luego, los usuarios pueden ser educados de arriba hacia abajo sobre por qué estos controles son necesarios; por lo tanto, la educación de concientización sobre seguridad puede cambiar de "no haga clic y este es el motivo" para incluir "Bloqueamos la mayoría de las cosas de manera predeterminada, y este es el motivo". Los líderes que todavía eligen no hacer inversiones más agresivas tienen la piel en el juego en el nivel de riesgo que eligen aceptar para la organización.

A menudo, los equipos de TI también tienen poco personal o experiencia: no pueden mitigar los riesgos que no pueden ver; educar sobre amenazas que no conocen; o habilitar herramientas en las que no están capacitados. Los equipos sin esta visibilidad deben considerar evaluaciones detalladas de controles, configuraciones y orquestación por parte de expertos calificados.

Una cosa es cierta: no importa cuánta capacitación proporcionemos, los usuarios siempre serán falibles. Es esencial minimizar las opciones de los usuarios para hacer clic en primer lugar y luego asegurarse de que, cuando lo hagan, hay controles establecidos para interrumpir la progresión del ataque.

• Distribución de relaciones públicas y contenido potenciado por SEO. Consiga amplificado hoy.
• Platoblockchain. Inteligencia del Metaverso Web3. Conocimiento amplificado. Accede Aquí.
• Fuente: https://www.darkreading.com/risk/stop-blaming-the-end-user-for-security-risk