El dilema de la urgencia y la seguridad
Imagina recibir un mensaje urgente que parece provenir de una persona de confianza. La solicitud es sencilla: cambiar una cuenta, abrir un archivo o confirmar un acceso. Aunque las recomendaciones de seguridad son conocidas, ¿hay apoyo organizativo para detener y verificar la solicitud? La prevención de fraudes digitales depende de cómo la empresa responde a esta pregunta.
Un estudio reciente reveló que la mayoría de los trabajadores europeos han encontrado mensajes sospechosos en el trabajo. Sin embargo, esto no significa que las empresas hayan sido comprometidas. Se trata de una exposición reportada, no de ataques exitosos, lo que es crucial para discutir el problema sin malinterpretar los datos.
La contradicción en la formación y la respuesta
Con el inicio del Mes Europeo de la Ciberseguridad, es importante que la gestión vaya más allá de la formación técnica. Una empresa puede enseñar a reconocer mensajes sospechosos, pero aún así premiar respuestas inmediatas a instrucciones urgentes. Esta contradicción merece análisis.
Proponemos criterios organizacionales complementarios a los controles técnicos. No se trata de una auditoría de seguridad ni de garantizar la protección de un sistema específico, sino de fortalecer la estructura organizativa.
El impacto de la autoridad y la presión
Consideremos un escenario hipotético: una solicitud inusual que parece venir de la dirección, acompañada de presión temporal y una explicación para evitar el procedimiento habitual. El problema no solo radica en identificar señales de fraude, sino también en la creencia de que contradecir una instrucción de alguien importante puede tener consecuencias negativas.
Un procedimiento será más efectivo si se ha discutido previamente esta tensión. Es crucial clarificar que verificar una solicitud sensible no es cuestionar la autoridad, sino una condición para su ejecución.
La importancia de un procedimiento claro
Decir que se debe verificar antes de actuar es insuficiente si no se sabe cómo hacerlo. Un procedimiento debe indicar un canal conocido, una persona o equipo responsable y una alternativa cuando no se responde.
La confirmación no debe depender únicamente de la misma fuente que generó la duda. De lo contrario, se corre el riesgo de pedir a la fuente sospechosa que confirme su propia legitimidad, sin introducir información independiente en la decisión.
Preparación para situaciones imprevistas
Es necesario considerar los horarios y condiciones reales de trabajo. Una instrucción que requiere confirmación de alguien no disponible puede bloquear la operación o incentivar atajos.
La solución no es eliminar la verificación, sino preparar una respuesta para esas situaciones: posponer la acción sensible, recurrir a un responsable alternativo o limitar lo que se puede hacer hasta obtener confirmación.
Ejercicios internos para mejorar la respuesta
Un ejercicio interno autorizado puede probar el procedimiento sin poner en riesgo a las personas o sistemas. La evaluación debe centrarse en quién decide, qué canales existen y cuánto tiempo tarda en llegar una respuesta.
El ejercicio debe ser proporcional y acordado con los responsables. Puede revelar problemas como contactos de emergencia desactualizados o procedimientos que no cubren operaciones frecuentes.
La interpretación de los registros de incidentes
Los registros de incidentes deben permitir seguir el encaminamiento y identificar patrones, respetando la protección de la información y los procedimientos existentes.
La gestión puede observar si los pedidos llegan al responsable adecuado y si las decisiones están documentadas. Estos datos ayudan a mejorar el proceso, pero no permiten declarar unilateralmente que la empresa está segura.
La importancia de una cultura organizativa adecuada
La ausencia de informes también necesita una interpretación prudente. Puede reflejar pocas ocurrencias, pero también puede ser el resultado de un canal desconocido o el temor a comunicar.
Un aumento inicial de informes después de aclarar el procedimiento puede significar mayor visibilidad. Antes de evaluar a un equipo por el número de alertas, es importante entender qué mide ese número.
Equilibrando velocidad y seguridad
Algunos temen que estas verificaciones reduzcan la velocidad del negocio. El riesgo de burocratización existe, por lo que los controles deben centrarse en acciones que justifiquen ese cuidado.
La alternativa no debe ser una regla universal de obedecer rápidamente y explicar después. Una operación puede ganar velocidad en tareas corrientes y reservar una pausa clara para decisiones cuyas consecuencias son más difíciles de revertir.
Conclusión: una organización preparada
La seguridad digital necesita herramientas, competencias y mantenimiento, pero también una organización que permita usar estos recursos cuando la urgencia y la autoridad aparente presionan en la dirección opuesta.
La pregunta operativa es concreta: ¿quién recibe una orden dudosa sabe cómo detenerla y encontrará apoyo para hacerlo? Si esta respuesta no está clara, la próxima formación debe ir acompañada de una decisión de gestión.