Dejemos de llamar al usuario "el eslabón más débil"
Hay una frase que se repite tanto en ciberseguridad que ya nadie la cuestiona: "el usuario es el eslabón más débil de la cadena." La he escuchado en presentaciones de directorio, en capacitaciones, en informes de consultoras internacionales. Y durante años yo también la usé, hasta que empecé a notar algo incómodo: esa frase nunca viene acompañada de una pregunta igual de importante, ¿quién construyó esa cadena y por qué dejó al usuario ahí, expuesto, sin herramientas?
Abro esta nueva serie sobre cultura de seguridad y factor humano con una convicción que se ha ido afirmando con los años: no existe tal cosa como un eslabón débil por naturaleza. Existe una organización que entrenó a alguien una vez al año con una charla aburrida, le dio un manual que nadie leyó completo, y después se sorprendió cuando esa misma persona hizo clic en un enlace que parecía legítimo. El problema no es la persona. El problema es el diseño.
En Chile, y me atrevo a decir que en gran parte de Latinoamérica, la capacitación en seguridad sigue siendo un trámite de compliance. Se hace porque la norma ISO o el auditor lo pide, se mide con un checklist de "capacitación realizada, sí o no", y ahí termina la responsabilidad de la organización. Nadie mide si la persona realmente cambió su comportamiento frente a un correo sospechoso. Nadie mide si sabe a quién avisar cuando algo no le cuadra. Se mide asistencia, no aprendizaje.
Y aquí viene algo que quiero dejar claro desde el primer día de esta serie: la cultura de seguridad no se decreta en un correo corporativo ni se logra con un curso obligatorio de cuarenta minutos que la gente ve a doble velocidad mientras hace otra cosa. La cultura se construye con repetición, con señales pequeñas y constantes, con líderes que modelan el comportamiento que piden, y sobre todo, con un sistema que hace que reportar un error sea más fácil y menos vergonzoso que ocultarlo.
Pienso en cuántas veces, en organizaciones donde he trabajado, un colaborador detectó algo raro, un correo extraño, un acceso que no le correspondía, y no dijo nada por miedo a que lo señalaran como el responsable de "haber hecho algo mal." Ese silencio cuesta más caro que cualquier clic equivocado, porque un clic se puede contener a tiempo si alguien avisa rápido. Un silencio de tres días no se contiene, se lamenta.
Por eso esta semana no voy a hablar de phishing como un problema técnico de filtros y reglas, aunque también importa. Voy a hablar de phishing, ingeniería social y error humano como un problema de diseño organizacional, de incentivos mal puestos, de procesos que castigan la honestidad y premian el silencio. El martes entramos en cómo se construye un programa de concientización que realmente cambia comportamiento, no solo asistencia. El jueves veremos, con el caso de TechCorp Latam, cómo un simple correo con apariencia de factura fue el punto de entrada de un incidente que terminó reescribiendo toda su infraestructura de seguridad.
Si algo quiero que te lleves de este primer post es esto: la próxima vez que en tu organización alguien diga "el usuario es el eslabón más débil," pregunta con qué lo estás armando para defenderse. Casi siempre la respuesta va a ser incómoda, y esa incomodidad es exactamente el punto de partida correcto.
Comentarios
Publicar un comentario