Cybernews entrevista a Craig Taylor, copropietario de CyberHoot

¡Asegure su negocio con CyberHoot hoy!

Inscríbase ahora

Los atacantes maliciosos siempre han estado presentes en el mundo cibernético. Y con el teletrabajo convirtiéndose en la nueva normalidad, los hackers han detectado aún más posibilidades de explotar a las empresas y a sus empleados.

La falta de concienciación sobre ciberseguridad en muchas empresas, independientemente de su tamaño, puede afectarlas inesperadamente. Al contar con varios empleados, especialmente aquellos que trabajan de forma remota, las organizaciones no siempre pueden supervisar cada una de sus acciones. Por esta razón, los hackers encuentran cada vez más oportunidades para manipular a los empleados y convertirlos en víctimas de ataques de phishing.

Esto pone de manifiesto la necesidad de que las empresas de todos los tamaños utilicen herramientas y medidas de ciberseguridad, como VPN y formación en concienciación sobre seguridad, junto con directrices políticas.

Craig Taylor, cofundador y director ejecutivo de CyberHoot, empresa que ofrece formación en seguridad para empresas de todos los tamaños, afirma que muchas empresas aún consideran estas medidas como gastos innecesarios. Taylor accedió a compartir su opinión sobre la importancia de la ciberseguridad, las posibles amenazas y sus consecuencias.

¿Cuál fue la historia detrás de CyberHoot? ¿Puedes contarnos más sobre tu trayectoria?

CyberHoot se creó porque los cofundadores creían que debía haber una manera más sencilla de proteger a las pequeñas y medianas empresas (PYMES) de todos los errores de ciberseguridad que cometían. Los cofundadores llevan 60 años trabajando en ciberseguridad. Hemos visto mucho, especialmente en el ámbito empresarial. Sin embargo, las empresas más vulnerables, las PYMES del mundo, sufrían mucho más a manos de los hackers que las empresas. Tomamos las mejores prácticas del sector, las redujimos a su esencia y eliminamos todos los obstáculos que dificultaban la formación en seguridad. Desde el principio, CyberHoot fue:

• Sin contraseñaLos usuarios no deberían tener problemas con las contraseñas para realizar la capacitación de concientización sobre seguridad. Esto dificulta el cumplimiento normativo. Eliminamos este requisito.
• Abra Los usuarios tienden a aburrirse fácilmente. Con nuestra plataforma, diseñada desde el principio hasta el contenido seleccionado, podemos capacitar a los usuarios sobre amenazas emergentes y cuándo ocurren mediante el uso de contenido único e interesante. El contenido recopilado es propio y de otros expertos del sector. Ayuda a eliminar el aburrimiento que se produce al escuchar el quinto, décimo o vigésimo video producido por la misma empresa.
• Cumplimiento automáticoDesde el principio, escalamos automáticamente la incidencia a la gerencia cuando los usuarios no completaban sus tareas. Esto garantiza un alto nivel de cumplimiento en todas nuestras implementaciones.

También hemos eliminado otros puntos de fricción en la facturación y la administración. Hemos incorporado diversas funciones disruptivas en la industria, como las Asignaciones de Phishing. En conjunto, tenemos uno de los sistemas más sencillos del mercado con las tasas de cumplimiento más altas disponibles en una herramienta. Nuestra solución funciona mejor que cualquier otra disponible en el mercado.

Si bien la capacitación en ciberseguridad puede parecer tediosa para algunos, ¿cómo logra mantener el contenido educativo y a la vez entretenido?

CyberHoot se especializa en ser una de las herramientas de capacitación de concientización más populares del mercado. Preguntamos a nuestros usuarios cuántos extrañarían el trabajo extra de CyberHoot: las tareas mensuales de capacitación. El 60 % de los encuestados afirmó que extrañarían nuestros "Hoots" un poco o mucho si dejáramos de enviarlos.

La razón detrás de este alto índice de aprobación es triple:

1. Mantenemos nuestros videos de capacitación sobre concientización breves, de entre 3 y 5 minutos, para evitar una reducción del interés debido a una capacidad de atención limitada.
2. Recomendamos enviarlos solo una vez al mes para reducir la fatiga del entrenamiento.
3. Lo más importante es que combinamos nuestros propios videos de capacitación con videos seleccionados por expertos de otras fuentes para que nuestro contenido sea entretenido. Nuestras tareas siguen siendo interesantes, con más de 5 años de experiencia y cientos de videos vistos.

El contenido se mantiene educativo mediante un cuestionario después de cada video. Las preguntas, respuestas y explicaciones se envían a cada usuario del sistema tras una prueba para brindar oportunidades de aprendizaje adicionales. También ofrecemos un enlace a nuestra biblioteca y blog de ciberseguridad en línea, donde cada usuario puede consultar miles de artículos y definiciones a su discreción.

¿Qué tipos de amenazas solo pueden eliminarse con la ayuda de una capacitación en ciberseguridad de calidad en lugar de las medidas de seguridad tradicionales?

Casi cualquier amenaza puede eliminarse siguiendo las mejores prácticas descritas en nuestros videos de capacitación en seguridad. La gran mayoría de los ciberataques se deben a dos factores:

1. Usuarios que son víctimas de ataques de phishing
2. Mala higiene de contraseñas (falta de un gestor de contraseñas)

La industria generalmente cree que el 90% de los ciberataques exitosos se deben a errores humanos. Nuestra capacitación ayuda a los usuarios a comprender la importancia de medidas técnicas de protección sencillas, como la autenticación de dos factores y la adopción de un gestor de contraseñas. Aún más importante, aprenden por qué estas medidas y la capacidad de detectar y evitar ataques de phishing son tan importantes y, en realidad, fáciles si aprenden nuestros métodos. El lema de CyberHoot ayuda a los usuarios a comprender que "Ser más consciente" significa "Ser más seguro". Y eso genera confianza en los empleados y mejora la productividad y la seguridad.

¿Cómo cree que la pandemia afectó la conciencia pública sobre la ciberseguridad?

La pandemia ha cambiado la forma de trabajar a diario. Cada vez más personas trabajan de forma remota, lo que las expone a aún más amenazas que las que normalmente enfrentarían en la oficina. En casa, los usuarios tienden a estar más relajados, sin pensar en las implicaciones de las amenazas de ciberseguridad ni en lo que podrían hacer, y sin contar con las medidas técnicas necesarias, a diferencia de cuando están en la oficina. Los hackers han reconocido esta tendencia y han intensificado sus esfuerzos en los últimos dos años, creando mensajes de phishing convincentes y enviando millones de dólares a usuarios desprevenidos y sin formación.

CyberHoot ha escrito extensamente sobre la evolución de los ciberataques durante la pandemia. Sin duda, ha habido más ataques de phishing. Sin embargo, existen muchos otros esquemas más elaborados, como la creación de aplicaciones falsas de rastreo de contactos , estafas en sitios web de citas (como el catfishing), falsas ofertas de trabajo remoto y otras actividades similares que no han hecho más que agravar las amenazas a la ciberseguridad. Con los empleados trabajando a distancia, la ausencia de compañeros en la oficina contigua aumenta la probabilidad de ser víctima de un ataque.

¿Por qué cree que algunas empresas relegan la formación en ciberseguridad de sus empleados a un segundo plano?

Muchas empresas creen que pueden adquirir toda la tecnología necesaria para protegerse, pero no se dan cuenta de que el error humano es responsable de casi el 90 % de las brechas de seguridad. Otra razón es que piensan que los usuarios no están interesados ​​en la capacitación y que esta no sería efectiva. Por último, las empresas que implementan programas de capacitación en seguridad para sus empleados no perciben el beneficio económico, sino solo los costos. La capacitación en concientización sobre seguridad (SAT, por sus siglas en inglés) es como un seguro, pero cuesta dinero, y las empresas no creen que serán víctimas de ciberamenazas. En otras palabras, pueden sentirse desesperanzadas y pensar que es imposible detener los ciberataques, así que ¿para qué intentarlo?

Lo cierto es que el SAT puede ayudar a las empresas a ser más productivas, seguras y confiables fácilmente por un costo muy bajo. Se estima que un solo incidente en una pyme costará más de $88,000 en 2022. Estas cifras se refieren a pymes, no a grandes empresas, donde una brecha de seguridad puede costar fácilmente millones. Un incidente en una pyme financiaría fácilmente más de 10 años de SAT.

En su opinión, ¿qué otros problemas de seguridad a menudo se pasan por alto pero podrían causar daños graves a las organizaciones?

Al brindar nuestros servicios virtuales de Director de Seguridad de la Información a las empresas, siempre buscamos diversas medidas críticas. Se trata de medidas sencillas que a menudo se pasan por alto y se comprenden mal. Pueden ofrecer grandes beneficios y, en algunos casos, proteger a las empresas de posibles vulnerabilidades.

En primer lugar, es fundamental habilitar la autenticación multifactor en todas las cuentas críticas.

En segundo lugar, realizar una evaluación de riesgos para priorizar los riesgos que puede enfrentar en su industria y negocio contribuye en gran medida a gastar su tiempo y dinero de manera inteligente.

En tercer lugar, la mayoría de las empresas carecen de una cultura de seguridad, que se logra de dos maneras. La primera es la formación en concienciación sobre seguridad, y la segunda, el establecimiento de políticas de ciberseguridad para guiar el comportamiento de los empleados cuando la tecnología no lo permite. Las políticas parecen aburridas, pero guían a los usuarios sobre cómo usar correctamente sus ordenadores, cuentas, información, etc. Por ejemplo, las políticas de contraseñas garantizan que los usuarios utilicen contraseñas o frases de contraseña únicas de más de 14 caracteres para cada cuenta y que las credenciales se almacenen en un gestor de contraseñas. Si los usuarios no las cumplen, pueden ser sancionados o despedidos por la empresa. Esto permite que los usuarios rindan cuentas mediante un documento escrito (que han firmado), de modo que el personal de TI no tenga que supervisar a todos los empleados a diario con la esperanza de que no cometan errores.

Con más empresas adoptando el modelo de trabajo desde casa, ¿cuáles son las amenazas de seguridad más importantes que afectan a la fuerza laboral remota?

Puede parecer una respuesta obvia, pero debido a la falta de formación en seguridad y de directrices sobre políticas para la mayoría de los teletrabajadores, el phishing, las malas prácticas de ciberseguridad y el software obsoleto son las amenazas más importantes. Las medidas de seguridad mencionadas van de la mano, aumentando la seguridad de los empleados y su conocimiento de las ciberamenazas.

El software obsoleto se produce porque algunos usuarios usan sus dispositivos personales y no instalan automáticamente las actualizaciones de software para abordar las vulnerabilidades emergentes. También están los empleados que se conectan a cualquier red wifi para teletrabajar desde cafeterías, estadios deportivos o centros comerciales. Estos empleados, que desconocen los riesgos del acceso inalámbrico fraudulento o gratuito, se ponen a sí mismos y a sus sistemas en grave peligro.

¿Qué herramientas de seguridad considera usted que son esenciales para combatir estas amenazas?

Creo que para combatir eficazmente estas amenazas es fundamental la formación en materia de seguridad, la gobernanza de políticas, las pruebas de phishing, la autenticación de dos factores, los administradores de contraseñas y una evaluación de riesgos.

Y finalmente, ¿qué es lo próximo para CyberHoot?

CyberHoot ha encontrado mucha fricción en las pruebas de phishing tradicionales. Desde listas de permitidos, que consumen mucho tiempo y son propensas a errores, carpetas de correo no deseado y spam, la imposibilidad de usar ataques de phishing convincentes debido a que los proveedores demandan a las empresas por el uso de su imagen y logotipos en simulaciones de phishing, hasta navegadores que interponen advertencias de que un correo electrónico es un ataque de phishing obvio e impiden que el usuario lo descubra, las pruebas de phishing tradicionales están plagadas de desafíos y dolores de cabeza.

CyberHoot eliminará muchos de estos puntos de fricción próximamente con un módulo de phishing basado en asignaciones. Este módulo elimina cualquier punto de fricción, mejora la capacidad de evaluar eficazmente a los empleados con pruebas de phishing cada vez más difíciles y garantiza que todos hayan sido evaluados mediante informes de cumplimiento. Esto no es posible con la prueba de phishing tradicional, donde un empleado ignora su correo electrónico y no la realiza. Con este nuevo módulo, un gerente sabrá, mediante informes automatizados, si todos los empleados realizaron y aprobaron la prueba de phishing.

Ese es nuestro objetivo para el primer trimestre de 1. Además, nos estamos expandiendo a soluciones totalmente gestionadas para que los MSP (proveedores de servicios gestionados) las implementen con el mínimo esfuerzo para todos sus clientes. Nuestras conversaciones con los MSP nos han enseñado que, a menudo, no tienen tiempo para implementar SAT a sus clientes, por lo que CyberHoot lo hará por ellos.

Fuente: CyberNews

Lecturas adicionales: Craig Taylor, CyberHoot: los usuarios tienden a estar más relajados en casa, sin pensar en las implicaciones de las amenazas a la ciberseguridad.