La ciberseguridad ha acaparado la actualidad últimamente y se considera un grave problema tanto para los consumidores como para las empresas. Los hackers de «sombrero negro» se han convertido en los auténticos villanos del mundo cibernético, poniendo en entredicho la integridad de las infraestructuras digitales. Sus contrapartes altruistas —los hackers de «sombrero blanco»— son muy escasos. A esto se suma el hecho de que muy pocas organizaciones habían realizado inversiones sólidas en ciberseguridad duradera hasta que se vieron afectadas por amenazas cibernéticas.

Es igual de difícil, si no más, encontrar mujeres que se dediquen a la ciberseguridad. Piénselo: el 77 % de las mujeres afirma que ni un solo profesor o orientador de secundaria les animó a dedicarse a la ciberseguridad. Además, solo el 33 % de las mujeres comprende en qué consistiría un trabajo en ciberseguridad, y el 52 % ni siquiera cree que existan cursos de ciberseguridad dirigidos a ellas.

En la actualidad, las mujeres representan solo el 10 % del personal dedicado a la ciberseguridad. Las razones mencionadas anteriormente son solo algunos de los obstáculos que impiden que haya más mujeres trabajando en el ámbito de la ciberseguridad. El sector necesita que más mujeres se dediquen a puestos relacionados con la protección de datos. En tan solo un año, el mundo necesitará casi dos millones más de hackers de sombrero blanco.

Las mujeres podrían aportar una perspectiva valiosa a esta profesión, teniendo en cuenta que, hasta ahora, este ámbito ha estado dominado por los hombres. El primer paso para lograr una mayor inclusión femenina en la ciberseguridad consistirá en cambiar las percepciones que rodean a este sector. Estos puestos no están destinados a hackers aislados, sino que son adecuados para profesionales cualificados interesados en la formación en políticas y procesos.

Los responsables de la seguridad de los datos deben empezar a tratar a los profesionales de la ciberseguridad como los empleados valiosos y competentes que son. Es necesario introducir mejoras significativas en las relaciones laborales, así como replantear la formulación de las ofertas de empleo.

Para las mujeres interesadas en la ciberseguridad, Excelsior College cuenta con una amplia base de datos de mujeres que sirven de modelo a seguir. Consulte hoy mismo la Iniciativa para las Mujeres en la Ciberseguridad del Instituto Nacional de Ciberseguridad para satisfacer todas sus necesidades de formación y orientación profesional.

Hacer frente a las amenazas cibernéticas no es solo un reto técnico, sino también un reto humano. Uno de los objetivos de las organizaciones es disuadir las amenazas internas antes incluso de que se produzcan, y comprender el comportamiento humano es esencial para lograrlo. Las organizaciones deben ser capaces de disuadir a los empleados de tomar decisiones erróneas desde el principio, haciéndoles saber en primer lugar que están siendo vigilados y que es probable que sean descubiertos. Esa es la parte de la detección. Y, a continuación, hacer saber a los empleados que la organización se preocupa si están pasando por un mal momento y que cuenta con programas para ayudarles. Esa es la parte de la mitigación.
Cuando era agente especial para varias agencias gubernamentales, aprendí mucho sobre cómo comprender el comportamiento humano y cómo podía utilizar esos conocimientos para resolver delitos. Ahora que trabajo en ciberseguridad, estas mismas habilidades me resultan muy útiles a la hora de combatir las amenazas internas. Si los profesionales de la ciberseguridad no han recibido formación en comportamiento humano, pueden asistir a algunos cursos sobre el tema o contratar a un científico del comportamiento para que les asesore sobre cómo definir el comportamiento normal y de referencia de los usuarios, cómo identificar cambios anómalos respecto a esa referencia y qué pueden significar dichos cambios.
Una de las principales cosas que me enseñaron como agente fue cómo detectar lo que se conoce como «indicadores de fraude», que básicamente son comportamientos sospechosos. Me formaron para reconocer desviaciones del comportamiento normal, lo que se denomina «desencadenantes». Entre los desencadenantes habituales de las amenazas internas podrían figurar el uso de soportes extraíbles por parte de los empleados, el uso de impresoras o fotocopiadoras alejadas de su oficina, o el hecho de que los empleados inicien sesión en el sistema informático fuera del horario laboral asignado.
Los ingenieros de ciberseguridad se basan en desencadenantes como estos a la hora de diseñar sistemas de supervisión automatizados. Lamentablemente, muchos sistemas de supervisión se diseñan en torno a un único desencadenante, lo que a menudo da lugar a falsas alarmas. Los sistemas automatizados deben ser capaces de basar sus decisiones en múltiples desencadenantes, lo cual es más fácil de decir que de hacer.
Para los profesionales de la ciberseguridad, mitigar las amenazas internas suele significar reparar el daño causado por un ataque interno. Sin embargo, para los científicos del comportamiento, también implica examinar los factores atenuantes dentro de una organización que pueden aumentar o reducir la probabilidad de que se produzca una amenaza interna en primer lugar, o bien evitar que vuelva a ocurrir.
Los desencadenantes conocidos, como el descontento y el ego, suelen influir en la motivación de los ataques internos. A modo de ejemplo, para mitigar el descontento, las organizaciones pueden ofrecer a los empleados vías para expresar sus preocupaciones y frustraciones. Para mitigar el ego, las organizaciones pueden implementar programas de reconocimiento de los empleados que ofrezcan más elogios públicos.

La codicia, otro factor desencadenante que lleva a los empleados a cometer actos como la venta de secretos de la organización, puede constituir otra motivación para los ataques internos. A los profesionales de la ciberseguridad les resultará difícil disuadir a un empleado que lleve a cabo un ataque interno motivado por la codicia; sin embargo, las organizaciones pueden, sin duda, abordar cuestiones como las quejas derivadas de lo que se perciben como desigualdades en la remuneración, que pueden haber dado lugar al incidente de amenaza interna.
Los programas de detección de amenazas internas deben incluir el asesoramiento de científicos del comportamiento a la hora de prevenir problemas relacionados con las amenazas internas. La tecnología siempre implica de alguna manera a los seres humanos, por lo que usted no puede abordar un reto tecnológico sin tener en cuenta la naturaleza humana. Y los expertos en la naturaleza humana son los científicos del comportamiento.
Lea sobre el uso del análisis del comportamiento para ayudar a identificar señales de alerta en el comportamiento de los empleados en http://www.nationalcybersecurityinstitute.org/hactivism-terrorism-crime-and-espionage/uncover-insider-threats-through-user-behavior-analytics/
Fuente: Mitre (octubre de 2012). «El factor humano: el uso de la ciencia del comportamiento para contrarrestar las amenazas internas». http://www.mitre.org/publications/project-stories/the-human-factor-using-behavioral-science-to-counter-insider-threats