Los ataques que reciben sus empleados hoy en día no se parecen en nada a aquellos para los que se diseñaron los programas de concienciación sobre seguridad tradicionales.
Llegan a través de voz, vídeo, Microsoft Teams, Slack, y no solo por correo electrónico. Mencionan a sus ejecutivos. Suplantan a su servicio de asistencia técnica. Replican sus relaciones reales con proveedores y sus flujos de trabajo de aprobación reales.
La mayoría de los programas de concienciación siguen formando a los empleados para una empresa ficticia que se enfrenta a una amenaza genérica, siguiendo un calendario de lanzamientos marcado por el proveedor y no por el atacante.
La concienciación sobre seguridad moderna está pasando de las bibliotecas estáticas a la formación basada en inteligencia de amenazas generada bajo demanda.
¿Su plataforma de concienciación sobre seguridad ha seguido el ritmo? Antes de firmar otro año de concienciación sobre seguridad tradicional, hágase estas nueve preguntas.
1. ¿Se ha creado alguna vez una simulación basada en su organización real?
Si cada prueba de phishing que su equipo ha realizado podría enviarse a cualquier empresa del mundo sin cambiar una sola palabra, es que nunca se diseñó para la suya. La factura falsa proviene de un proveedor inventado. La solicitud urgente viene de un nombre que no es el de su director financiero. Los ataques reales no son tan genéricos. Su formación tampoco debería serlo.
2. ¿Con qué rapidez puede una amenaza real convertirse en una simulación?
Una nueva campaña afecta a una empresa de su sector un lunes por la mañana. La mayoría de las plataformas siguen respondiendo con un ciclo de contenidos trimestral. Para cuando su proveedor crea un nuevo módulo, ese ataque ya es noticia vieja y hay uno nuevo del que preocuparse.
Pregunte cuánto tiempo tarda realmente su programa en convertir la amenaza real de hoy en la formación que sus empleados realizan. Y, ¿quién crea el contenido: usted o su proveedor?
3. ¿Qué le dice realmente su tasa de finalización?
Una tasa de finalización del 98% significa que el 98% de sus empleados hizo clic en "finalizado". No dice nada sobre si alguno de ellos detendría un intento de fraude por transferencia bancaria un martes por la tarde. Las organizaciones que sufrieron brechas el año pasado también tenían buenos números de finalización, hasta que alguien aprobó la transferencia fraudulenta.
4. ¿Pueden los diferentes roles recibir una formación diferente?
Su equipo de cuentas a pagar se enfrenta al fraude BEC y al fraude de proveedores. Sus ingenieros se enfrentan a dependencias maliciosas y al robo de credenciales. Un módulo anual genérico no sirve para ninguno de los dos. Pregunte si su programa puede ofrecer formación en codificación segura a los desarrolladores, concienciación sobre BEC al departamento financiero y orientación sobre el uso de IA generativa a los equipos que realmente la utilizan, sin necesidad de abrir un ticket de solicitud de contenido.
5. ¿La gente retiene esta información o simplemente la termina?
Cuando la formación no está diseñada para nadie en particular, los empleados la tratan como tal. Cambian de pestaña. La terminan porque es obligatoria, no porque sea relevante. Cada módulo irrelevante refuerza la idea de que la formación en seguridad es ruido, que es exactamente el instinto que no quiere que esté activo cuando se produce un ataque real.
6. ¿Caería su propio equipo en su propia simulación?
Hay una razón por la que la gente aprueba el test de phishing y aun así cae en el ataque real. El test se reconoce como un test. Una simulación solo cambia el comportamiento cuando es indistinguible del ataque para el que prepara a la gente: una solicitud de transferencia que refleja su flujo de aprobación real, una llamada deepfake de una voz que realmente conocen.
7. ¿El programa reduce el riesgo o solo satisface al auditor?
SOC 2, ciberseguro, la presentación para la junta directiva: estas son razones legítimas para comprar formación en concienciación, y un programa debe cumplirlas. Pero el cumplimiento y la protección nunca debieron ser un compromiso. Si su plataforma solo marca la casilla de cumplimiento, está pagando por papeleo y llamándolo protección.
8. ¿Puede identificar a sus empleados de mayor riesgo o solo a los que cumplen con las normas?
Un programa moderno genera una puntuación de riesgo en tiempo real por empleado, basada en resultados de simulaciones, comportamiento en la formación y señales de identidad como el estado del MFA, actualizándola de forma continua. Esto es lo que le permite localizar a las personas con mayor riesgo y dirigirse a ellas específicamente. Si su programa no puede decirle quiénes son o si la cifra está disminuyendo, lo que tiene es una lista de asistencia, no un programa de medición.
9. ¿Su programa ofrece planes de remediación para los empleados de mayor riesgo o solo una puntuación?
Solo el 8% de los empleados es responsable del 80% de los incidentes de seguridad, así que ¿cómo puede ayudar a esas personas en concreto? Una puntuación de riesgo que solo clasifica a las personas y se queda ahí no sirve de nada. Pregúntese si su programa convierte esa puntuación en un plan de remediación real para cada empleado de alto riesgo, con la intervención, formación o asesoramiento específicos que aborden la causa de su alto nivel de riesgo.
La brecha de concienciación tradicional y cómo Frame la cierra
Cada una de estas preguntas revela el problema del modelo tradicional. Las plataformas de concienciación tradicionales se construyeron en torno a una biblioteca de contenidos: escrita una vez, distribuida según un calendario y genérica por diseño, ya que debe funcionar para todos los clientes a la vez. Ese modelo tenía sentido cuando los ataques también eran genéricos. Ya no es así.
Frame se construyó sobre la base opuesta: amenazas en tiempo real y riesgo individual.
En lugar de una biblioteca estática y un programador de tareas, Frame le ofrece:
Formación generada bajo demanda basada en inteligencia de amenazas
Haga clic en una amenaza del sector o describa un escenario, y Frame lo convertirá en una simulación personalizada en minutos, no en una solicitud pendiente para el lanzamiento del próximo trimestre.
Formación hiperpersonalizada basada en roles
Genere formación y simulaciones en torno a su organización real: sus ejecutivos, sus proveedores, sus flujos de trabajo y su panorama actual de amenazas.
Puntuaciones de riesgo humano dinámicas y planes de acción
Cada empleado obtiene una puntuación de riesgo humano basada en su comportamiento en la formación y simulaciones, así como en los datos de postura de seguridad de su pila de identidad. Identifique quién está realmente en riesgo y active planes de acción personalizados para que sus empleados vuelvan a estar protegidos.
La renovación es el mejor momento del año para preguntarse si su proveedor está al día con las amenazas actuales o no.
¿Su plataforma de concienciación sobre seguridad sabe más? Mira el vídeo de 1,5 minutos vídeo para descubrirlo.
O míralo en acción. Reserva una demostración de 30 minutos y observa cómo se genera en tiempo real una simulación adaptada a tu organización.
