Según una encuesta reciente, más de la mitad de las organizaciones atribuyen un incidente de seguridad o violación de datos a un empleado malicioso o negligente. Así que aunque las empresas invierten mucho dinero, recursos y tiempo en desarrollar e implementar un sistema de seguridad de correo electrónico robusto, la tecnología no valdrá mucho si los empleados - el firewall humano - no están a bordo.

Los sistemas de correo electrónico empresariales se han convertido en uno de los objetivos más importantes para el cibercrimen,  entre mayor sea la organización más frecuentes son los ataques debido a su enorme área de riesgo, diversidad y más oportunidades de explotación.

El factor humano es crucial en este rubro, debemos conocer hasta qué punto los empleados entienden la importancia de las prácticas correctas de seguridad y la facilidad con que pueden actuar sobre ellas. En este momento, la mayoría de las organizaciones no están haciendo un trabajo adecuado en el tema, pero hay medidas que pueden tomar para ayudar a mantener el correo electrónico seguro. El enfoque es en ambas dimensiones tecnologí y gente que la usa:

• IMPLEMENTAR PROTOCOLOS DE SEGURIDAD INTEGRALES CON ASOCIACIONES DENTRO DE LA EMPRESA: Su programa de seguridad de correo electrónico debe funcionar desde el momento en que se envía un mensaje, cuando es recibido, no importando si entra o sale de su red. Los servidores de correo electrónico pueden realizar una serie de funciones para proteger el entorno de correo y la red, una plataforma de e-mail que asegura los datos cuando está en reposo y en tránsito es la clave.
  
  Hay varios elementos importantes para que esto suceda:
  
  - Cifrado del nivel de TLS: TLS (Transport Layer Secuirity) permite a los servidores de correo electrónico comunicarse de forma segura sobre un canal cifrado, bloqueando a cibercriminales que quieran acceder al contenido de los correos electrónicos interceptándolos.
  - Sistemas de verificación de correo electrónico: La autenticación, notificación y conformidad de mensajes basados en dominios (DMARC) es un sistema eficaz que permite a los servidores validar que el correo entrante proviene realmente de la organización que aparece como remitente. DMARC se basa en un marco de directivas de remitente (SPF) y DomainKeys Identified Mail (DKIM), los enlaza para verificar las direcciones de correo electrónico y descarta automáticamente cualquier mensaje que falla en la prueba.
  - Registros DMARC / SPF: Además de probar el correo entrante, debe publicar registros DMARC / SPF para los dominios de su organización y firmar los mensajes salientes con DKIM para evitar el envío de correos falsos que parecen venir de su empresa.
  - El papel correcto para el equipo de seguridad: Los controles administrativos deben permitir que el equipo de seguridad tenga transparencia y supervisión operacional de la seguridad de la plataforma de correo electrónico. Esto incluye el uso de cuentas administrativas separadas, así como el control del acceso a estas cuentas, ya que son a menudo los principales objetivos de los hackers.

• EDUCAR Y COMPROMETER A LOS EMPLEADOS SOBRE COMO UTILIZAR ADECUADAMENTE LAS HERRAMIENTAS DE SEGURIDAD Y HACERLOS CONSCIENTES DE SUS RESPONSABILIDADES INDIVIDUALES ALINEADOS A LAS POLITICAS INTERNAS CON FORMACIÓN CONTINUA Y COMUNICADOS: La implementación de las mejores prácticas de seguridad para todos los empleados, (por ejemplo políticas BYOD (Bring Your Own Device) o de cambios obligatorios de contraseña) juega un papel importante en los empleados para que tomen decisiones correctas en torno a la seguridad del correo electrónico. Sin embargo, estos protocolos también deben resonar entre los empleados. Utilizar técnicas creativas de comunicación -como webcasts y concursos- pueden ayudar a los empleados a darse cuenta de la importancia de las prácticas de seguridad vinculando aspectos importantes de su vida privada con sus vida laboral.
  Crear estos vínculos también ayudará a los equipos de seguridad a superar el reto de ver la seguridad como un obstáculo que les impide hacer su trabajo. En cambio, cuando la seguridad se hace personal, se alienta a los empleados a ser socios activos para ayudar a proteger a la organización.

• SUPERVISE CONTINUAMENTE Y MIDA LA EFICACIA DE SU PROGRAMA DE SEGURIDAD CON EL FIN DE MITIGAR RIESGOS: El monitoreo y la medición de la efectividad de los programas de seguridad de correo electrónico deben ser un esfuerzo continuo. La consciencia de seguridad de los empleados debe evolucionar al parejo de la tecnología en constante cambio. Esto comienza con el mantenimiento de métricas que rastrean la conciencia de seguridad de los empleados con el tiempo. Las métricas a utilizar deben incluir el número de incidentes reportados, las visitas a sitios no aprobados, las infracciones de correo electrónico, las tasas de informes sobre phishing, las amenazas internas, el porcentaje de infecciones mientras los empleados trabajan remotamente y el tiempo promedio que tardan los empleados en reportar un dispositivo perdido.
  
  También puede supervisar el cumplimiento de los empleados mediante simulaciones, como la consciencia acerca de phishing. Las organizaciones deben utilizar esta táctica para darse una idea de si las comunicaciones, la capacitación y las políticas se están conectando con los empleados y son eficaces para asegurar el sistema de correo electrónico.
  
  Todos los empleados tienen acceso a los correos electrónicos y contienen información confidencial sobre su empresa y los clientes, por lo que es difícil y crucial asegurarlos. Debido al elemento humano, se necesita una mezcla de protocolos de seguridad integrales, educando y comprometiendo a los empleados en conjunto con un monitoreo continuo para evitar que los correos electrónicos se conviertan en una puerta de entrada para los hackers. El cuerpo directivo y gerencial de la empresa en asociación con los equipos de seguridad y los profesionales de la gestión del capital humano debería premiar a los empleados que adopten prácticas de seguridad. En otras palabras, un programa de seguridad de correo electrónico sólo es tan seguro como las personas que lo utilizan, pero sus empleados no pueden hacerlo solos.

  SI DESEAS EVALUAR GRATUITAMENTE  CON UN EXPERTO RIESGOS PARA ESTOS Y OTROS RUBROS DENTRO DE TU EMPRESA DA CLICK EN LA IMAGEN Y RESERVA LA FECHA

Si tienes algún comentario o requerimiento adicional puedes contactarme en mi dirección de correo electrónico: mtorres@smartekh.com  

*Roland Cloutier/ DarkReading/2016