¿Sabe que la mayoría de las filtraciones de datos y los ciberataques tienen éxito debido a errores humanos o falta de atención?

Verizon e IBM informan que alrededor del 30% de los destinatarios de correo electrónico en realidad abren mensajes de phishing. Mientras tanto, el informe de seguridad de datos de Forrester de 2016 encontró que un 41% de las violaciones de datos de ese año se debieron a incidentes internos, lo que la convierte en la mayor fuente de ataques exitosos.

La mayoría de los incidentes internos no son intencionales. Alrededor del 65% de los ataques provienen de usuarios que renuncian a sus credenciales o instalan malware a ciegas. En pocas palabras, estos usuarios finales no saben nada mejor. Esto se debe a que no se les ha enseñado.

Estos enfoques nefastos funcionan. 'Hasta el 81% de las infracciones relacionadas con la piratería durante el último año aprovecharon contraseñas robadas o débiles, según Informe de investigaciones de vulneración de datos de 2017, y 1 de cada 14 usuarios admitió haber sido engañado para seguir un enlace o abrir un archivo adjunto que no debían', afirmó. escribió Michelle Drolet, fundadora del proveedor de servicios de datos Towerwall en un CSOonline blog

Como MSP, se le pide que proteja las computadoras y las limpie cuando algo salga mal. Un RMM hace posible la reparación e instala parches y actualizaciones para proteger contra ataques. A pesar de estos esfuerzos, los usuarios todavía abren mensajes maliciosos, hacen clic en enlaces peligrosos y son engañados para que revelen inicios de sesión y contraseñas.

¿La respuesta? Capacitación en concientización sobre seguridad, que puede ofrecer como un servicio separado o incorporarlo a un servicio de seguridad, haciéndolo infinitamente más sólido y solicitando una prima.

Es probable que los empleados que dirigen su MSP estén bien versados en seguridad. Si sus clientes adquieren la misma perspicacia, se podrán frustrar innumerables infracciones y ataques.

Si bien es posible que tenga un amplio banco de seguridad, sus profesionales tecnológicos no son profesores. En lugar de crear su propio servicio de capacitación en concientización sobre seguridad, piense en trabajar con un tercero, ya sea un proveedor de software o una consultoría.

Webroot, por ejemplo, tiene unacapacitación en concientización sobre seguridad oferta que los MSP pueden implementar. 'Con una capacitación continua, relevante y atractiva sobre concientización sobre ciberseguridad, como simulaciones de phishing, cursos sobre mejores prácticas de seguridad y TI, y capacitación sobre cumplimiento y protección de datos cuando sea relevante, las empresas pueden reducir significativamente los riesgos que enfrentan debido a errores de los usuarios. La capacitación en concientización sobre seguridad de Webroot garantiza que las personas, los procesos y la tecnología se aprovechen juntos de manera efectiva para detener a los ciberdelincuentes”, afirmó. explica la empresa en su sitio web. 'Para mantener el éxito y aumentar las ganancias, los MSP actuales necesitan automatización y una gestión sencilla y de bajo mantenimiento'. 'Ya sea que necesite ejecutar un programa de cumplimiento, simulaciones de phishing o educación continua de los usuarios para reducir las tasas de infección, nuestra capacitación integrada hace que ejecutar programas de concientización sobre seguridad continuos y totalmente responsables sea simple y directo'.

La investigación muestra valor

Forrester analizó el valor de la concienciación sobre la seguridad a través de una entrevista en profundidad a un cliente de KnowBe4. La venganza fue impresionante. 'El cliente entrevistado experimentó beneficios ajustados al riesgo durante tres años de $413,634 versus costos de $182,125, lo que resultó en un valor actual neto (VAN) de $231,509', encontró el informe. “Reducción de los costos de remediación de incumplimientos ($102,778). Este beneficio se centra en la reducción de eventos de infracción derivados de ataques de phishing a los usuarios”.

Sin embargo, los talleres no pagan la formación para obtener beneficios económicos: lo hacen para evitar infracciones. “La reducción de las infracciones reduce proporcionalmente el tiempo y el esfuerzo relacionados con las tareas de remediación, como la creación de nuevas imágenes de las estaciones de trabajo y la recuperación del servidor. El cliente destacó que estos eventos se redujeron de dos dígitos cada mes antes de adoptar KnowBe4 a dos dígitos, un solo dígito y finalmente a cero dentro de un año de implementar KnowBe4”, concluyeron los investigadores.

Un MSP, AGJ Systems & Networks, está avanzando en la capacitación, según una entrevistacon TechTarget. 'Capacitar a su gente es una de las primeras líneas de defensa', afirmó Ryan Giles, director ejecutivo de AGJ.

AGJ incorporó la capacitación a su servicio de seguridad MSP , y va al lugar para entrenar. También envía un correo electrónico con consejos de formación cada dos semanas.

Otro tercero, Security Mentor, ofrece capacitación en concientización sobre seguridad que busca vender a través de MSP, dijo Marie White, directora ejecutiva y presidenta. 'Estamos explorando relaciones con múltiples MSP que están considerando incluir nuestra capacitación como parte de su oferta principal', dijo White a TechTarget.

Consejos de entrenamiento

Los expertos sugieren que se utilicen varios enfoques para impartir formación. Lo ideal es estar en el sitio, pero en línea también funciona, al igual que las listas de correo electrónico y dirigir a los clientes a sitios web con recursos cruciales.

Sigue y prueba tu entrenamiento. Aquí desea asegurarse de que los clientes realmente hayan completado el trabajo y luego probar la eficacia mediante el seguimiento de infracciones, ataques, incursiones e incidentes. También puedes enviar cuestionarios a los estudiantes para medir lo que han aprendido y lo que te queda por enseñar.

Aquí hay algunos temas a cubrir:

• suplantación de identidad
• Ingeniería social
• resistir malware
• prácticas de contraseña
• uso de dispositivos portátiles
• Problemas de acceso físico, como el cuidado de las tarjetas de acceso.
• el uso de cifrado
• cómo evitar y recuperarse de una violación de datos