Doce de cada cien: el precio que un peruano está dispuesto a pagar por romper las reglas digitales de su propia empresa

A mí me costó internalizarlo, pero la tecnología no falla sola: la mayoría de las veces la ayudamos nosotros. Un estudio reciente de Kaspersky aplicado a trabajadores peruanos arrojó un número que, leído en frío, asusta: el 12 por ciento de los encuestados reconoció que aceptaría la propuesta de hacer clic en un enlace sospechoso si la recompensa fuera de 30.000 dólares. Es, ni más ni menos, uno de cada ocho empleados dispuestos a tirar por la borda las normas mínimas de seguridad de la empresa donde cobran su sueldo todos los meses.

De ese 12 por ciento, el 11 por ciento dijo que dudaría un rato, que le daría vueltas, pero que terminaría picando igual. El 1 por ciento restante, directamente, ni lo piensa: clic y a otra cosa. El dato, que parece extraído de una novela de espionaje, es en realidad una radiografía bastante terrenal de hasta dónde llega la lealtad digital cuando del otro lado hay un número con muchos ceros.

Un cuarto avisa, tres cuartos hacen la vista gorda

La buena noticia, si se la quiere llamar así, es que el 26 por ciento de los consultados aseguró que antes de tocar ese enlace levantaría el teléfono y le preguntaría al área de Tecnología de la Información, lo que en la jerga corporativa se conoce como el equipo de TI, o sea, los muchachos que se queman las pestañas apagando incendios digitales. El problema es que, leído al revés, el número dice algo bastante menos alegre: tres de cada cuatro personas ni se plantearían la posibilidad de consultar. Los canales internos de reporte, en la práctica, están en off.

“No basta con esperar que una persona reconozca un enlace sospechoso, especialmente cuando existen incentivos que pueden llevarla a tomar una mala decisión.”Leandro Cuozzo, analista del equipo de investigación de Kaspersky para América Latina

Lo que el estudio pone sobre la mesa no es un problema de antivirus ni de firewalls, esa especie de pared virtual que filtra lo que entra y sale de la red de la empresa. Es un problema de diseño organizacional, de cómo se entrena, se incentiva y se contiene a la gente que todos los días opera los sistemas. Las herramientas sirven, sí, pero del otro lado de la pantalla hay una persona con cuenta bancaria, familia y, a veces, una oferta demasiado jugosa como para dejarla pasar.

• Simulaciones de phishing, que es cuando la empresa manda correos truchos a propósito para ver quién cae, y así medir la reacción real de cada equipo sin que el costo sea un incidente de verdad.
• Aplicación del principio de mínimo privilegio, una forma elegante de decir que cada empleado tenga acceso únicamente a lo que necesita para su trabajo y nada más.
• Canales seguros y sin represalias para que cualquiera pueda reportar un enlace raro sin terminar en el ojo del huracán.
• Capacitación continua, porque una charla anual sobre seguridad es tan útil como un de plástico en un temporal: queda lindo en la foto y no salva a nadie.

Moraleja, y va de mi parte, con la honestidad brutal que me caracteriza: si en la oficina donde trabajás todavía no te hicieron una prueba de phishing en serio, no es porque sean genios de la seguridad. Es porque no quieren saber la respuesta. Y cuando la respuesta termine llegando, en formato de ransomware, que es cuando un atacante bloquea los archivos de la empresa y pide rescate, o de robo de credenciales, te vas a acordar de esta nota. Pedí capacitación. Pedí simulacros. Y, sobre todo, no hagas clic en lo primero que brille.