Cada octubre pasa lo mismo. El feed se llena de consejos de seguridad, las marcas publican su carrusel sobre contraseñas y cuando termina el mes, dentro de las empresas no cambió nada. No es que los consejos estén mal. Es que casi nunca llegan a la gente que los necesita, que no está leyendo blogs de ciberseguridad un martes por la mañana.
Octubre es el Mes de la Concientización sobre la Ciberseguridad, una campaña que la National Cybersecurity Alliance y CISA impulsan desde 2004 y a la que se suman empresas y gobiernos de medio mundo. Llevo varios años viéndola pasar desde el lado del marketing y me quedé con una conclusión incómoda: lo que falta no es contenido. Falta alguien de adentro que lo mande.
¿Por qué el cartel del pasillo no funciona?
A un proveedor de seguridad se le ignora con una facilidad notable. Al jefe directo, no. Cuando el recordatorio viene de la persona con la que trabajas todos los días, por el canal donde ya se hablan, deja de ser publicidad y pasa a ser una instrucción.
Lo otro que aprendimos es de cantidad. Si le pides veinte cosas a tu equipo, no hace ninguna. Si le pides cinco, hace tres. Y con tres ya estamos mejor que en septiembre.
Los cinco hábitos que vale la pena pedir
Ninguno cuesta dinero, ninguno necesita que la persona sepa de tecnología y los cinco atacan la puerta por la que hoy entra la mayoría de los incidentes, que es la identidad, no el firewall.
1. Segundo factor en el correo del trabajo y nada de aprobar lo que no pediste. La autenticación multifactor sigue siendo la medida que más ataques detiene por lo poco que cuesta ponerla. Con una advertencia que casi nadie da: si te llega una notificación para aprobar un acceso que tú no iniciaste, no la apruebes para que deje de sonar. Esa notificación significa que alguien ya tiene tu contraseña y así es como se le da la vuelta al doble factor.
2. Una contraseña que no se repita en ningún otro sitio. La del correo del trabajo es la llave maestra: con ella se recuperan casi todas las demás. Que sea larga y única importa mucho más que los símbolos raros. Y conviene decirlo porque sigue habiendo políticas que lo exigen: el NIST desaconseja obligar a cambiarla cada tantos meses y solo pide el cambio cuando hay indicios de que se filtró. Cambiar por calendario produce contraseñas peores, con un número al final que sube de uno en uno.
3. Mirar la dirección completa, no el nombre que aparece. El nombre del remitente lo escribe quien manda el correo, así que puede poner el de tu director sin ningún esfuerzo. La dirección real es la que no se puede falsificar tan fácil. Es un segundo de atención y descarta buena parte de los intentos de phishing que llegan cada día.
4. Si el mensaje mete prisa, desconfía. La urgencia no es un detalle del fraude, es la herramienta principal. Nadie revisa bien cuando le dicen que el pago se cae en diez minutos o que el director está en una junta y necesita la transferencia ya. La regla es simple: cuando algo urge y además es dinero o son credenciales, se verifica por otro canal. Una llamada de treinta segundos al número de siempre.
5. Avisar, aunque dé pena. Este es el único de los cinco que no depende del empleado sino de ti. En una empresa donde al que cae le cae también una regañada, nadie vuelve a avisar y el incidente se descubre tres semanas después por el lado caro. Diez minutos de vergüenza ahorran semanas de recuperación. Dilo tú, en voz alta, antes de que haga falta.
¿Y cuando se acabe octubre?
Esta es la parte donde la mayoría de las campañas se cae. El mes termina, el cartel se despega y la empresa vuelve a donde estaba. Si solo vas a hacer una cosa más, que sea repetir estos cinco puntos en enero. La concientización funciona por insistencia, no por intensidad.
Para copiar y pegar en un correo a tu equipo
Asunto: cinco cosas que te pido este mes
Octubre es el mes de la ciberseguridad y en lugar de mandarte un curso, te pido cinco cosas concretas:
1. Activa el segundo factor en tu correo del trabajo. Si te llega una aprobación que tú no pediste, recházala y avísanos.
2. Que la contraseña del correo del trabajo no la uses en ningún otro sitio.
3. Antes de hacer clic, mira la dirección completa de quien te escribe, no el nombre.
4. Si un mensaje te mete prisa con un pago o con una clave, verifícalo por teléfono antes de hacer nada.
5. Si crees que caíste en algo, avísame de inmediato. No hay reclamo. Mientras antes lo sepamos, menos cuesta.
Gracias.
Si al leer la lista te diste cuenta de que no sabes en qué estado está tu empresa en estos puntos, ese es justamente el trabajo que hacemos en la evaluación de seguridad sin costo: mirar, decirte qué hay y qué falta, sin que medie una factura.
La concientización es el único control que no se compra. Se pide.
