Camino crítico para la mitigación del riesgo Interno [The Critical Path]

por

Kymatio

January 9, 2020

Descubre cómo el método Critical Path identifica las predisposiciones personales, los factores estresantes y los cambios de comportamiento que aumentan el riesgo interno, y cómo el enfoque de Kymatio mitiga estas amenazas impulsadas por el ser humano.

EN ESTE artículo

Enlace de texto

Pedir una demo

El método Critical Path en la gestión del riesgo interno

Vivimos un momento de gran evolución en la gestión y prevención del riesgo interno, pero aún analizamos la mayoría de los incidentes de ciberseguridad de forma reactiva, una vez han ocurrido. Aprendemos de los errores y mejoramos las medidas de seguridad a posteriori, pero sabiendo que la vulnerabilidad e incertidumbre aparecen como si de un tsunami se tratase.

Eric Shaw y Laura Sellers aportaron luz con su investigación a este entorno y describen la aplicación del método Critical Path para evaluar los riesgos internos. Shaw, prestigioso psicólogo especializado en el análisis de perfiles de riesgo interno, determinó que existen una serie de variables y patrones de comportamiento comunes —tanto individuales como organizativos— que se repiten a lo largo de los casos analizados.

En el análisis del Critical Path, los indicadores actúan como alarmas sobre las que es fundamental enfocarse para evitar un posible ataque. Este modelo cuenta con cuatro elementos principales: predisposición personal, factores de estrés, cambios en el comportamiento e ineficiencia organizacional.

Los cuatro elementos del Critical Path

a) Predisposición personal

Las características personales que predisponen a un aumento del riesgo incluyen:

Desórdenes médicos o psiquiátricos que afecten la toma de decisiones.
Dificultades de adaptación y carencia de habilidades sociales.
Comportamientos recurrentes de incumplimiento de protocolos.
Entorno social de riesgo (relaciones con la competencia).
Viajes inusuales que puedan ser indicadores.

Dentro de las predisposiciones personales también se incluyen el abuso de sustancias, ansiedad, depresión, problemas de personalidad, historial de acoso escolar o dificultades de integración. Estudios muestran que en un 30% de los casos de riesgo interno existían antecedentes de infracciones o delitos.

Kymatio propone un enfoque centrado en rasgos de personalidad y su base biológica. Por ejemplo, personas con alto grado de cordialidad pueden ser más vulnerables a compartir información sensible si no cuentan con un plan de acción adaptado.

b) Factores de estrés

Se clasifican en:

Personales: cambios vitales que requieren esfuerzo y desgaste de energía para adaptarse.
Profesionales: clima laboral negativo, baja evaluación del desempeño o conflictos interpersonales, factores presentes en el 78% de los casos de filtraciones de información a gobiernos extranjeros.
Económicos: la principal motivación detrás de incidentes de riesgo interno, provocando que se priorice el beneficio inmediato sobre las consecuencias.

c) Cambios en el comportamiento

Antes de un acto de riesgo interno, suelen detectarse conductas problemáticas: incumplimiento de políticas, bajo rendimiento, problemas de comunicación, comportamientos inusuales en horarios o distanciamiento del equipo.

d) Respuestas organizacionales ineficientes

Es el elemento más susceptible de mejora. Una detección tardía y falta de planes de acción adecuados incrementan el riesgo. Es clave:

Establecer procesos claros de evaluación del riesgo.
Involucrar a toda la organización.
Permitir que los compañeros alerten sobre comportamientos inusuales.
Entrevistar desde una perspectiva de ayuda y mejora, evitando intimidar.

La acumulación de predisposiciones personales, factores de estrés y respuestas organizacionales ineficientes crea un entorno propicio para incidentes, aunque el número de empleados con todos estos factores es pequeño.

Kymatio entiende que la mayoría de personas son activos valiosos y propone identificar, medir y mitigar riesgos, enfocándose en variables como vulnerabilidad emocional, baja autoestima, impulsividad y dificultad de adaptación.

Conclusión

Los programas estándar de ciberseguridad suelen dejar de lado el riesgo generado por los propios empleados. Sin embargo, aun con todas las variables presentes, si la organización dispone de medidas de mitigación y respuesta adecuadas, la persona puede convertirse en un firewall humano.

Kymatio proporciona herramientas para identificar, medir y mitigar riesgos internos, ofreciendo planes personalizados y optimizando el uso de la tecnología donde es realmente necesario.

Contacta con Kymatio para saber más o consulta la investigación de Erick Shaw y Laura Sellers aquí.