Formación MSP: ¿Con qué frecuencia y qué tipo?

Según el informe Evolving Landscape of the MSP 2024 de Barracuda Network, el 38% de los proveedores de servicios gestionados (MSPs) ofrecen formación en concienciación sobre seguridad (SAT). Sin embargo, los expertos dicen que el porcentaje debería ser mucho mayor debido al alto retorno de inversión (ROI), y SAT también es un buen atractivo para nuevos clientes. El mismo informe mostró que el 24% de los MSPs informaron que SAT era uno de los atractivos de tiempo para nuevos clientes.

Según Keepnet Labs, la formación en concienciación sobre ciberseguridad provocó una reducción del 70% en los riesgos relacionados con la seguridad en 2023. Según CyberPllot, esta formación puede suponer un ahorro medio de $149 anuales por empleado. La mayoría de los expertos con los que SmarterMSP.com ha hablado dicen que la formación en ciberseguridad, realizada regularmente, es la forma más rentable de prevenir brechas de seguridad. La mayoría de los expertos coinciden en que la formación debe ser atractiva y divertida y convertir a los trabajadores en socios y partes interesadas en la ciberseguridad de la empresa.

Formación en ciberseguridad como línea de defensa crítica

Anthony Haggarty, ingeniero de seguridad para un MSP, enfatiza el papel crucial de la formación en seguridad. “Los ciberataques están aumentando y el coste para las empresas está escalando. Desafortunadamente, muchos de esos ataques tienen éxito gracias a una fuente principal de riesgo para cada empresa: sus empleados”, dice Haggarty, señalando que los empleados son un factor importante de riesgo para las empresas, desde abrir un correo electrónico hasta hacer clic en un adjunto o transferir fondos. “Pero es un riesgo que se puede mitigar de manera efectiva y asequible con un plan de formación y concienciación en educación en seguridad.”

Haggarty señala que es difícil asignar una cantidad en dólares al ROI de la formación en ciberseguridad de los empleados cuando se están midiendo los efectos de algo que no ocurrió. Por lo tanto, un MSP y sus clientes deben ver la formación en ciberseguridad como un tipo de póliza de seguro que limita los daños futuros. “Con el panorama de amenazas de hoy, un ciberataque es prácticamente una certeza, por lo que la formación en ciberseguridad de los empleados es una póliza de seguro que no es opcional.” Recomienda que los MSP realicen formación en seguridad trimestralmente como mínimo.

Enfoques para la formación

Jonathan Hansen, CEO de la MSP con sede en el estado de Washington, también enfatiza la importancia de la formación. “Hemos visto de primera mano cómo la gamificación y los estándares estructurados convierten a los empleados en la primera línea de defensa de una empresa, reduciendo el riesgo y fortaleciendo su postura general de seguridad. También hemos visto las desafortunadas consecuencias de que las empresas descuiden la formación en ciberseguridad.”

Paige Hanson, un experto en TI, está de acuerdo en que la mejor capacitación es continua. “La capacitación en ciberseguridad no puede ser un ejercicio único. Necesita ser continua, adaptativa y atractiva.” Continúa añadiendo que el mejor enfoque es mezclar los métodos de capacitación a lo largo del año y utilizar diferentes métodos para involucrar a los empleados. Algunas de las sugerencias de Hanson y sus pensamientos sobre ellas.

• Almuerzos de aprendizaje: Estos son excelentes porque fomentan discusiones.
  Capacitación específica para el rol: Estos programas lo hacen relevante para ese departamento y grupo en lugar de una capacitación genérica, que puede no ser relevante para las personas que asisten.
• Altavoces externos: Un orador convincente puede aportar nuevas perspectivas
• Ejercicios de simulación: Preparar a los equipos para incidentes.

Hanson también dice que los MSP pueden aprovechar los días de concienciación de la industria. "¡Estas son una gran oportunidad para involucrarse!" Entre ellos se encuentran:

• Semana Nacional de Protección al Consumidor (2-8 de marzo)
• Día Mundial del Respaldo (31 de marzo)
• Día de la Gestión de Identidades (8 de abril)
• Día Mundial de la Contraseña (1 de mayo)
• Mes de Concienciación sobre Ciberseguridad (octubre)
• Semana Internacional de Concienciación sobre el Fraude (16-22 de noviembre)

Formación continua y atractiva en ciberseguridad para MSPs

Mientras tanto, Mike Estep, vicepresidente de Comunidades en MSP, Blackpoint Cyber, con sede en Denver, cree que la formación en ciberseguridad debería ser obligatoria para todos los empleados. “El tiempo de actualización depende del tipo de formación, por lo que para los marcos de cumplimiento, debería ser anual a menos que un marco cambie requiriendo pasos adicionales”, afirma.

Para la formación específica de productos como Microsoft 365, Estep dice que Blackpoint lo convirtió en un juego y ofreció clases que se actualizaban rutinariamente cada 90 días. En cuanto a la formación en habilidades empresariales, Blackpoint trata de ofrecer actualizaciones cada cuatro a seis meses, no realmente nuevas versiones, sino actualizaciones. "Para los clientes, proporcionamos formación sobre aplicaciones como parte de nuestros servicios. Creemos que si nuestros clientes pudieran usar un producto mejor, entonces considerarían la ayuda con la eficiencia como una razón por la que somos el mejor MSP", explica. Estep añade que los marcos de cumplimiento siempre tenían que pasar por otros proveedores para los informes relacionados con auditorías. "Es lo mismo para cosas como la Formación en Conciencia de Seguridad. La formación es importante, pero tu capacidad para sobrevivir a una auditoría es la razón por la que nos gustan las empresas especializadas en informes de cumplimiento de SAT."

A medida que el panorama de los ciberataques continúa evolucionando, la formación continua, atractiva y personalizada ya no es opcional, sino esencial. Ya sean sesiones trimestrales o aprendizaje gamificado, las actualizaciones regulares y los métodos de formación adaptativos pueden capacitar a los empleados para convertirse en la primera línea de defensa. En última instancia, los MSP que priorizan la educación en ciberseguridad fortalecerán su postura de seguridad y construirán un éxito a largo plazo para ellos mismos y sus clientes.

Nota: El artículo apareció originalmente en SmarterMSP.com.