Los cuatro pilares del Human Risk Intelligence: Target Value, Awareness, Hygiene y Access

Si le preguntas a la mayoría de equipos de seguridad quién es su usuario de mayor riesgo, lo más probable es que señalen a quien más veces cae en las simulaciones de phishing.

Parece lógico. Pero solo cuenta una parte de la historia.

Una tasa de clic elevada dice algo sobre una persona en un momento concreto. No dice qué valor tiene esa identidad para un atacante, si sus credenciales ya están expuestas ni hasta dónde podría llegar un atacante si consiguiera acceso.

El riesgo humano no es una única señal. Es el resultado de varias condiciones que solo cobran sentido cuando se leen en conjunto.

Ese es el cambio de enfoque que hay detrás del Human Risk Intelligence (HRI).

La formación en concienciación de seguridad y el Human Risk Management aportan señales esenciales: quién se ha formado, quién ha hecho clic, quién ha reportado, dónde hay credenciales expuestas y dónde los controles son débiles. El HRI añade el contexto necesario para entender cómo se conectan esas señales y dónde conviene poner el foco.

En usecure, estructuramos ese contexto en cuatro pilares: Target Value (valor como objetivo), Awareness (concienciación), Hygiene (higiene) y Access (acceso).

Por qué una sola señal nunca cuenta toda la historia

Cada señal de riesgo humano tiene un punto ciego cuando se analiza de forma aislada.

Los resultados de phishing indican cómo reaccionó alguien ante una simulación concreta. La finalización de la formación indica que esa persona completó un curso. La exposición de credenciales indica que sus datos de identidad han aparecido en una brecha.

Todas son útiles. Ninguna ofrece la imagen completa del riesgo.

Una credencial expuesta no significa lo mismo cuando pertenece a una cuenta protegida por controles sólidos que cuando pertenece a un usuario con privilegios y sin MFA.

Del mismo modo, caer en una simulación de phishing significa algo muy distinto según la identidad que haya detrás y a qué tenga acceso esa persona.

Los cuatro pilares ayudan a poner esas señales en contexto.

Cada uno responde a una pregunta diferente:

¿Qué valor tiene esta identidad para un atacante? ¿Qué probabilidad hay de que la persona responda de forma segura ante una amenaza? ¿Hasta qué punto es segura la propia identidad? ¿Y hasta dónde podría llegar un atacante si la comprometiera?

1. Target Value: ¿por qué elegiría un atacante a esta persona?

Algunas identidades resultan, por naturaleza, más atractivas para los atacantes.

Una persona que aprueba pagos, un director de la empresa, un administrador de TI o un directivo con alta exposición pública pueden tener más valor por su autoridad, visibilidad, influencia o capacidad para aprobar acciones sensibles.

El Target Value plantea esta pregunta:

¿Por qué elegiría un atacante esta identidad?

Pero Target Value no es lo mismo que riesgo global.

Un directivo de alto perfil puede ser enormemente atractivo para un atacante y, aun así, resultar difícil de comprometer porque cuenta con controles sólidos.

El Target Value indica lo atractiva que es una identidad. Por sí solo, no determina la prioridad.

2. Awareness: ¿qué probabilidad hay de que reconozca una amenaza y responda de forma segura?

Awareness es la dimensión que la mayoría de programas de seguridad ya conoce.

Abarca señales como el comportamiento ante el phishing, los hábitos de reporte, la formación en seguridad, el nivel de conocimiento y cómo evolucionan esos comportamientos con el tiempo.

Estas señales importan.

El error está en tratarlas como si fueran la fotografía completa del riesgo humano.

Un usuario que falla de vez en cuando una simulación de phishing no es automáticamente la mayor exposición. La pregunta realmente útil es:

¿Qué ocurre si esta persona responde de forma insegura, teniendo en cuenta todo lo demás que sabemos sobre ella?

Awareness es imprescindible. Y es solo una parte de un panorama de riesgo más amplio.

3. Hygiene: ¿qué facilidad hay para comprometer su identidad?

Awareness habla de comportamiento.

Hygiene habla del estado de la propia identidad.

Puede incluir señales como credenciales expuestas, debilidades relacionadas con las contraseñas, ausencia de MFA y cuentas inactivas u olvidadas.

Esta distinción es importante porque un empleado puede obtener buenos resultados en la formación en seguridad y, aun así, tener su identidad expuesta en otros puntos.

Un atacante no necesita engañar a nadie si ya dispone de las credenciales necesarias para intentar el acceso.

Hygiene incorpora esa exposición permanente al panorama del riesgo humano.

4. Access: ¿qué podría pasar si se viera comprometido?

Access habla de la consecuencia potencial.

Incluye los privilegios, sistemas, aplicaciones e información sensible asociados a una identidad.

Dicho de otro modo:

¿Hasta dónde podría llegar un atacante si consiguiera entrar?

Dos usuarios pueden comportarse exactamente igual durante una simulación de phishing y representar niveles de riesgo muy distintos.

Uno puede tener permisos limitados. Otro puede tener acceso administrativo o autoridad sobre sistemas y procesos sensibles.

Access cambia el peso de todas las demás señales, porque ayuda a definir el impacto potencial de un compromiso.

Tu usuario más débil no es necesariamente tu usuario de mayor riesgo

Al unir los cuatro pilares, una suposición muy extendida empieza a desmoronarse.

El empleado que más clics hace no es automáticamente la mayor exposición.

Piensa en dos usuarios.

Uno tiene dificultades habituales con las simulaciones de phishing, pero cuenta con controles de identidad sólidos y un acceso limitado.

El otro apenas falla en la formación, pero tiene credenciales expuestas, no usa MFA y accede a un sistema sensible.

Si solo miras el Awareness, señalarías al primer usuario.

Si miras el contexto completo, la historia puede ser muy distinta.

Por eso la Human Risk Intelligence no puede basarse en señales aisladas.

El verdadero valor está en entender dónde se solapan varias condiciones en torno a una misma identidad.

Cómo funcionan juntos los cuatro pilares

Por separado, los pilares describen distintas partes del riesgo humano.

Juntos, muestran cómo puede evolucionar ese riesgo.

Un Target Value alto combinado con un Awareness débil puede convertir a una identidad atractiva en una identidad más fácil de alcanzar.

Una Hygiene deficiente combinada con un Access elevado puede significar que una identidad sea, a la vez, más fácil de comprometer y capaz de generar un impacto mayor.

Y cuando varias condiciones coinciden en una misma persona, señales individuales aparentemente moderadas pueden derivar en una exposición mucho más grave.

Aquí es donde los cuatro pilares dan paso a la siguiente capa de la Human Risk Intelligence: las combinaciones tóxicas.

Las Toxic Combinations muestran dónde se solapan las señales de Target Value, Awareness, Hygiene y Access en torno a una identidad y generan un patrón de riesgo más revelador que cualquier señal aislada.

A partir de ahí, esas combinaciones empiezan a dejar al descubierto posibles rutas de ataque humanas y ayudan a los equipos de seguridad a entender dónde conviene priorizar la investigación y la remediación.

‍

De los datos de riesgo humano a la Human Risk Intelligence

Nada de esto sustituye a la formación en concienciación de seguridad ni al Human Risk Management.

Siguen siendo la base: son los que generan las señales de comportamiento, identidad y seguridad necesarias para entender el riesgo humano.

La Human Risk Intelligence añade la capa de contexto.

Conecta esas señales en torno a cada identidad, ayuda a explicar por qué importan en conjunto y ofrece a los equipos de seguridad una base más clara para decidir dónde centrar sus esfuerzos.

Esa es la evolución que usecure lidera con uHealth.

uHealth reúne en una sola vista las señales de Target Value, Awareness, Hygiene y Access, las conecta con las identidades a las que corresponden y ayuda a identificar qué combinaciones de riesgo merecen una atención más detallada.

A partir de ahí, los equipos de IT y seguridad deciden la acción adecuada: investigar una identidad, reforzar controles, restablecer credenciales, ajustar accesos o cubrir una carencia de Awareness.

La inteligencia señala dónde hace falta atención. El equipo de seguridad decide cómo responder.

Ten una visión completa del riesgo humano

Si tu visión del riesgo humano se limita a la formación completada y a los resultados de phishing, solo estás viendo una parte del cuadro.

Target Value, Awareness, Hygiene y Access aportan el contexto necesario para entender por qué una identidad puede requerir más atención que otra y dónde empiezan a combinarse señales de riesgo independientes.

Descubre cómo usecure une los cuatro pilares con uHealth.