La conciencia de seguridad es el conocimiento y la actitud que poseen los miembros de una organización con respecto a la protección de los activos físicos y, especialmente , de información de esa organización. Sin embargo, es muy difícil de implementar porque las organizaciones no pueden imponer dicha conciencia directamente a los empleados, ya que no hay formas de monitorear explícitamente el comportamiento de las personas. Dicho esto, la literatura sugiere varias formas de mejorar dicha conciencia de seguridad. [1] Muchas organizaciones requieren una capacitación formal sobre conciencia de seguridad [2] para todos los trabajadores cuando se incorporan a la organización y periódicamente a partir de entonces, generalmente anualmente. [3] Otra fuerza principal que se ha encontrado que tiene una fuerte correlación con la conciencia de seguridad de los empleados es la participación en seguridad de la gerencia. También vincula la conciencia de seguridad con otros aspectos organizacionales. [4]
Los temas que se tratan en la capacitación sobre concientización sobre seguridad incluyen: [5]
La conciencia de seguridad implica comprender que existe la posibilidad de que algunas personas roben, dañen o utilicen indebidamente, de manera deliberada o accidental, los datos almacenados en los sistemas informáticos de una empresa y en toda su organización. Por lo tanto, sería prudente proteger los activos de la institución (información, físicos y personales) tratando de evitar que eso suceda.
Según la Agencia Europea de Seguridad de las Redes y de la Información, «el conocimiento de los riesgos y las salvaguardas disponibles es la primera línea de defensa para la seguridad de los sistemas y redes de información». [6]
"El objetivo de la consultoría de concienciación sobre seguridad debe ser lograr un cambio a largo plazo en la actitud de los empleados hacia la seguridad, al tiempo que se promueve un cambio cultural y de comportamiento dentro de la organización. Las políticas de seguridad deben considerarse como facilitadores clave para la organización, no como una serie de reglas que restringen el funcionamiento eficiente de su negocio". [7]
En un estudio de 2016, los investigadores desarrollaron un método para medir la conciencia de seguridad. [8] Específicamente, midieron "la comprensión sobre cómo eludir los protocolos de seguridad, interrumpir las funciones previstas de los sistemas o recopilar información valiosa y no ser descubierto" (p. 38). Los investigadores crearon un método que podría distinguir entre expertos y novatos al hacer que las personas organicen diferentes escenarios de seguridad en grupos. Los expertos organizarán estos escenarios en función de temas de seguridad centralizados, mientras que los novatos organizarán los escenarios en función de temas superficiales.