A estrategia de seguridad de empuje utiliza indicaciones o recordatorios suaves (llamados "empujoncitos") para alentar a las personas a abordar los problemas de seguridad en su sistema.
La estrategia se basa en la ciencia del comportamiento. Utiliza técnicas psicológicas como preguntas abiertas, comparaciones y arquitectura de opciones para que las personas reflexionen sobre sus decisiones de seguridad, guiándolas hacia mejores hábitos cibernéticos sin instrucciones ni órdenes estrictas.
Los empujoncitos pueden incluir:
- Notificaciones
- Mensajes
- Mensajes del sistema
Para tareas como:
| Mensaje | Ejemplo de empujón | Psicología |
| Inscríbete en un curso de seguridad | “Este módulo de seguridad puede ayudarle a proteger a sus colegas y familiares”. | Emoción: Los empujoncitos pueden provocar sentimientos como compasión, preocupación o entusiasmo para inspirar la acción. |
| Instalar actualización de software | “Seleccione una hora para instalar la nueva actualización”. (Esto no permite al usuario simplemente retrasar la tarea). | Arquitectura de elección: Animar a las personas a actuar sin restringir su libertad de elección. |
| Restablecer una contraseña | 1. “Tu contraseña es más débil que la del 90% de tus colegas”. 2. Un gráfico de semáforo que muestra la fortaleza de la nueva elección de contraseña de un usuario. | 1. Comparaciones: Las comparaciones sociales pueden generar un sentido de competencia en las tareas y motivar a las personas a actuar. 2 Realimentación: Las personas tienen mayor probabilidad de actuar cuando reciben retroalimentación instantánea sobre sus elecciones. |
| Advertencia de enlace sospechoso | ¿Confías en este enlace o archivo adjunto? | Riesgo: Alienta a las personas a pensar profundamente sobre los riesgos potenciales, ayudándoles a identificarlos mejor en el futuro. |
¿Por qué necesitamos empujoncitos?
Las personas son el punto más débil en materia de ciberseguridad, y el error humano es el culpable de la mayoría de las filtraciones de datos. Ya sea intencional o accidental, un comportamiento de seguridad deficiente genera vulnerabilidades, independientemente de la eficacia del equipo y las herramientas de seguridad informática de una organización.
La concientización es más importante que las herramientas para mejorar la seguridad de una organización. Los empujoncitos (un término popularizado por los científicos del comportamiento Cass Sunstein y Richard Thaler en 2008) no instan a las personas a hacer nada, sino que están diseñados para guiarlas hacia lo correcto sin la presión habitual asociada a la gestión de riesgos.
Una estrategia de seguridad de impulso ayuda a los empleados a adoptar una mentalidad de seguridad primero, lo que los aleja de malos hábitos como retrasar actualizaciones, usar contraseñas débiles e ignorar las advertencias de seguridad, todo lo cual puede aumentar las superficies de ataque en las diversas tecnologías de nube y SaaS que utilizan las organizaciones hoy en día.