¿Por qué debería analizar los perfiles de mis empleados?
Comprender los distintos perfiles de empleados permite adaptar eficazmente vuestras campañas de concienciación. Al identificar las necesidades, las carencias o los comportamientos de riesgo, podéis lanzar acciones más dirigidas, más pertinentes y, por tanto, más eficaces.
¿Por dónde empezar para implantar una estrategia de concienciación eficaz?
Realizad campañas periódicas 🔄: Para establecer una base sólida y medir el avance, recomendamos desplegar regularmente campañas dirigidas a
Todos los empleados,
Los recién incorporados,
Departamentos concretos.
Estas campañas permiten obtener una visión global del nivel de concienciación de vuestra organización.
¿Cómo ir más allá en la personalización de las campañas?
Utilizad los Smart Groups de Riot para segmentar audiencias concretas. Esto permite dirigir mensajes adaptados a los comportamientos y a los niveles de riesgo observados.
Estos son los criterios más útiles para segmentar a vuestros empleados al crear vuestros grupos segmentados:
Empleados retrasados en el curso de phishing,
Empleados que han caído recientemente (en los últimos x días),
Empleados que no han completado el módulo de remediación tras el phishing,
Empleados con un nivel bajo de huella digital,
Empleados con contraseñas débiles y retrasados en el curso « Contraseñas ».
¿Cuáles son los principales perfiles tipo de empleados que conviene conocer?
1. El « No formado »
Smart Group : empleados retrasados en el curso de phishing (por ejemplo)
Descripción : este empleado todavía no ha adquirido los conocimientos básicos sobre phishing y desconoce los métodos que utilizan los atacantes.
Palabra clave : No concienciado
Nivel de riesgo : ⚠️ Moderado
2. El « Resistente »
Smart Group : empleados que no han completado la formación de remediación tras el phishing
Descripción : este empleado ha caído pero no ha realizado la formación de recuperación. Su inacción pone en peligro la seguridad de la empresa.
Palabra clave : Rechazo de la remediación
Nivel de riesgo : 🔥 Alto
3. El « Repeat Clicker »
Smart Group : empleados que han caído x veces en los últimos x días
Descripción : este empleado hace clic con frecuencia en correos maliciosos a pesar de las campañas anteriores.
Palabra clave : Riesgo activo
Nivel de riesgo : 🚨 Crítico
4. El « Peligroso »
Smart Group : empleados que han caído x veces recientemente y que no han completado la formación de remediación
Descripción : perfil que suma un comportamiento de riesgo y una ausencia de remediación. Representa una amenaza real e inmediata.
Palabra clave : Comportamiento de alto riesgo con remediación sin completar
Nivel de riesgo : 🚒 Muy alto → se recomiendan acciones correctivas urgentes
¿Qué debo hacer después de identificar estos perfiles?
Una vez identificados los perfiles:
Adaptad vuestras campañas (contenido, frecuencia, dificultad),
Segmentad con más precisión las poblaciones de riesgo,
Seguid su evolución en el tiempo mediante los Smart Groups,
Desplegad acciones específicas para los perfiles « Resistente » y « Peligroso ».
¿Qué otros tipos de ataque puedo utilizar?
Una vez identificados estos perfiles, varias palancas permiten afinar vuestras campañas en lugar de enviar la misma plantilla a todo el mundo:
Los ataques mediante llamada de vuelta (callback) — se invita al empleado a llamar a un número en lugar de hacer clic en un enlace. No hay ningún enlace que detectar: se pone a prueba un reflejo completamente distinto.
La dificultad de las plantillas — dirigid plantillas difíciles a las poblaciones sólidas, y plantillas fáciles a las que descubren las simulaciones.
Las Smart Variables — personalizad una misma plantilla para cada destinatario, sin crear una variante por población.
Crear una simulación a partir de un correo reportado — convertid un ataque real recibido por vuestros equipos en un entrenamiento.
Conclusión
Ahora podéis identificar más fácilmente los distintos perfiles de vuestros empleados. Gracias a las campañas periódicas y a los Smart Groups, podéis adaptar vuestros mensajes, priorizar las poblaciones de riesgo y reforzar de forma duradera la postura de seguridad de vuestra organización.