En este artículo, encontrará preguntas frecuentes sobre el uso del Motor SmartRisk™ y la función de puntaje de riesgo de KnowBe4. Si tiene preguntas adicionales que este artículo no incluye, envíe un ticket a nuestro equipo de soporte equipo de soporte (el enlace se abre en otra ventana).
Para obtener más información acerca del puntaje de riesgo, consulte nuestra Guía de Motor SmartRisk™ y el puntaje de riesgo.
Información general
Para obtener información general sobre el Motor SmartRisk™ y el puntaje de riesgo, consulte las siguientes preguntas y respuestas:
- ¿Qué es el Motor SmartRisk™ y de qué manera mejora la gestión de riesgos relacionados con el factor humano?
- ¿Cómo se definen y calculan los siete tipos de seguridad del puntaje de riesgo?
- ¿Cuál es el rango disponible para el puntaje de riesgo?
- ¿Cuál es la diferencia entre factores de riesgo activos e inactivos?
- ¿Con qué frecuencia se actualiza el puntaje de riesgo? ¿Se produce en tiempo real?
- ¿Cuáles son las diferencias entre el puntaje de riesgo nuevo y el legado?
¿Qué es el Motor SmartRisk™ y de qué manera mejora la gestión de riesgos relacionados con el factor humano?
El Motor SmartRisk™ es el nuevo sistema de puntaje de riesgo de KnowBe4 que proporciona datos dinámicos y procesables para la postura de seguridad de su organización. Al dar seguimiento a los comportamientos y las tendencias de riesgos de los usuarios a lo largo del tiempo, puede adaptar su capacitación y políticas de seguridad de manera eficaz y enfocarse en las áreas de seguridad más riesgosas o seguras.
El Motor SmartRisk™ calcula los puntajes de riesgo de usuarios individuales, grupos y la organización en general. El cálculo se basa en factores de riesgo o eventos y comportamientos de usuario. Los factores de riesgo incluyen hacer clic en enlaces de phishing, informar correos electrónicos de phishing y cumplir con las políticas de seguridad. Luego, los factores de riesgo se categorizan en tipos de seguridad. Estos pueden ser activos e inactivos, y muestran qué comportamientos y eventos de usuario contribuyen a puntajes de riesgo más elevados y qué comportamientos podrían indicar un riesgo potencial. Con esta información detallada, puede identificar áreas de riesgo específicas de su organización, así como usuarios específicos que requieran soporte adicional o capacitación en concientización sobre seguridad.
¿Cómo se definen y calculan los siete tipos de seguridad del puntaje de riesgo?
Hay siete tipos de seguridad que representan diferentes áreas de comportamiento del usuario y riesgo potencial. Cada tipo de seguridad contribuye al puntaje de riesgo general de un usuario o una organización. Estos tipos de seguridad reúnen eventos o comportamientos de usuario que se clasifican como riesgosos, seguros o de mitigación. Este es un ejemplo de cada tipo de seguridad y la manera en que se definen y clasifican:
| Tipo de seguridad | Definición | Ejemplos |
|---|---|---|
| Seguridad del correo electrónico | Evalúa el riesgo en función de las acciones de un usuario relacionadas con el correo electrónico. |
|
| Seguridad de terminales | Se enfoca en los riesgos que surgen de la interacción de un usuario con sus dispositivos. |
|
| Seguridad de los datos | Evalúa los riesgos relacionados con los comportamientos de manejo e intercambio de datos del usuario. |
|
| Seguridad web | Mide los riesgos asociados con la exploración en línea y las acciones en la web del usuario. |
|
| Higiene de cuentas | Evalúa las prácticas generales de seguridad de las cuentas del usuario. |
|
| Capacitación sobre cumplimiento | Refleja el compromiso del usuario con la capacitación sobre cumplimiento. |
|
| Seguridad física | Mide el compromiso del usuario con las prácticas de seguridad relativas al acceso y la seguridad físicos. |
Nota: Actualmente, el único factor de riesgo que contribuye a este tipo de seguridad son las asignaciones de capacitación en concientización sobre seguridad relativas a la seguridad física. |
¿Cuál es el rango disponible para el puntaje de riesgo?
El rango disponible de puntaje de riesgo indica el nivel de riesgo, siendo 0 el riesgo más bajo y 100 el riesgo más alto. Si bien el rango disponible es de 0 a 100, su rango nunca será inferior a 10 ni superior a 90.
Usamos una escala de 10 a 90 para proporcionar un panorama realista de su postura de seguridad y lo que puede mejorar. Un puntaje de 0 a 10 implicaría una seguridad casi perfecta, lo cual es prácticamente inalcanzable, ya que las amenazas de ciberseguridad evolucionan y pueden existir riesgos desconocidos. De manera similar, un puntaje de 90 a 100 sugeriría una postura de seguridad catastrófica, lo cual suele ser irreal, incluso para las organizaciones de riesgo alto. Al enfocarse en el rango de 10 a 90, obtiene un rango práctico de riesgo que ayuda a priorizar las mejoras que marcarán una diferencia real en su postura de seguridad.
En la siguiente tabla, podrá ver el rango disponible desglosado por color y nivel de riesgo.
| Color | Puntaje de riesgo | Nivel de riesgo |
|---|---|---|
| Verde | 10-40 | Bajo |
| Amarillo | 41-47 | Medio |
| Naranja | 48-53 | Alto |
| Rojo | 54-90 | Crítico |
¿Cuál es la diferencia entre factores de riesgo activos e inactivos?
Los factores activos son eventos de productos integrados de KnowBe4 que proporcionan datos directos para los cálculos del puntaje de riesgo. Las acciones clasificadas como riesgosas aumentan los puntajes de riesgo, mientras que las acciones seguras los reducen.
Los factores inactivos se usan cuando no hay datos disponibles para un tipo de seguridad, y el Motor SmartRisk™ aplica un valor de riesgo predeterminado. El valor de riesgo predeterminado refleja un nivel general de riesgo para el tipo de seguridad en función de las normas de la industria y las potenciales amenazas. KnowBe4 supone que el comportamiento del usuario en estos tipos es riesgoso, lo cual puede producir un puntaje de riesgo más elevado en términos generales.
¿Con qué frecuencia se actualiza el puntaje de riesgo? ¿Se produce en tiempo real?
El puntaje de riesgo se actualiza de forma dinámica a medida que hay datos nuevos disponibles, pero no necesariamente en tiempo real. El puntaje de riesgo se actualiza a diario, y todo evento riesgoso, seguro o de mitigación se reflejará en este en 24 horas, como máximo.
El Motor SmartRisk™ monitorea y registra constantemente los eventos riesgosos, seguros y de mitigación de diferentes tipos de seguridad. Los eventos de cada producto integrado se ingresan en el canal de datos del puntaje de riesgo a diario y, cuando se reciben nuevos datos, se activa un ajuste incremental en el puntaje de riesgo. Por ejemplo, si un usuario completa un módulo de capacitación en seguridad o hace clic en un enlace de phishing, esa acción afectará su puntaje de riesgo dentro de las 24 horas posteriores al evento.
¿Cuáles son las diferencias entre el puntaje de riesgo nuevo y el legado?
En la siguiente tabla, puede ver algunas diferencias clave entre nuestro Motor SmartRisk™ y puntaje de riesgo, así como nuestro Virtual Risk Officer (VRO) y puntaje de riesgo:
| Dominios de riesgo | Motor SmartRisk™ y puntaje de riesgo | Virtual Risk Officer (VRO) y puntaje de riesgo |
|---|---|---|
| Integración de datos | Integra datos de toda la suite de productos de KnowBe4. | Principalmente usa datos de pruebas de phishing, actividades de capacitación, puestos laborales y violaciones de seguridad de datos. |
| Puntaje de riesgo del gerente | Ofrece una vista jerárquica mediante el informe Puntaje de riesgo del gerente y, próximamente, el nuevo filtro Tabla organizacional. | Solo está disponible en el Tablero del equipo de la Experiencia de aprendizaje (LX). |
| Datos de referencia | Los datos de referencia relativos al tamaño de la organización y la industria se planifican para finales de 2025 o principios de 2026. | No corresponde |
| Información procesable | Proporciona orientación específica para los planes de corrección en función de los tipos de seguridad y factores de riesgo. | Ofrece recomendaciones más generales para reducir el riesgo. |
| Capacidad de generación de informes | Enfatiza la generación flexible de informes para mejorar la comunicación con las partes interesadas. | Ofrece opciones de indicador de tablero y generación estándar de informes. |
| Puesto laboral | Ya no es un factor incluido en el cálculo del puntaje de riesgo porque es un atributo estático y no remediable, y el Motor SmartRisk™ utiliza información procesable. | Evalúa el riesgo en función de los patrones de conexión organizacionales. |
| Modificador de usuarios y grupos | Ya no es un factor incluido en el cálculo del puntaje de riesgo porque los modificadores del riesgo son ajustes manuales que pueden poner en peligro los factores de objetividad y universalidad del puntaje de riesgo. | Modifica manualmente el puntaje de riesgo personal o grupal de un usuario. |
| Porcentaje de Phish-prone | Ya no es un factor incluido en el cálculo del puntaje de riesgo porque el Motor SmartRisk™ usa los eventos de usuario subyacentes que contribuyen al porcentaje de Phish-prone. | El porcentaje de usuarios que hizo clic en un enlace de phishing simulado o que abrió un archivo adjunto durante una prueba de phishing. |
Cálculo
Para obtener más información sobre el cálculo del puntaje de riesgo, consulte las siguientes preguntas y respuestas:
- ¿Por qué aumenta o disminuye mi puntaje de riesgo?
- ¿Qué son los eventos riesgosos, seguros y de mitigación?
- ¿Qué es el sesgo por usuario nuevo?
- ¿De qué manera los factores inactivos afectan mi puntaje de riesgo?
- ¿De qué manera los factores inactivos afectan mi rango disponible?
- ¿Por cuánto tiempo los eventos específicos afectan el puntaje de riesgo de un usuario?
- ¿Se incluye a los estudiantes en el cálculo de mi puntaje de riesgo?
- ¿Puedo usar mi propio LMS con el puntaje de riesgo?
¿Por qué aumenta o disminuye mi puntaje de riesgo?
El puntaje de riesgo aumentará y disminuirá en función de los comportamientos riesgosos o seguros, o los eventos de mitigación que se detecten en los productos de KnowBe4 y registren. Estos comportamientos se categorizan en siete tipos de seguridad que representan áreas diferentes del riesgo de seguridad.
¿Qué son los eventos riesgosos, seguros y de mitigación?
Cuando usted o los usuarios adoptan comportamientos considerados riesgosos, el puntaje de riesgo aumenta. Los comportamientos riesgosos señalan potenciales vulnerabilidades de seguridad y, en consecuencia, el puntaje aumenta para reflejar el mayor nivel de riesgo. Los ejemplos de comportamientos riesgosos incluyen los clics en enlaces de phishing, las prácticas de contraseñas débiles, las visitas a sitios web maliciosos y las detecciones de malware en su dispositivo.
Adoptar comportamientos seguros reducirá el puntaje de riesgo. Los comportamientos seguros demuestran una concientización sobre seguridad y un cumplimiento proactivos, y el puntaje de riesgo se ajusta para reflejar el menor riesgo. Los ejemplos de comportamientos seguros incluyen reportar los correos electrónicos de phishing, completar la capacitación en seguridad, usar contraseñas seguras y autenticación multifactor, y usar tokens de seguridad para la seguridad física.
Los eventos de mitigación atenúan el riesgo de los eventos riesgosos previamente registrados. Si bien los eventos riesgosos aumentan el puntaje de riesgo, un evento posterior de mitigación reduce el impacto de ese evento riesgoso, pero no lo elimina por completo. Los ejemplos de eventos de mitigación incluyen SecurityTips de SecurityCoach, completar la capacitación sobre medidas correctivas de AIDA y eventos de resolución de vulnerabilidades de PasswordIQ.
¿Qué es el sesgo por usuario nuevo?
Cuando se agrega un nuevo usuario en su consola de KSAT, se aplica un sesgo por usuario nuevo en sus tipos de seguridad activos durante los primeros 90 días. Este aumento temporal del puntaje de riesgo tiene en cuenta el riesgo más alto asociado con los usuarios que aún no completaron la capacitación en seguridad ni se familiarizaron con las políticas de seguridad de la organización.
Cuando un usuario nuevo tiene al menos una acción segura en un tipo de seguridad, como completar un módulo de capacitación, aprobar un cuestionario sobre políticas o reportar un correo electrónico de phishing a través del PAB, se elimina el sesgo para ese tipo de seguridad específico en el siguiente cálculo del puntaje de riesgo. Si no se realizan acciones seguras, el sesgo para ese tipo de seguridad se eliminará automáticamente luego de 90 días.
Los usuarios que completen capacitaciones o demuestren comportamientos seguros de manera proactiva durante sus primeros 90 días notarán una disminución más importante e inmediata en su puntaje de riesgo, en comparación con quienes esperan al vencimiento a los 90 días.
¿De qué manera los factores inactivos afectan mi puntaje de riesgo?
En el puntaje de riesgo, los factores inactivos tienen lugar cuando la organización no tiene configurados determinados productos o integraciones de KnowBe4. Los factores inactivos son brechas de datos en los tipos de seguridad. El Motor SmartRisk™ no puede dar seguimiento al comportamiento del usuario porque no tiene información de las herramientas o los productos de seguridad relevantes.
Cuando hay factores inactivos a causa de la falta de integraciones o productos, el Motor SmartRisk™ asume que estas áreas podrían plantear un riesgo de seguridad. Como resultado, el puntaje de riesgo considera a los factores inactivos como potencialmente riesgosos y se eleva de forma leve para esos tipos de seguridad.
Por ejemplo, si no tiene una integración que monitoree la seguridad de terminales, el Motor SmartRisk™ no puede determinar si el dispositivo de un usuario tiene malware u otros riesgos relacionados con terminales. Esta área se considerará inactiva y se tendrá en cuenta un riesgo leve para incluir las potenciales amenazas.
¿De qué manera los factores inactivos afectan mi rango disponible?
Si su organización tiene pocos productos e integraciones de KnowBe4, el rango disponible será más estrecho y elevado, en general. Si su organización tiene más productos habilitados, como PasswordIQ o SecurityCoach, puede tener un rango disponible más amplio que refleje mejor el riesgo verdadero en función de los datos reales del comportamiento del usuario.
Mientras más integraciones y factores activos tenga, mejor será la comprensión del Motor SmartRisk™ del comportamiento del usuario en los diferentes tipos de seguridad, lo cual generará un puntaje de riesgo más preciso y posiblemente menor.
¿Por cuánto tiempo los eventos específicos afectan el puntaje de riesgo de un usuario?
El Motor SmartRisk™ tiene límites máximos y mínimos de eventos que afectan a cada área de su puntaje de riesgo. Estos límites ayudan a estandarizar la influencia de los eventos riesgosos y seguros en el puntaje de riesgo general del usuario o la organización. Los eventos que superen los límites específicos que establece el Motor SmartRisk™ no tendrán un mayor impacto en el puntaje de riesgo. Por ejemplo, el límite máximo del Phish Alert Button (PAB) es tres.
La duración del impacto, o la expectativa de vida, varía según el factor de riesgo específico. Por ejemplo, las violaciones de credenciales relacionadas con comprobaciones de exposición del correo electrónico tienen una expectativa de vida de 90 días; es decir, la violación no afectará el puntaje de riesgo pasados los 90 días. De manera similar, las violaciones de seguridad de datos de la información de identificación personal (Personally Identifiable Information, PII) tienen una expectativa de vida de 60 días.
Estos límites se establecen para mantener un puntaje equilibrado que refleje el riesgo con precisión sin distorsionarse demasiado por las acciones repetitivas.
¿Se incluye a los estudiantes en el cálculo de mi puntaje de riesgo?
Si usa la versión KnowBe4 Student Edition, se incluirá a los estudiantes en el cálculo del puntaje de riesgo general.
¿Puedo usar mi propio LMS con el puntaje de riesgo?
Sí, puede usar su propio LMS con el puntaje de riesgo. Si su organización cuenta con las capacidades del LMS y recibimos datos de finalización de la capacitación, lo cual incluye los datos de KnowBe4, daremos seguimiento a los datos de capacitación de todas las personas de su organización. Sin embargo, si utiliza su propio LMS y no nos envía sus datos de capacitación mediante nuestra API de eventos de usuario, aumentarán sus puntajes de riesgo. Si no contamos con todos los datos sobre la capacitación, aparecerá que sus usuarios no tienen capacitación o tienen capacitaciones incompletas. Esto aumenta los puntajes de riesgo individuales y el puntaje de riesgo general de su organización.
Personalización y enfoque
Para obtener más información sobre la personalización y el enfoque del puntaje de riesgo, consulte las siguientes preguntas y respuestas:
- ¿Puedo personalizar el valor de los diferentes tipos de seguridad o factores de riesgo?
- ¿Existe alguna forma de enfocarlo en áreas específicas de riesgo?
¿Puedo personalizar el valor de los diferentes tipos de seguridad o factores de riesgo?
No se puede personalizar el valor de los diferentes tipos de seguridad o factores de riesgo del puntaje de riesgo. El cálculo que realiza el Motor SmartRisk™ pretende proporcionar datos de referencia coherentes y objetivos de las organizaciones, los cuales podrían verse afectados por un valor personalizado. Este enfoque garantiza que los datos de referencia del puntaje de riesgo puedan compararse a nivel general y evita el potencial uso indebido de los valores alterados para reducir los puntajes de riesgo de manera artificial sin abordar las preocupaciones reales de seguridad.
¿Existe alguna forma de enfocarlo en áreas específicas de riesgo?
Con el informe del puntaje de riesgo, su organización puede enfocarse en áreas específicas del riesgo, ya que puede visualizar los tipos de seguridad y comportamientos de usuario de las áreas que generan preocupación. Por ejemplo, en el informe, puede expandir tipos de seguridad específicos y ver los factores de riesgo relacionados con el comportamiento de usuario que pueda plantear una preocupación de seguridad.
Mejorar y administrar los puntajes de riesgo
Para obtener más información sobre cómo mejorar y administrar los puntajes de riesgo, consulte las siguientes preguntas y respuestas:
- ¿De qué manera el personal de riesgo alto puede reducir su puntaje de riesgo?
- ¿El Motor SmartRisk™ ofrece recomendaciones para mejorar los puntajes de riesgo?
- ¿Puedo acceder a los datos brutos o a un análisis más detallado de los puntajes de riesgo del usuario o de la organización?
¿De qué manera el personal de riesgo alto puede reducir su puntaje de riesgo?
El personal de riesgo alto puede reducir su puntaje de riesgo si realizan acciones positivas en términos de seguridad. Por ejemplo, completar la capacitación en seguridad asignada, usar el Phish Alert Button (PAB) para reportar correos electrónicos de phishing y recibir SecurityTips ayuda a reducir el puntaje de riesgo. Estas acciones ayudan a demostrar un comportamiento consciente de la seguridad y reducir el puntaje de riesgo general asociado con el personal riesgoso.
¿El Motor SmartRisk™ ofrece recomendaciones para mejorar los puntajes de riesgo?
El Motor SmartRisk™ incentiva el comportamiento seguro mediante recomendaciones de capacitación priorizadas y muestra qué acciones tendrán el mayor impacto en la seguridad. Las recomendaciones generales incluyen reportar los intentos de phishing, completar la capacitación en concientización sobre seguridad sistemáticamente y participar en las actividades de cumplimiento de forma activa. El personal que adopte estos comportamientos seguros y mantenga buenas prácticas de seguridad con datos, terminales e higiene de cuentas verá mejoras en los puntajes de riesgo individual y organizacional. A través de los informes de puntaje de riesgo, se puede obtener información de seguridad específica, así como datos procesables sobre las áreas que requieren mejoras.
¿Puedo acceder a los datos brutos o a un análisis más detallado de los puntajes de riesgo del usuario o de la organización?
Actualmente, los informes de puntaje de riesgo no ofrecen acceso directo a los datos brutos. Sin embargo, se planea poner a disposición los análisis detallados y los cálculos subyacentes en actualizaciones futuras. El Motor SmartRisk™ proporciona informes completos de puntaje de riesgo en donde se detallan los puntajes de los diferentes tipos de seguridad y los factores de riesgo asociados. Puede acceder a estos informes desde la consola de KSAT. Para ello, vaya a Informes > Informes de puntaje de riesgo.
Puntaje de riesgo y API de KnowBe4
- ¿Cómo obtengo el historial de riesgo de mi cuenta?
- ¿La API de eventos de usuario de KnowBe4 se actualizará para funcionar con el puntaje de riesgo?
¿Cómo obtengo el historial de riesgo de mi cuenta?
Puede usar la API de informes para obtener el historial de riesgo de su cuenta. Su cuenta pasará automáticamente al puntaje de riesgo y los datos de su historial de riesgo seguirán estando disponibles a través de la API.
¿La API de eventos de usuario se actualizará para funcionar con el puntaje de riesgo?
Sí, la API de eventos de usuario funcionará en conjunto con el puntaje de riesgo, pero se realizarán cambios importantes. Tanto para las operaciones GET (OBTENER) (obtener eventos) como las operaciones POST (PUBLICAR) (enviar eventos), los parámetros risk_level, risk_decay_mode y risk_expire_date ya no estarán disponibles. Estos parámetros eran específicos del puntaje de riesgo heredado.
Hemos agregado un nuevo campo de factor en la API de eventos de usuario que puede usarse para crear nuevos tipos de evento y registrar las actividades de capacitación de usuarios que tengan un impacto positivo en los puntajes de riesgo. Estos nuevos factores son:
- training_completion_email_security
- training_completion_endpoint_security
- training_completion_data_security
- training_completion_web_security
- training_completion_account_security
- training_completion_compliance_electives
- training_completion_physical_security
Estos nuevos factores le permiten registrar la finalización de la capacitación en seguridad en diferentes dominios de riesgo, los cuales se tendrán en cuenta para el cálculo del puntaje de riesgo.