En esta guía se describen los pasos para implementar la formación sobre concienciación en materia de seguridad (SAT) en su organización, lo que ofrecerá una formación sobre concienciación en materia de seguridad personalizada, pertinente y adaptativa en el ámbito de la gestión de riesgos humanos. Al integrar una formación sobre concienciación en materia de seguridad completa (la mayor biblioteca de contenido del mundo, disponible en más de 35 idiomas), agentes de defensa con inteligencia artificial y ayuda de seguridad en tiempo real, SAT crea una capa de defensa humana y capacita a las personas usuarias a través del cambio conductual.
Paso 1: añadir a los usuarios
Para comenzar, añada a sus usuarios a su consola KnowBe4 para enviarles correos electrónicos de phishing simulado e inscribirlos en campañas de formación. Si su organización usa varios dominios de correo electrónico, el primer paso será agregar dichos dominios a su consola KnowBe4 antes de añadir a los usuarios. Para obtener instrucciones detalladas, consulte el artículo Añadir y verificar dominios.
Método de aprovisionamiento de usuarios
El aprovisionamiento de usuarios es el método preferido para sincronizar a los usuarios con la consola KnowBe4 y mantener la lista de usuarios a lo largo del tiempo. Puede usar el aprovisionamiento de usuarios de Google, la integración con Active Directory (ADI) o SCIM para aprovisionar usuarios de forma automática. Para obtener instrucciones detalladas, consulte la Guía de aprovisionamiento de usuarios de Google, la Guía de configuración de la integración con Active Directory (ADI)o la Guía de configuración de SCIM.
Importación de CSV
Este método es útil para importar un mayor número de usuarios e incluir otros datos de usuario como los nombres, los números de teléfono y la pertenencia a grupos, entre otros. Para obtener más información, consulte el artículo Importar usuarios con un archivo CSV.
Paso 2: autenticación de SSO
KnowBe4 es compatible con SAML 2.0, lo que permite que las personas usuarias puedan iniciar sesión en KnowBe4 a través del proveedor de inicio de sesión único (SSO) de su organización. Al usar el SSO, estas personas no tendrán que configurar ni usar una contraseña distinta.
Para obtener instrucciones detalladas sobre cómo activar SAML en la configuración de la cuenta y finalizar la configuración con su proveedor de SSO, consulte el artículo Configurar el inicio de sesión único (SSO) de SAML para la consola de formación sobre concienciación en materia de seguridad.
Paso 3: Personalización de la consola y el contenido
Antes de enviar su primera prueba de phishing o campaña de formación, personalice su cuenta para que refleje el estilo y la identidad del programa de seguridad de su organización.
Para añadir el logotipo de su empresa, el color corporativo y las páginas de aterrizaje con marca a su consola y experiencia de aprendizaje (LX), consulte nuestra Guía de experiencia de aprendizaje (LX), el artículo Añadir el logotipo de su empresa, la dirección URL del logotipo y el color de marca en su consola y la Guía sobre páginas de aterrizaje, notificaciones de formación y plantillas de correo electrónico con marca.
Paso 4: Incluir en la lista blanca su entorno de correo electrónico
Antes de enviar una prueba de phishing inicial o cualquier otra campaña de phishing, añada las direcciones IP y los dominios de KnowBe4 a la lista blanca de su entorno de correo electrónico. La inclusión en la lista blanca garantiza que las pruebas de phishing y las notificaciones de formación lleguen a las bandejas de entrada de sus usuarios y no las bloqueen los filtros de spam o la protección de firewall.
Utilice nuestro Asistente de inclusión en la lista de permitidos Asistente de inclusión en la lista de permitidos (el enlace se abre en una ventana nueva) o consulte nuestra Guía de inclusión en la lista de permitidos para incluir a KnowBe4 en la lista de permitidos de su entorno de correo electrónico.
Paso 5: Desplegar el Phish Alert Button (PAB)
El Phish Alert Button (PAB) permite a sus usuarios denunciar correos electrónicos sospechosos, incluidas las pruebas de phishing simulado, directamente a su equipo de seguridad con un solo clic. Denunciar una prueba de phishing simulado también cuenta como una acción correcta en las pruebas de seguridad de phishing y activa el reconocimiento de denuncias incluido en la ayuda en tiempo real (consulte Paso 10: Configurar Ayuda en tiempo real a continuación).
Le recomendamos desplegar el PAB antes de enviar su prueba inicial de phishing en el siguiente paso para que sus usuarios puedan empezar a denunciar de inmediato. Para obtener instrucciones de configuración, consulte las siguientes guías:
- Manual de producto de Phish Alert Button (PAB)
- Guía de Phish Alert Button (PAB) en Microsoft Outlook
- Guía sobre Phish Alert Button (PAB) para Microsoft 365
- Guía de Phish Alert Button (PAB) en Gmail para Google Chrome
- Guía del complemento Phish Alert Button (PAB) para Gmail
Paso 6: phishing de referencia
Antes de comenzar su programa de formación sobre concienciación en materia de seguridad, le recomendamos encarecidamente que envíe una prueba de phishing de referencia a todo el personal. Esta prueba servirá como punto de partida para establecer métricas iniciales.
Para obtener más información sobre nuestras recomendaciones para el proceso de phishing de referencia, consulte las siguientes subsecciones o el vídeo La campaña de phishing de referencia para clics en un minuto.
Campaña de prueba preliminar
Antes de crear una campaña de phishing de referencia para sus usuarios, recomendamos lanzar al menos una campaña de prueba limitada a un pequeño grupo de usuarios, como su equipo de TI. Para obtener más información sobre la creación de grupos, consulte la Guía de gestión de usuarios y grupos.
El objetivo de esta campaña de prueba preliminar es comprobar que ha realizado la inclusión en la lista de permitidos correctamente y que los correos electrónicos pasan a través de sus filtros de spam y la protección de firewall.
Asimismo, servirá para comprobar que se mantiene un seguimiento de los clics y otros suspensos de las pruebas de phishing en su cuenta. Haga clic en el enlace de phishing simulado de su correo electrónico de prueba para asegurarse de que se mantiene un seguimiento de los fallos en su cuenta. Para obtener más información, consulte los artículos Creación y gestión de campañas de phishing o Supervisión y revisión de campañas de phishing.
Establecimiento de una base de referencia
Una vez que haya confirmado que la campaña de prueba de phishing preliminar se ha llevado a cabo correctamente, deberá crear una campaña de prueba de phishing de referencia para todas las personas usuarias. Esta prueba le permitirá determinar el porcentaje inicial de Phish-prone de su organización, que será su punto de partida. En adelante, utilícelo para medir el éxito de su plan de formación sobre concienciación en materia de seguridad.
Si desea conocer nuestras recomendaciones para configurar su campaña de phishing inicial, consulte nuestra Guía de prácticas recomendadas: configurar una prueba de referencia o nuestro artículo Recomendaciones para las plantillas de pruebas de referencia.
Envío de una prueba de referencia al equipo de TI
Otra opción que podría considerar es enviar dos pruebas de referencia de phishing: una primero a su Departamento de TI o al servicio de asistencia y, después, otra al resto de la plantilla. De esta forma, cuando el resto de la plantilla comience a denunciar el correo sospechoso, el personal del servicio de asistencia o de TI estará al corriente de la situación, pero también habrá tenido la oportunidad de participar en la evaluación de referencia. Además, es una forma estupenda de asegurarse de que ha incluido de forma correcta nuestros servidores de correo en la lista de permitidos y de que su prueba de referencia llegará a las bandejas de entrada de todo el personal.
Paso 7: formar a las personas usuarias
Para su campaña inicial de formación sobre concienciación en materia de seguridad, le recomendamos inscribir a todas las personas usuarias en la formación de 45 minutos de concienciación en materia de seguridad de KnowBe4 u otro curso integral. Para obtener información acerca del contenido de formación disponible, consulte Guía de ModStore y Biblioteca.
Si desea conocer nuestras recomendaciones para configurar su primera campaña de formación, consulte Guía de prácticas recomendadas: creación de su primera campaña de formación.
ModStore: selección de contenido para la campaña de formación inicial
Consulte la Guía de ModStore y Biblioteca para seleccionar el contenido apropiado para su campaña de formación inicial.
Crear campaña de formación
Para crear una campaña de formación, acceda a su consola de KnowBe4 y seleccione la pestaña Formación. A continuación, seleccione el botón + Crear campaña de formación ubicado en la sección superior derecha de la página. Después de seleccionar este botón, aparecerá la página Crear nueva campaña de formación.
Habilitar los repasos de conocimientos con AIDA
Al crear su campaña de formación, habilite los repasos de conocimientos con AIDA para automatizar partes de su formación sobre concienciación en materia de seguridad. Los repasos de conocimientos están disponibles en los módulos de vídeos y ofrecen cuestionarios breves que ayudan a las personas usuarias a revisar y reforzar los conceptos clave de la formación que han recibido recientemente. Para obtener más información, consulte nuestro artículo Primeros pasos con AIDA.
Paso 8: campañas de phishing en curso
Para ayudar a su organización a gestionar el problema del phishing y la ingeniería social, es fundamental llevar a cabo campañas de phishing continuas.
Recomendamos enviar una prueba de phishing a todas las personas usuarias al menos una vez al mes. Puede hacerlo creando una campaña de phishing mensual con las siguientes pautas:
- Incluya varias categorías de correos electrónicos y diferentes tipos de pruebas de phishing.
- Extienda el envío de los correos electrónicos a lo largo de un período más largo, como una semana. De esta manera, las personas usuarias no sabrán cuándo recibirán una prueba de phishing.
- Añada a las personas usuarias que cometan fallos en las pruebas de phishing a un grupo de formación correctiva.
Además de las pruebas de phishing mensuales para todo el mundo, le recomendamos configurar pruebas adicionales para los departamentos de alto riesgo o el personal más vulnerable a un ataque de phishing.
Para aprender a determinar qué departamentos o miembros del personal plantean el mayor riesgo para su organización, consulte nuestra Guía de SmartRisk™ Engine y puntuación de riesgo.
Para obtener más información acerca de la creación y personalización de campañas de phishing, consulte los siguientes artículos:
- Creación y gestión de campañas de phishing
- Creación y edición de plantillas de correo electrónico y páginas de aterrizaje
- Guía sobre los marcadores de posición
- Casos de uso de los marcadores de posición
Paso 9: Formación correctiva y continua
A continuación, encontrará nuestras recomendaciones mínimas para configurar manualmente la formación correctiva y continua sobre concienciación en materia de seguridad para cualquier organización:
- Cree un grupo de formación correctiva y una campaña de formación correctiva. Para obtener más información sobre la formación correctiva, consulte el artículo Cómo crear una campaña de formación correctiva o el vídeo Campañas de formación correctiva.
- Forme a grupos o empleados específicos con formación basada en las funciones y otros cursos especializados. Recomendamos buscar los cursos necesarios en ModStore. Para obtener más información, consulte Guía de ModStore y Biblioteca.
- Configure un mensaje de Sugerencias y consejos de seguridad para enviarlo a la Experiencia de aprendizaje de los usuarios. Para obtener más información, consulte nuestro artículo Resumen del boletín de Sugerencias y consejos de seguridad.
- A fin de que sus usuarios estén informados y preparados para defenderse de las últimas estafas de phishing e ingeniería social, configure un mensaje de La estafa de la semana para enviarlo a la Experiencia de aprendizaje de los usuarios. Para obtener más información, consulte nuestro artículo Resumen del boletín de La estafa de la semana.
Paso 10: Configurar Ayuda en tiempo real
Ayuda en tiempo real (anteriormente SecurityCoach) orienta el comportamiento de sus usuarios en tiempo real con SecurityTips basadas en eventos de su consola de Formación sobre concienciación en materia de seguridad de KnowBe4 (SAT).
Con SAT Foundation, Ayuda en tiempo real incluye lo siguiente:
- Entrenamiento sobre eventos KSAT, como fallos en pruebas de phishing y denuncias, incluido el reconocimiento cuando un usuario denuncia una prueba de phishing simulado.
- Entrega en tiempo real a través de Slack, Microsoft Teams, Google Chat o el correo electrónico.
Una forma sencilla de empezar es entrenar a los usuarios cuando fallen en pruebas de phishing. Al habilitar la opción Enviar SecurityTips que muestren los indicadores de ingeniería social que no se acertaron en los fallos de phishing en una campaña de phishing, los usuarios que no superen una prueba de phishing recibirán un SecurityTip donde se mostarán los indicadores de ingeniería social (SEI), o señales de alarma, que pasaron por alto en esa prueba concreta. Para obtener más información, consulte el artículo Ayuda en tiempo real con los indicadores de ingeniería social (SEI).
Para empezar, consulte el artículo Resumen de ayuda en tiempo real y la Guía de inicio rápido de la ayuda en tiempo real. Para obtener más información sobre cómo afectan los eventos de ayuda en tiempo real a su puntuación de riesgo, consulte la sección Tipos de seguridad en la Guía sobre SmartRisk™ Engine y puntuación de riesgo.
Recursos adicionales
Para conocer más formas de desarrollar y madurar su programa de concienciación en seguridad, consulte los recursos que figuran a continuación:
- Guía de prácticas recomendadas: Integración de KnowBe4 en su organización para conocer las principales recomendaciones sobre cómo implementar KnowBe4 en toda su organización.
- Guía sobre Automated Security Awareness Program (ASAP) para generar una lista de tareas personalizada para crear una cultura de seguridad madura.
- Guía de la Academia de KnowBe4 para acceder a cursos a su propio ritmo y rutas de aprendizaje para administradores.
- Guía de la Comunidad KnowBe4 para conectar con otros administradores, compartir ideas y obtener actualizaciones de productos.