Cómo implementar consecuencias y recompensas en su programa de concientización sobre seguridad
Su programa de concientización de seguridad no puede basarse solo en consecuencias o recompensas, sino que debe incorporar ambas. Comprender cómo implementar tanto las consecuencias como las recompensas en su programa podría sentirse como andar en la cuerda floja, por lo que hemos desglosado cómo funcionan ambas y cómo se pueden incorporar fácilmente a su programa de concientización de seguridad existente.
Consecuencias
Caer en una simulación de phishing o participar en otro comportamiento cibernético arriesgado se asocia con una sensación de vergüenza, por lo que debe tener cuidado con las consecuencias. Las consecuencias deben usarse para crear un cambio de comportamiento instantáneo. Si alguien hace clic en una simulación de phishing, una consecuencia puede ser un correo electrónico automatizado que le notifique de lo sucedido y que le inste a realizar la capacitación correctiva.
Si nunca recompensa a los empleados por participar en un buen comportamiento cibernético y solo proporciona consecuencias por el comportamiento cibernético arriesgado, los empleados asociarán la ciberseguridad solo con las consecuencias y tendrá una connotación negativa para ellos. Debido a esto, es importante darles a los empleados la oportunidad de redimirse y recompensarlos por completar la capacitación correctiva y participar en un comportamiento ciberseguro.
Recompensas
El refuerzo positivo o las recompensas se pueden utilizar para crear un cambio de comportamiento a largo plazo. Se utilizan para inspirar a los empleados reforzando continuamente los buenos comportamientos de ciberseguridad para que los empleados estén motivados para informar sobre el phishing y participar en su programa de concientización sobre seguridad para proteger su organización.
Después de que un empleado complete la capacitación correctiva, deberá ser recompensado para alentarlo a continuar practicando un buen comportamiento cibernético. Las recompensas no deben usarse con moderación como consecuencias. Si un empleado reporta un phishing, completa un curso o encuesta, o cualquier otra cosa que esté pensada para alentarlo a seguir haciéndolo, el refuerzo positivo con recompensas es una excelente manera de motivar a los empleados a continuar con el comportamiento deseado.
En la siguiente sección, desglosaremos las diferentes formas en que se puede recompensar a los empleados por participar en un buen comportamiento de ciberseguridad a través del refuerzo positivo.
Tipos de recompensas
Hay 2 tipos de recompensas: intrínsecas y extrínsecas.
Intrínsecas
Las recompensas intrínsecas incluyen formas de reconocimiento, puntos, puntuaciones, títulos, insignias, certificados u otras recompensas en su mayoría intangibles. A menudo consideradas recompensas para "sentirse bien", tienen un impacto duradero en el empleado y pueden convertirse en una parte integral de su programa de concientización sobre ciberseguridad para recompensar el buen comportamiento, como completar una encuesta, capacitarse o denunciar un phishing.
Extrínsecas
Las recompensas extrínsecas incluyen tarjetas de regalo, premios y otras recompensas tangibles. Estas recompensas tienen un impacto a corto plazo, pero son una excelente manera de aumentar inicialmente el compromiso y se pueden otorgar por los mismos logros que las recompensas intrínsecas.
Muchas organizaciones usan recompensas intrínsecas todo el año y solo usan recompensas extrínsecas una o dos veces al año para continuar aumentando el compromiso. El Mes de Concientización sobre la Ciberseguridad es una excelente oportunidad para utilizar recompensas extrínsecas a fin de centrarse más en la seguridad de su organización.