Software antivirus y nivel de prudencia del usuario

A la hora de prevenir un ciberataque, ¿son más importantes y efectivas las herramientas de seguridad instaladas o los comportamientos de los usuarios? Es la pregunta a la que ha tratado de dar respuesta un equipo de investigación encabezado por Álvaro Arenas, de la Universidad Internacional de Excelencia en España, y que incluye a diversos especialistas de la Universidad Politécnica de Madrid (UPM) en España.

Solo en España, durante 2022 se registraron un total de 374.737 ciberdelitos, un 22 por ciento más que el año anterior, según los datos proporcionados por el Informe sobre Cibercriminalidad en España facilitado por el Ministerio del Interior. El uso del ordenador en los hogares ha crecido y los usuarios cada vez estamos más expuestos a los ataques de los ciberdelincuentes.

La gran mayoría de los estudios realizados en el campo de la seguridad informática se han concentrado en analizar los factores que influyen en el comportamiento de los usuarios, un sistema que presenta algunas deficiencias.

“Este tipo de estudios poseen una limitación metodológica común ya que suelen utilizar una estrategia de medición de variables basada exclusivamente en intenciones extraídas de autoinformes por parte de los usuarios que, muchas veces, incorporan problemas de recuerdo o deseabilidad social”, explica Alberto Urueña, investigador de la UPM y uno de los autores del nuevo estudio. De ahí que los investigadores de la UPM utilizasen un enfoque diferente: “El presente estudio sigue un enfoque alternativo donde, además de recopilar datos a través de una encuesta, también recopilamos datos reales mediante la instalación de software en las computadoras de los usuarios, con la aprobación de los participantes, para evaluar el riesgo real y los incidentes de seguridad que ha sufrido el ordenador. Adaptamos un modelo de teoría criminológica de ciberseguridad offline a online”.

Nos sentimos más seguros, pero somos más vulnerables

Los resultados del análisis son inesperados: tener más cantidad de herramientas de seguridad instaladas en el ordenador hace que el usuario se confíe demasiado y adopte conductas de riesgo que de otro modo evitaría, lo cual conduce, paradójicamente, a un descenso neto de la seguridad. El aumento de la seguridad brindado por el software queda superado por el descenso de seguridad debido a la conducta más imprudente del usuario. En consecuencia, en no pocos casos el nivel de riesgo es mayor y las infecciones informáticas son más comunes.

Alberto Urueña. (Foto: UPM)

Este comportamiento de los usuarios concuerda con la teoría del riesgo moral: la protección contra daños induce a un comportamiento imprudente. Las herramientas de seguridad dan a los usuarios una falsa sensación de seguridad plena: una ilusión de tenerlo todo controlado que alienta a participar en actividades en internet más arriesgadas, las cuales son el escenario predilecto de los ciberdelincuentes.

Lo descubierto en este estudio constituye una contribución importante a la comprensión del papel de las herramientas de seguridad en la protección informática. En general, las herramientas de seguridad no pueden garantizar una protección plena porque que el comportamiento de los usuarios, que no depende de ellas, desempeña un papel muy relevante a la hora de “caer” en las trampas de los ciberdelincuentes, tal como explica Antonio Hidalgo, otro de los profesores de la UPM participantes en el estudio.

Este estudio sugiere también que las teorías criminológicas pueden desempeñar un importante papel en el desarrollo de marcos para comprender y prevenir incidentes de seguridad informática.

“Los programas para disminuir los problemas de ciberseguridad requerirán una combinación de varios enfoques que incluyan herramientas de tecnologías de la información y seguridad conductual. Nuestro estudio revela la importancia de las actividades de seguridad por encima de las herramientas de seguridad para prevenir problemáticas de ciberseguridad”, apuntan los investigadores.

Con un entorno online cada vez más hostil para los usuarios en términos de seguridad, la importancia de este trabajo, que ha contado con la colaboración del Instituto de Empresa y de Gautam Ray de la prestigiosa Carlson School of Management (Universidad de Minnesota, en Estados Unidos), radica en que tiene implicaciones importantes para los responsables de la formulación de políticas de seguridad informática.

“Las herramientas de seguridad no son suficientes para proteger a los usuarios de infecciones de malware y por ello existe la necesidad de desarrollar programas de educación y concienciación sobre seguridad para los usuarios de sistemas informáticos”, concluyen los investigadores.

El estudio se titula “How to keep your information secure? Toward a better understanding of users security behavior”. Y se ha publicado recientemente en la revista académica Technological Forecasting and Social Change. (Fuente: UPM)