Concientización en ciberseguridad: por qué capacitar a los empleados ya no es suficiente
Durante años, las empresas han abordado la concientización en ciberseguridad mediante cursos obligatorios, campañas de phishing simulado y recomendaciones sobre contraseñas, enlaces sospechosos y archivos adjuntos. Sin embargo, el aumento de ataques de ingeniería social demuestra que conocer las amenazas no necesariamente significa saber responder correctamente frente a ellas. Un estudio publicado en el International Journal of Human-Computer Studies analiza precisamente qué elementos hacen más efectiva una estrategia de capacitación contra phishing y cómo el feedback y la participación influyen en el comportamiento de los usuarios.
La investigación, realizada en una organización pública de Brasil con 4.457 participantes y entrevistas posteriores a 19 trabajadores, aporta una conclusión relevante para las empresas: la formación en seguridad debe diseñarse considerando cómo las personas toman decisiones en situaciones reales, y no solamente cuánto contenido son capaces de completar. El estudio encontró que el feedback inmediato después de una interacción con un phishing simulado puede ayudar a reducir la susceptibilidad, mientras que la participación obligatoria aumenta la cobertura, aunque puede tener efectos sobre la motivación interna.
De la capacitación a la transformación del comportamiento
El problema de muchas iniciativas de seguridad empresarial es que confunden capacitación con conciencia.
Completar un curso no significa necesariamente que un trabajador vaya a detenerse ante un correo urgente, verificar el dominio del remitente o reportar un mensaje sospechoso.
El estudio analizado pone justamente el foco en esta diferencia. Su investigación combina simulaciones de phishing, medición cuantitativa y entrevistas cualitativas para comprender no solamente si una persona hizo clic, sino también qué factores influyeron en su decisión.
Esta perspectiva es importante porque el phishing no depende únicamente de una vulnerabilidad tecnológica.
Es un ataque socio-técnico.
El atacante combina infraestructura, suplantación de identidad, presión psicológica, urgencia y contexto para inducir una determinada acción.
Por eso, una estrategia de ciberseguridad empresarial debe considerar simultáneamente tecnología, procesos y comportamiento humano.
¿Qué ocurrió en la investigación?
La investigación evaluó distintas configuraciones de un programa de Security Awareness Training (SAT).
Los participantes fueron expuestos a campañas de phishing simulado. En algunos casos recibieron feedback inmediato después de interactuar con el mensaje; en otros, no recibieron esa información inmediatamente. También se comparó la participación obligatoria con la participación no obligatoria.
La investigación utilizó ocho escenarios de phishing y posteriormente analizó las respuestas de los usuarios. Además, se realizaron entrevistas para comprender sus percepciones sobre las simulaciones, la capacitación y las razones que explicaban su comportamiento.
Uno de los elementos más interesantes es que el estudio no trata al trabajador como un simple “usuario vulnerable”.
Busca comprender por qué una persona toma una determinada decisión frente a un mensaje digital.
Ese cambio de perspectiva resulta fundamental para las organizaciones.
El feedback inmediato puede cambiar la experiencia de aprendizaje
Una de las conclusiones más relevantes del estudio es el papel del feedback.
Cuando un trabajador interactúa con una simulación y recibe inmediatamente una explicación indicando que se trataba de un intento de phishing, la organización tiene una oportunidad de aprendizaje que no existe cuando simplemente registra el clic y continúa con la campaña.
El usuario puede identificar en ese mismo momento las señales que no detectó.
Por ejemplo:
- dominio incorrecto;
- mensaje inesperado;
- solicitud urgente;
- enlace sospechoso;
- petición de credenciales;
- lenguaje diseñado para provocar una reacción rápida.
Esto convierte una equivocación en una instancia educativa.
Para las empresas, la diferencia es importante.
Una campaña de phishing no debería utilizarse solamente para producir una estadística mensual de “usuarios que hicieron clic”.
Debe generar información que permita modificar comportamientos.
El phishing también es un problema de diseño organizacional
Existe una tendencia a responsabilizar exclusivamente al empleado cuando ocurre un incidente.
Sin embargo, una organización madura debería formular preguntas adicionales.
¿Por qué el usuario tenía acceso a esa información?
¿Por qué una transferencia importante podía aprobarse sin una segunda validación?
¿Por qué una cuenta comprometida podía acceder a tantos sistemas?
¿Por qué el proceso dependía de una única persona?
¿Por qué la alerta de seguridad no fue reportada?
La concientización efectiva comienza cuando la organización entiende que el error humano puede ocurrir y diseña controles para limitar sus consecuencias.
Esto conecta directamente con la madurez digital.
Una organización madura no intenta construir un entorno donde nadie se equivoque. Construye un entorno donde una equivocación no se transforme automáticamente en una crisis empresarial.
Una tendencia que va más allá del phishing
La evolución de la inteligencia artificial está haciendo todavía más importante este enfoque.
Los atacantes pueden utilizar herramientas automatizadas para generar mensajes más personalizados, adaptar el lenguaje al destinatario y aumentar la credibilidad de una comunicación.
Por eso, la inteligencia artificial está cambiando también la naturaleza del riesgo humano.
Un correo fraudulento con errores evidentes puede ser relativamente sencillo de detectar.
Un mensaje generado con información pública sobre la empresa, escrito en un lenguaje natural y adaptado al cargo del destinatario puede ser mucho más difícil de identificar.
La conciencia de seguridad debe evolucionar al mismo ritmo.
Ya no basta con enseñar:
“No abras correos sospechosos”.
Es necesario enseñar cómo verificar una solicitud cuando parece legítima.
¿Cómo impacta esto a las empresas chilenas?
Para las organizaciones chilenas, el desafío tiene una dimensión especialmente relevante.
Las empresas dependen cada vez más de plataformas cloud, servicios SaaS, aplicaciones empresariales, herramientas de colaboración y sistemas de acceso remoto.
Esto significa que una credencial comprometida puede abrir la puerta a mucho más que una bandeja de correo.
Puede convertirse en acceso a información corporativa, sistemas financieros, documentos, aplicaciones internas o servicios críticos.
Por eso, los programas de concientización deben conectarse con la arquitectura tecnológica.
Los servicios TI deben contemplar no solamente disponibilidad y soporte, sino también las capacidades necesarias para detectar y responder ante comportamientos anómalos.
De la misma manera, el software y el hardware deben formar parte de una arquitectura de seguridad coherente.
La capacitación aislada no puede compensar una infraestructura mal configurada.
El riesgo de no adaptarse
Mantener programas tradicionales de concientización puede generar una falsa sensación de seguridad.
Una organización puede tener:
- cursos obligatorios;
- campañas de phishing;
- políticas de contraseñas;
- procedimientos documentados;
- herramientas de protección;
y aun así mantener una exposición importante.
El problema aparece cuando las métricas se concentran exclusivamente en cumplimiento.
Por ejemplo:
“98% de los trabajadores completó el curso”.
Ese indicador no demuestra que la organización sea más segura.
Una métrica más útil podría ser:
“¿Cuántos usuarios reportaron correctamente un intento de phishing?”
O:
“¿Cuánto disminuyó la interacción con simulaciones después de varias campañas?”
El estudio precisamente plantea la necesidad de utilizar datos de comportamiento para ajustar continuamente los programas de concientización.
La importancia del contexto
Otro aprendizaje relevante es que las simulaciones deben parecerse a situaciones reales.
Los participantes entrevistados valoraron más aquellos escenarios que se parecían a comunicaciones habituales dentro de su organización.
Esto tiene una consecuencia práctica.
Una empresa financiera debería simular, por ejemplo, situaciones relacionadas con pagos, proveedores, bancos o documentación financiera.
Una empresa industrial podría trabajar escenarios relacionados con órdenes de compra, mantenimiento, proveedores o acceso a sistemas operacionales.
Una organización de servicios podría utilizar situaciones relacionadas con clientes, contratos, facturación o plataformas colaborativas.
La conciencia mejora cuando el aprendizaje tiene relación directa con el trabajo cotidiano.
Visión experta de TiChile
La concientización en ciberseguridad debe considerarse una capacidad empresarial y no una actividad aislada del área de TI.
Desde una perspectiva de madurez digital, existen cinco dimensiones que deberían desarrollarse conjuntamente.
Personas
Los trabajadores necesitan conocer las amenazas, pero también desarrollar hábitos de verificación y reporte.
La capacitación debe adaptarse a los distintos perfiles de riesgo.
Un ejecutivo, un administrador de sistemas y un trabajador administrativo no enfrentan exactamente las mismas amenazas.
Procesos
Los procedimientos deben reducir la dependencia de decisiones individuales.
Una transferencia financiera de alto valor, por ejemplo, puede requerir validación independiente.
Tecnología
La tecnología debe complementar el comportamiento humano mediante MFA, protección de correo, gestión de identidades, EDR, monitoreo y controles de acceso.
Gobierno
La seguridad debe contar con responsables, políticas, indicadores y seguimiento ejecutivo.
Riesgo
Las simulaciones deben utilizarse para identificar áreas vulnerables y priorizar inversiones.
Este enfoque permite pasar de una cultura basada en “no cometer errores” hacia una cultura basada en detectar, reportar y contener rápidamente los errores.
La conexión con cloud y las nuevas arquitecturas empresariales
La transformación digital amplía la superficie de ataque.
Los usuarios acceden a aplicaciones desde múltiples ubicaciones y dispositivos. Las organizaciones almacenan información en plataformas cloud y delegan procesos críticos a proveedores externos.
Por ello, cloud & datacenter y ciberseguridad ya no pueden analizarse como disciplinas separadas.
La identidad se convierte en uno de los principales puntos de control.
Una empresa puede tener excelentes sistemas de infraestructura y, sin embargo, sufrir un incidente si un atacante obtiene las credenciales de un usuario con privilegios elevados.
La concientización debe estar integrada con esta realidad tecnológica.
¿Qué debería hacer una empresa hoy?
- Medir comportamiento y no solamente asistencia a capacitaciones.
- Implementar campañas de phishing simulado de manera periódica.
- Entregar feedback inmediato cuando sea apropiado.
- Adaptar las simulaciones a los distintos perfiles de riesgo.
- Incorporar escenarios relacionados con el negocio real.
- Medir la cantidad de usuarios que reportan amenazas.
- Analizar reincidencia y evolución individual o por área.
- Complementar la capacitación con MFA y controles de identidad.
- Establecer procedimientos claros para validar solicitudes sensibles.
- Entrenar también a ejecutivos y equipos directivos.
- Revisar periódicamente los resultados y modificar el programa.
- Evitar utilizar las simulaciones exclusivamente como mecanismo punitivo.
¿Por qué este tema importa para la madurez digital?
La madurez digital no consiste únicamente en incorporar nuevas tecnologías.
Una empresa digitalmente madura debe ser capaz de operar, protegerse y aprender.
Personas
Los colaboradores son parte activa del sistema de seguridad.
Procesos
Los procedimientos deben reducir la posibilidad y el impacto de los errores.
Tecnología
Las herramientas deben detectar y bloquear amenazas cuando el comportamiento humano falla.
Gobierno
La seguridad debe formar parte de las decisiones estratégicas y no quedar exclusivamente en manos del área técnica.
Riesgo
Los datos obtenidos de simulaciones y eventos reales deben utilizarse para priorizar inversiones y reducir exposición.
Este enfoque permite conectar la concientización con una estrategia integral de madurez digital.
La principal lección de esta investigación no es que las empresas deban realizar más cursos de ciberseguridad.
Es que deben diseñar mejores experiencias de aprendizaje y mejores sistemas de protección.
La diferencia es significativa.
La capacitación tradicional busca transmitir información. Una estrategia madura busca modificar comportamientos, medir resultados y combinar personas, procesos y tecnología.
En un escenario donde la inteligencia artificial permite crear ataques de ingeniería social cada vez más personalizados, esta evolución será todavía más necesaria.
Para las empresas chilenas, invertir en conciencia de ciberseguridad no debería entenderse solamente como una iniciativa de recursos humanos o cumplimiento. Debe formar parte de la estrategia de gestión del riesgo digital.
CTA final
Las organizaciones que quieran conocer su nivel actual de madurez y definir una hoja de ruta para fortalecer sus capacidades digitales y de seguridad pueden conversar con el equipo especializado de TiChile.
Contactar a TiChile para analizar las necesidades de su organización y avanzar hacia una estrategia de ciberseguridad alineada con sus objetivos de negocio.
