Octubre se presenta cada año como una oportunidad para hablar de ciberseguridad con toda la organización. Sin embargo, una campaña de concienciación no debería limitarse a enviar un curso, publicar un cartel o recordar que no hay que abrir enlaces sospechosos. El objetivo es más ambicioso: ayudar a que las personas tomen mejores decisiones digitales dentro de su trabajo habitual.
La seguridad empresarial depende de controles técnicos, procesos, proveedores y capacidades de respuesta, pero también de comportamientos cotidianos. Una persona que verifica una solicitud inusual, informa de un error a tiempo o evita compartir información sensible en una herramienta no autorizada puede contribuir a reducir la exposición de la compañía. No se trata de convertir a toda la plantilla en especialista, sino de hacer que la opción segura sea clara, práctica y asumible.
Concienciar no es culpabilizar
Uno de los errores más frecuentes consiste en presentar a los empleados como el eslabón débil de la seguridad. Esta visión puede generar silencio, miedo a comunicar incidentes y una relación defensiva con los equipos de seguridad. Además, ignora que muchas decisiones inseguras se producen porque los procesos son confusos, las herramientas no acompañan o las prioridades del negocio favorecen la rapidez.
Una campaña eficaz debe transmitir que la seguridad es una responsabilidad compartida y que informar pronto es una conducta positiva. Si alguien ha pulsado un enlace, ha enviado un documento a un destinatario equivocado o sospecha que una cuenta puede estar comprometida, la organización necesita que lo comunique sin temor a represalias injustificadas.
Una cultura de seguridad madura no espera que nadie cometa errores; prepara a la organización para detectarlos, comunicarlos y aprender de ellos.
Esto no elimina la responsabilidad individual ni justifica incumplimientos deliberados. Significa distinguir entre una conducta negligente, una decisión tomada con información incompleta y un proceso empresarial que facilita el error.
Conectar la campaña con el riesgo real
Antes de elegir contenidos, conviene identificar qué situaciones representan una amenaza especialmente relevante para la empresa. No todas las organizaciones tienen la misma exposición ni las mismas necesidades. Una compañía con una elevada actividad comercial puede priorizar el fraude en pagos y la suplantación de proveedores. Una entidad sanitaria puede centrarse en la protección de datos personales y la disponibilidad de sus sistemas. Una empresa industrial puede prestar más atención al acceso remoto, los dispositivos conectados y la continuidad operativa.
La información para definir prioridades puede proceder de varias fuentes:
- Incidentes y casi incidentes registrados durante el último año.
- Consultas recibidas por el soporte técnico o el equipo de seguridad.
- Resultados de auditorías, revisiones internas y evaluaciones de riesgos.
- Cambios en procesos, herramientas, proveedores o modelos de trabajo.
- Diferencias entre las necesidades de cada área, perfil profesional o ubicación.
A partir de ahí, es preferible seleccionar pocos comportamientos prioritarios y explicarlos con ejemplos concretos. Por ejemplo, no basta con recomendar proteger la información: conviene aclarar qué documentos no deben cargarse en servicios no aprobados, cómo compartir archivos con terceros o dónde comunicar una pérdida de dispositivo.
Diseñar mensajes que puedan aplicarse
Los mensajes genéricos suelen perder eficacia cuando no responden a situaciones reales. Una recomendación útil debe indicar qué se espera de la persona, cuándo debe aplicarlo y qué hacer si tiene dudas.
En lugar de decir “ten cuidado con los correos”, puede explicarse: “si recibes una solicitud urgente para cambiar una cuenta bancaria, confirma la petición mediante un canal independiente y utiliza el procedimiento de validación establecido”. En vez de afirmar “protege tus contraseñas”, es más útil recordar que no deben reutilizarse, que no deben compartirse y que cualquier indicio de compromiso debe comunicarse de inmediato.
La comunicación puede combinar distintos formatos:
- Mensajes breves en los canales de trabajo habituales.
- Vídeos cortos o demostraciones adaptadas a las tareas de cada equipo.
- Guías de una página para decisiones frecuentes.
- Sesiones con preguntas y respuestas, sin convertirlas en clases exclusivamente teóricas.
- Recordatorios asociados a momentos concretos, como cierres contables, campañas comerciales o viajes.
- Simulaciones y ejercicios controlados, siempre con objetivos formativos y criterios claros.
La repetición es importante, pero no debe convertirse en ruido. Variar los ejemplos y vincularlos a situaciones que la plantilla reconoce ayuda a mantener la atención.
Dar un papel visible a la dirección
La concienciación pierde credibilidad si la dirección habla de seguridad, pero después pide saltarse controles para acelerar una operación. Los equipos directivos deben mostrar que la protección de la información forma parte de la forma normal de trabajar, no de una lista de obstáculos reservada al departamento de TI.
La participación puede ser sencilla: abrir una sesión, explicar por qué el tema es relevante para el negocio, compartir una expectativa concreta o recordar que informar de un incidente es preferible a ocultarlo. También es importante que los responsables conozcan sus propias obligaciones: aprobar excepciones con criterio, proteger la información que manejan y respetar los procesos de verificación.
Los mandos intermedios tienen un papel especialmente relevante. Son quienes pueden traducir los mensajes generales a las tareas diarias y detectar cuándo una norma no encaja con la operativa real. Si una instrucción resulta difícil de cumplir, deben poder trasladarlo para que se revise el proceso, en lugar de asumir que el incumplimiento es únicamente un problema de actitud.
Medir algo más que la asistencia
Registrar cuántas personas han completado un curso puede ser útil para conocer el alcance de una acción, pero no demuestra por sí solo que haya mejorado la seguridad. Las métricas deben ayudar a saber si la organización entiende los riesgos, aplica las medidas y responde mejor.
Algunos indicadores posibles son:
- Tiempo medio entre la detección de una situación sospechosa y su comunicación.
- Porcentaje de empleados que sabe dónde reportar un incidente.
- Evolución de los errores en procesos sensibles, como pagos o gestión de accesos.
- Participación y resultados de ejercicios prácticos, interpretados con prudencia.
- Número de consultas recibidas sobre una campaña o procedimiento.
- Mejoras realizadas en procesos a partir de los comentarios de los usuarios.
- Diferencias de comportamiento entre áreas, perfiles y niveles de responsabilidad.
Estas métricas deben utilizarse para mejorar, no para señalar públicamente a personas o equipos. Los ejercicios de simulación, por ejemplo, deben diseñarse de forma proporcional, proteger la confianza y evitar recopilar más información de la necesaria.
Evitar una campaña aislada
Octubre puede servir como punto de lanzamiento, pero la seguridad no cambia por una iniciativa de cuatro semanas. La campaña debería integrarse en el ciclo de vida del empleado y en los procesos de negocio. Una persona recién incorporada necesita orientación desde el primer día; quien cambia de puesto puede requerir formación distinta; y los equipos que manejan información sensible necesitan recordatorios y controles específicos.
También conviene revisar si las políticas son comprensibles. Una norma extensa, contradictoria o difícil de encontrar no ayuda a tomar decisiones rápidas. La documentación debe indicar qué está permitido, qué requiere aprobación, cómo se solicita una excepción y a quién acudir cuando existe incertidumbre.
La concienciación tampoco sustituye a los controles técnicos y organizativos. La autenticación resistente, la gestión adecuada de permisos, las copias recuperables, la segmentación, la supervisión y los planes de respuesta siguen siendo necesarios. La formación puede reducir errores y mejorar la detección, pero no elimina el riesgo ni compensa por sí sola una arquitectura deficiente.
Acciones concretas para este octubre
Una organización puede iniciar la campaña con un alcance realista y ampliarlo en función de los resultados. Un plan práctico podría incluir:
- Elegir dos o tres comportamientos prioritarios basados en riesgos observados.
- Identificar a las personas responsables de comunicación, contenidos, soporte y seguimiento.
- Preparar ejemplos específicos para dirección, mandos, áreas operativas y personal externo.
- Explicar con claridad cómo reportar un incidente y comprobar que el canal funciona.
- Revisar un proceso especialmente sensible, como los cambios de proveedores o el acceso de terceros.
- Recoger dudas y obstáculos de la plantilla para corregir procedimientos, no solo para crear nuevos mensajes.
- Compartir resultados agregados y compromisos de mejora al finalizar la campaña.
- Programar recordatorios y revisiones para los meses siguientes.
El éxito no consiste en que octubre genere más comunicaciones, sino en que deje capacidades instaladas. Las personas deben saber reconocer situaciones de riesgo, actuar con criterio y pedir ayuda a tiempo. La empresa, por su parte, debe escuchar, simplificar y reforzar los controles que hagan posible trabajar de forma segura.
La mejor campaña de concienciación es la que sigue influyendo en las decisiones cuando ya han desaparecido los carteles y los correos.
Octubre puede ser el comienzo de una conversación más madura sobre ciberseguridad: menos centrada en el miedo y más orientada a la responsabilidad, la resiliencia y la mejora continua. Para que esa conversación produzca resultados, debe conectar con el negocio, contar con el respaldo de la dirección y convertirse en hábitos observables durante todo el año.
