Manuela Muñoz. responsable sénior de Cuentas Estratégicas en Proofpoint para España y Portugal.
Muchas organizaciones siguen midiendo el éxito de los programas de concienciación sobre seguridad mediante métricas de participación y finalización, sin evaluar si realmente contribuyen a reducir los comportamientos de riesgo. Como consecuencia, estas formaciones obligatorias continúan percibiéndose como poco eficaces, ya que los empleados siguen haciendo clic en enlaces de phishing o facilitando, sin darse cuenta, ataques de compromiso del correo electrónico corporativo (BEC).
Centrarse únicamente en el cumplimiento normativo supone perder de vista el verdadero objetivo. Cuando la concienciación en seguridad se entiende como un componente del riesgo humano, sus resultados dependen del contexto. La carga de trabajo, el puesto, el nivel de acceso, la presión del tiempo o las prioridades contrapuestas condicionan la toma de decisiones y crean las circunstancias en las que prosperan muchas tácticas de ingeniería social.
Estos ataques no tienen éxito porque los sistemas fallen, sino porque explotan respuestas humanas predecibles en situaciones cotidianas.
De hecho, el error humano sigue siendo la principal vulnerabilidad para las organizaciones, según los CISO, incluso cuando los empleados conocen las buenas prácticas de ciberseguridad. Esta desconexión demuestra que la concienciación, por sí sola, no basta. Ignorar esta realidad implica desconocer dónde es necesario reforzar el apoyo, la formación y los controles para cerrar la brecha entre el conocimiento y el comportamiento.
Sin comprender a las personas, sus conductas y el contexto en el que actúan, incluso la infraestructura de seguridad más sofisticada tendrá dificultades para reducir el riesgo de origen humano.
Para superar las limitaciones de la capacitación tradicional, las organizaciones deben abandonar los enfoques uniformes y avanzar hacia una verdadera resiliencia humana. Esto implica seguir una evolución por etapas que permita dejar atrás las formaciones obligatorias y una concienciación meramente reactiva.
El primer nivel se basa en el cumplimiento, donde la formación es homogénea para todos y el éxito se mide únicamente por la finalización de los cursos, sin gestionar realmente el riesgo. A continuación aparece la fase de observación, que incorpora simulaciones de amenazas y métricas de notificación, aunque las intervenciones siguen siendo generalizadas.
En un tercer nivel, centrado en el refuerzo, se introducen el microaprendizaje y las alertas contextuales para influir en el comportamiento. Posteriormente, en la fase de alineación, las acciones se adaptan a los distintos perfiles, roles y niveles de exposición a las amenazas, lo que permite priorizar las intervenciones.
Finalmente, en el nivel de resiliencia, la inteligencia del comportamiento y la gestión del riesgo humano quedan plenamente integradas en la gobernanza y la supervisión de la organización.
Este modelo de cinco etapas pone de manifiesto una realidad evidente: la mayoría de las organizaciones permanecen estancadas en los tres primeros niveles, donde este desafío sigue abordándose como una cuestión exclusivamente educativa, en lugar de tratarse como un riesgo dinámico que requiere supervisión continua e integración en la operativa diaria.
Incluso quienes alcanzan el cuarto nivel siguen encontrando limitaciones, ya que continúan dependiendo en gran medida de la comunicación y de controles homogéneos, lo que genera frustración cuando se produce cualquier incidente.
Cuando la resiliencia humana pasa a formar parte de la estrategia de seguridad, las señales de riesgo conductual orientan tanto los controles técnicos como la toma de decisiones estratégicas. Ese es el verdadero punto de inflexión para cualquier organización: el debate deja de centrarse en si la formación funciona y pasa a preguntarse si la empresa dispone de una estrategia de resiliencia integrada capaz de responder a las amenazas actuales.
Se trata de una diferencia fundamental para identificar con precisión dónde conviene invertir los recursos de ciberseguridad.
La concienciación en seguridad sigue siendo un elemento esencial, pero no puede asumir por sí sola toda la responsabilidad de la gestión del riesgo humano. Para reducir ese riesgo de forma significativa, las organizaciones necesitan un marco que conecte el comportamiento de las personas, el contexto y las señales de amenaza con los controles y las decisiones que sustentan la seguridad cotidiana.
La verdadera resiliencia humana no consiste únicamente en formar mejor a los empleados, sino en construir un modelo integrado de reducción del riesgo capaz de resistir las presiones del mundo real.
*** Manuela Muñoz es responsable sénior de Cuentas Estratégicas en Proofpoint para España y Portugal.