La concientización es el conjunto de actividades destinadas a que las personas de una organización reconozcan las situaciones de riesgo y sepan qué hacer con ellas. No es capacitación técnica: es cambiar una conducta bajo presión, normalmente la de alguien apurado que recibe un correo que parece legítimo.
Importa porque el factor humano sigue siendo la vía de entrada más frecuente. Y sin embargo es el control en el que más se invierte mal: se compra un curso, se marca como hecho y el problema se da por resuelto.
Por qué la mayoría no funciona
- Es anual
- Una sesión al año no sostiene un hábito. A las pocas semanas el contenido se olvidó, y los ataques cambian de forma más rápido que eso.
- Es genérica
- Un video sobre contraseñas seguras no prepara para el correo del supuesto gerente pidiendo una transferencia urgente un viernes a las seis. La gente reconoce lo que ha visto en su propio contexto, no lo abstracto.
- Mide asistencia, no comportamiento
- El indicador habitual es cuántos completaron el curso. Ese número no dice nada sobre si alguien caería en un engaño real, que es lo único que importa.
- Castiga en vez de facilitar
- Cuando reportar un correo sospechoso expone a quedar en ridículo, la gente deja de reportar. Y el reporte temprano es justamente lo que reduce el daño.
Qué sí cambia el comportamiento
Frecuencia por sobre duración. Instancias breves y periódicas —minutos, cada pocas semanas— rinden más que una jornada completa una vez al año. El objetivo es mantener el tema presente, no transferir conocimiento.
Ejemplos propios. Usar los casos que efectivamente le llegan a la empresa, con sus proveedores y su forma de trabajar, funciona mucho mejor que material genérico. Un intento de fraude dirigido a esa empresa en particular enseña más que cualquier presentación.
Y un canal de reporte que sea fácil y sin costo social: una dirección de correo, un botón, alguien a quien preguntar. La métrica que vale la pena seguir no es cuántos aprobaron el curso, es cuántos reportan — y que ese número suba es una buena señal, no una mala.
El caso de las simulaciones
Las campañas de phishing simulado son útiles, pero se usan mal con frecuencia. Si el objetivo es descubrir quién cae para exponerlo, el efecto es que la gente deja de confiar en el área que las envía.
Bien planteadas son una medición, no una trampa: sirven para saber en qué estado está la organización y para dar retroalimentación inmediata a quien hizo clic, sin consecuencias. Un programa que combina simulaciones con reportes fáciles suele bajar la tasa de clics de forma sostenida; uno que solo mide y castiga la baja durante un mes y después vuelve.
Cómo medir la concientización en ciberseguridad
Medir cuántos completaron el curso es fácil y no sirve. Estos indicadores sí dicen si el programa está cambiando la conducta:
- Tasa de reporte
- Cuántos correos sospechosos reenvía la gente al canal definido, cada mes. Que suba es la mejor señal de que el programa funciona.
- Tiempo hasta el primer reporte
- En una simulación o en un ataque real, cuántos minutos pasan hasta que alguien avisa. Es el indicador que más se relaciona con el daño evitado, porque define cuánto alcanza a avanzar un engaño antes de que se corte.
- Tasa de clics en simulaciones
- Qué porcentaje hace clic en un phishing simulado. Importa su tendencia a lo largo de varias campañas, no el resultado de una sola.
- Credenciales entregadas
- De quienes hicieron clic, cuántos llegaron a escribir su usuario y contraseña. Distingue un descuido de un engaño completo.
- Cobertura de la gerencia
- Si los cargos directivos participan. Son el blanco preferido del fraude dirigido.
La primera simulación sirve de línea base. Desde ahí, lo que se reporta a la gerencia es la evolución, no una foto aislada.
Cómo armar un plan de concientización y elegir una herramienta
Un plan de concientización para una empresa mediana cabe en una página:
- Línea base
- Una primera simulación de phishing para saber de dónde se parte.
- Públicos
- Toda la empresa recibe lo básico. Finanzas, gerencia y quienes atienden proveedores reciben además los casos de fraude dirigido, porque son su blanco habitual.
- Calendario
- Sesiones breves cada cuatro a ocho semanas y simulaciones trimestrales, con fechas fijas y tiempo laboral autorizado.
- Contenido
- Casos reales que le llegaron a la propia empresa o a su rubro, no material genérico.
- Canal de reporte
- Una dirección o un botón para reenviar lo sospechoso, y una respuesta rápida a quien reporta.
- Registro
- Fechas, asistentes, contenidos y resultados. Es la evidencia que piden la ley y los clientes.
La herramienta viene después del plan, no al revés. Las plataformas de concientización resuelven bien la parte repetitiva: enviar simulaciones, asignar módulos y llevar el registro. Al elegir una para una empresa chilena conviene revisar cuatro cosas: que el contenido esté en español y tenga casos locales, que permita simulaciones con plantillas propias, que el reporte sea de un solo clic y que los registros se puedan exportar como evidencia. Una plataforma sin plan termina en el escenario de la primera empresa del ejemplo: un cumplimiento alto y nadie que sepa a quién avisar.
Cómo se conecta con la norma chilena
La Ley 21.719 exige medidas técnicas y organizativas, y la concientización es de las pocas medidas claramente organizativas que una empresa puede acreditar con registros: fechas, asistentes, contenidos, resultados de simulaciones.
La Ley 21.663 es todavía más explícita: los Operadores de Importancia Vital deben contar con programas de capacitación, formación y educación continua de sus trabajadores y colaboradores, que incluyan campañas de ciberhigiene (art. 8°, letra h). La palabra que pesa es "continua": una charla anual difícilmente la cumple.
Ese registro cumple una segunda función bastante concreta: los cuestionarios de seguridad de clientes corporativos casi siempre preguntan por capacitación del personal, y tenerla documentada es la diferencia entre responder con evidencia o responder que sí de palabra.
Dónde suele aparecer primero
Dos programas, un año después
Dos empresas del mismo tamaño invierten un presupuesto parecido en concientización.
La primera contrata una plataforma con cursos, los asigna en enero y reporta 94% de cumplimiento. En octubre alguien transfiere fondos tras recibir un correo que suplantaba a un proveedor conocido. Nadie lo reportó antes porque nadie sabía a quién avisar.
La segunda hace sesiones de quince minutos cada seis semanas con casos reales que le llegaron, y habilitó una dirección para reenviar lo sospechoso. Su tasa de reporte pasó de dos a veintitrés correos al mes. Uno de esos reportes fue el mismo fraude del proveedor, detectado antes de que alguien pagara.
Lo que la gerencia tiene que decidir
La concientización funciona o fracasa según cómo la enmarque la gerencia, no según qué plataforma se contrate.
- 01
¿Reportar tiene consecuencias para quien reporta?
Es la decisión que más determina el resultado. Si equivocarse expone a una sanción o a la burla, la gente deja de avisar, y el reporte temprano es lo que reduce el daño.
- 02
¿Qué se mide y qué se comunica?
Medir asistencia no dice nada. Medir tasa de reporte y tiempo hasta el primer aviso sí, y comunicar que el objetivo es reportar más cambia el incentivo por completo.
- 03
¿Participa la gerencia o solo el resto?
Los cargos directivos son el objetivo preferido del fraude dirigido, y suelen ser los que se eximen de las capacitaciones. Si la gerencia no participa, el mensaje es que esto es un trámite.
- 04
¿Cuánto tiempo laboral se autoriza?
Sesiones breves y frecuentes requieren interrumpir la operación de forma periódica. Sin esa autorización explícita, el programa se posterga hasta desaparecer.
Cómo lo abordamos en Brumaz
Cómo trabaja Brumaz este concepto
La concientización trimestral es parte de Brumaz vCISO Essential: instancias breves con foco en los riesgos que efectivamente enfrenta esa empresa, incluidos los ataques con voz e inteligencia artificial que ya se ven en Chile. No reemplaza una capacitación formal extensa; es mantención de higiene básica, con registro para acreditarla.
Ver qué incluye cada tramoRecibe esta guía en PDF
El mismo contenido, con formato para leerla en el celular, imprimirla o compartirla con tu equipo. Te llega por correo en un minuto.
Preguntas frecuentes
¿Cada cuánto conviene hacer las sesiones?
¿Sirven las campañas de phishing simulado?
¿Cómo demuestro ante un cliente que capacito a mi gente?
Fuentes
Este contenido es informativo y no constituye asesoría legal ni técnica personalizada.
Sobre el autor
Fundador, Brumaz
Once años en redes, infraestructura y seguridad. Esa base técnica es la que sostiene la dirección de riesgo: no recomienda un control que no sepa verificar, ni pide evidencia que no sepa leer.
- Ingeniero Civil en Telecomunicaciones (Universidad de Concepción)
- Diplomado en Data Science (Universidad Adolfo Ibáñez)
- Certificaciones en ciberseguridad y en soluciones Fortinet y WatchGuard
- Implementador de Sistemas de Gestión Integrados usando Inteligencia Artificial (Diplomados en Ciberseguridad)
Seguir leyendo