Haces clic, firmas y nada cambia: así fracasa la formación en seguridad
Cada año, millones de empleados realizan los mismos cursos sobre phishing, firman el mismo certificado y vuelven a sus ordenadores como si nada. Las casillas están marcadas, los jefes están satisfechos, pero los ciberataques siguen aumentando. Los investigadores en seguridad lo tienen claro: el problema no es la falta de formación, sino que la formación que se imparte es tan genérica y repetitiva que nunca provoca un verdadero cambio de comportamiento.
Formación como teatro
Imagina una empresa que cada año reúne a su personal frente a una pantalla, hace clic a través del mismo módulo sobre phishing, firma un certificado y luego vuelve a sus ordenadores como si nada. El jefe está satisfecho. La casilla está marcada. Pero, ¿es la organización más segura? Probablemente no.
Ese es el problema central que SecurityWeek destaca en un nuevo análisis sobre cómo funciona en la práctica la formación en seguridad. Y la respuesta es desalentadora: para la mayoría de las organizaciones, no funciona lo suficientemente bien.
Stefan Dasic, investigador de seguridad en Malwarebytes, señala el error fundamental: los programas de formación son repetitivos y genéricos. Los empleados reciben el mismo contenido, año tras año, en empresa tras empresa. Eso no crea un cambio de comportamiento, sino cansancio. Mike Lyman, consultor de seguridad en Black Duck, lo llama directamente formación como teatro: una actuación que produce listas de verificación completadas, pero nada más.
El cumplimiento normativo como motor, y como trampa
Una de las causas más profundas del problema es que la formación en seguridad se impulsa con demasiada frecuencia por el cumplimiento normativo, en lugar de por un interés genuino en proteger realmente a la organización. Robert Costello, responsable digital en Merlin Group, describe cómo las formaciones actuales rara vez reflejan la realidad en la que se encuentran las organizaciones: una realidad en la que los atacantes utilizan la IA para adaptar y ampliar sus ataques de formas que ningún módulo genérico puede abarcar.
Es una observación importante. Cuando la amenaza evoluciona en tiempo real pero la formación se actualiza una vez al año, surge una brecha peligrosa. La organización cree estar preparada. No lo está.
La formación funciona, pero solo para lo que cubre
Sería injusto afirmar que la formación en seguridad no sirve de nada. Drew Thompson, responsable de formación en UltraViolet Cyber, matiza la imagen: la formación funciona, pero únicamente para las situaciones concretas que se abordan. Esto no es un argumento contra la formación, sino a favor de hacerla más precisa, continua y adaptada a cada situación.
Aquí, como desarrollador de negocio, veo un patrón claro de otras etapas transformadoras de la economía: cuando un método deja de dar resultados, la respuesta rara vez es hacer más de lo mismo. Es hacer algo fundamentalmente distinto.
¿Qué debería hacerse de otra manera?
A partir del panorama general que ofrecen las voces del sector y de mi propia experiencia en el cambio organizativo, el camino a seguir apunta a tres prioridades:
1. De evento anual a aprendizaje continuo. La concienciación en seguridad no puede tratarse como un proyecto que se da por terminado. Debe ser una parte viva de la cultura organizativa, con recordatorios breves y frecuentes, ejemplos reales del propio sector y retroalimentación inmediata cuando se producen errores.
2. De lo genérico a lo contextual. Un empleado de contabilidad se enfrenta a amenazas distintas que un administrador de sistemas. La formación debe reflejar el puesto real y los riesgos reales a los que está expuesta cada persona. La IA hace hoy posible adaptar el contenido formativo de una manera que antes resultaba impracticable; irónicamente, podemos usar la IA para prepararnos mejor frente a los ataques impulsados por IA.
3. Del cumplimiento normativo a la cultura del riesgo. El cambio más profundo es cultural. Las organizaciones que tienen éxito construyen un entorno en el que el pensamiento de seguridad está interiorizado, y no es una exigencia externa del departamento jurídico. Eso requiere liderazgo, no solo formación.
Un despertar estratégico
Los ciberdelitos no aumentan porque el personal sea torpe o reacio. Aumentan porque los atacantes se adaptan más rápido que las defensas. Afrontar ese desafío con un plan de formación sin cambios de la década de 2010 no es una opción defendible; es una omisión estratégica.
Las organizaciones que se toman esto en serio e invierten en una cultura de seguridad verdaderamente renovada saldrán más fortalecidas. No solo frente a las amenazas de hoy, sino frente a las que todavía no han aparecido.