Capacitación en ciberseguridad: cómo elegir formación según cada equipo

La capacitación en ciberseguridad es una de las inversiones más visibles de un programa de seguridad, y también una de las más fáciles de medir mal. Un curso anual con asistencia completa genera un buen indicador de cumplimiento, pero dice poco sobre si las personas reconocen un correo fraudulento, si el área de finanzas verifica un cambio de cuenta bancaria o si la dirección sabe qué decidir durante un incidente. Elegir bien la formación empieza por reconocer que cada equipo enfrenta riesgos distintos y necesita aprender cosas diferentes.

Para la gerencia general, el objetivo es claro: que la capacitación cambie decisiones y hábitos concretos, y que ese cambio pueda comprobarse.

La formación se gestiona como un programa con ciclo de vida

La publicación del NIST Building a Cybersecurity and Privacy Learning Program (SP 800-50 Rev. 1, septiembre de 2024) propone gestionar la formación como un programa con ciclo de vida: planificar, desarrollar, implementar, evaluar y mejorar. La guía distingue entre concienciación, dirigida a todo el personal; capacitación basada en roles, para quienes tienen responsabilidades específicas; y educación especializada, para profesionales de seguridad.

NIST subraya que el programa debe promover cambios de comportamiento como parte de la gestión del riesgo y contribuir a una cultura de seguridad y privacidad. También incluye métricas y métodos de evaluación para ajustar el programa a medida que cambian las necesidades. Aunque fue escrita para agencias federales de Estados Unidos, su estructura es aplicable a empresas de cualquier tamaño.

Cada equipo necesita una formación distinta

La dirección necesita entender los riesgos que afectan al negocio y su papel en una crisis: qué decisiones le corresponden durante un incidente, cómo se comunica con clientes y reguladores, qué preguntas hacer al equipo técnico y cómo evaluar las inversiones en seguridad. Para este grupo funcionan mejor las sesiones breves basadas en escenarios que los cursos técnicos.

El personal general necesita reconocer y reportar señales de riesgo: correos de suplantación, solicitudes urgentes inusuales, dispositivos perdidos o información compartida por error. El mensaje más importante es cómo reportar rápido y sin temor a una sanción, porque un reporte temprano reduce el impacto de un incidente.

Las áreas con funciones críticas requieren formación según su rol. Finanzas debe dominar la verificación de pagos y cambios de cuentas fuera del correo. Recursos humanos maneja datos personales y procesos de alta y baja de accesos. Atención al cliente enfrenta intentos de suplantación por teléfono. Cada área necesita ejemplos de su propio trabajo.

Los equipos de tecnología y seguridad necesitan formación técnica y actualización constante en las herramientas, amenazas y prácticas de su especialidad, incluidas certificaciones cuando el puesto lo justifica.

Indicadores que muestran si la formación funciona

La asistencia y las calificaciones de un examen muestran participación. Para saber si la formación cambia hábitos, conviene observar indicadores de comportamiento:

• Tasa de reporte de correos sospechosos y tiempo entre recepción y reporte.
• Resultados de simulaciones de suplantación a lo largo del tiempo, con el mismo nivel de dificultad.
• Cumplimiento de procedimientos críticos, como la verificación de cambios de cuenta bancaria.
• Desempeño de la dirección en ejercicios de mesa sobre incidentes.
• Incidentes en los que el error humano fue un factor, y su evolución.

Ningún indicador aislado demuestra una reducción del riesgo, y conviene leerlos en conjunto y en el tiempo. Las simulaciones, además, deben usarse para aprender: un enfoque punitivo hacia quien cae en una prueba puede desalentar los reportes, que es justamente lo que la empresa necesita aumentar.

Qué pedir a un proveedor de formación

Al evaluar opciones, la dirección puede pedir que el proveedor explique cómo adapta el contenido a cada rol, en qué idioma y con qué ejemplos locales, con qué frecuencia actualiza los materiales, qué indicadores entrega además de la asistencia y cómo se integra con los procesos internos de reporte. Una muestra del contenido para la dirección y otra para finanzas permiten comparar propuestas con criterios concretos.

La capacitación cumple su propósito cuando cada equipo sabe qué hacer en las situaciones que enfrenta en su trabajo. Medirla por los hábitos que cambia permite a la dirección saber qué está comprando y ajustar la inversión cada año.