TÉCNICO-GERENCIAL · CULTURA DE SEGURIDAD · CONCIENTIZACIÓN
Ayer planteé que llamar al usuario "el eslabón más débil" es una narrativa que libera a la organización de responsabilidad. Hoy quiero ir al paso siguiente: si aceptamos que la cultura de seguridad es una responsabilidad organizacional, no un defecto individual, ¿qué significa tener un programa de concientización que realmente cambie comportamiento? ¿Y cómo se demuestra que está funcionando?
Porque hay una brecha significativa entre tener un programa de concientización y tener un programa que cambia comportamiento. Esa brecha empieza por cómo se mide el programa.
EL PROBLEMA DE MEDIR ACTIVIDAD EN LUGAR DE COMPORTAMIENTO
La mayoría de los programas de concientización de seguridad que he visto reportan las mismas métricas: porcentaje de empleados que completaron el módulo de capacitación anual, tasa de clics en el simulacro de phishing del trimestre, nota promedio en la evaluación del curso. Esos números son fáciles de obtener, fáciles de presentar en un dashboard, y fundamentalmente insuficientes para demostrar que algo cambió.
Un empleado puede completar el curso, sacar 90 en la evaluación, y al día siguiente hacer clic en un enlace malicioso porque el contexto real del ataque no se parece al escenario del módulo de capacitación. La tasa de clics en simulacros de phishing mide qué tan bien los usuarios reconocen los correos de phishing que el equipo de TI diseñó, no qué tan bien reconocen los que diseñaron atacantes reales con recursos y contexto específico de la organización.
Esas métricas miden que el programa ocurrió. No miden que el programa funcionó. Y la diferencia importa porque es la que determina si el programa puede justificar su presupuesto y obtener el respaldo para evolucionar.
LAS MÉTRICAS QUE SÍ MIDEN CAMBIO
Un programa de concientización que cambia comportamiento tiene indicadores distintos, más difíciles de obtener y más significativos.
La tasa de reporte de incidentes por parte de usuarios es quizás la más valiosa. Cuando los usuarios reportan activamente correos sospechosos, situaciones anómalas o errores que cometieron, es señal de que la cultura de seguridad está funcionando. No porque los usuarios sean perfectos, sino porque entienden que reportar es parte de su rol. Un programa que aumenta la tasa de reporte está produciendo el comportamiento más valioso para la seguridad organizacional: visibilidad temprana sobre amenazas y errores antes de que escalen.
El tiempo entre incidente y reporte es la métrica complementaria. Si los usuarios reportan más pero lo hacen días después del evento, el valor para la respuesta a incidentes es limitado. Si reportan en minutos u horas, la organización puede actuar antes de que el daño se extienda. Esa velocidad de reporte es un indicador directo de si los usuarios perciben la seguridad como urgente y como parte de su responsabilidad.
La tendencia de reincidencia por área es otro indicador concreto. Si determinadas áreas o perfiles de usuario tienen una incidencia repetida de comportamientos de riesgo, ya sea caer en simulacros de phishing, usar contraseñas débiles, o compartir credenciales, eso indica que el programa general no está llegando a esos segmentos con la efectividad necesaria. La reincidencia es el diagnóstico que permite personalizar la intervención.
La reducción de incidentes atribuibles a error humano es la métrica de resultado final. Es más difícil de aislar porque los incidentes dependen de múltiples factores, pero en organizaciones con registros históricos se puede estimar si la proporción de incidentes relacionados con comportamiento humano está disminuyendo. Esa tendencia, aunque imperfecta, es el argumento más directo para demostrar valor.
¿POR QUÉ EL CURSO ANUAL NO ES UN PROGRAMA?
El formato más frecuente de concientización en organizaciones medianas es el curso anual obligatorio: un módulo o una serie de módulos que todos los empleados deben completar una vez al año, generalmente con una evaluación al final, y que produce el porcentaje de completación que aparece en el reporte de cumplimiento.
Ese formato tiene utilidad como línea de base: asegura que todos los empleados hayan tenido contacto mínimo con los conceptos de seguridad básicos. Lo que no puede hacer es cambiar comportamiento de forma sostenida. El comportamiento cambia con exposición repetida, con práctica en contextos relevantes, con retroalimentación específica, y con un entorno organizacional que refuerza los comportamientos correctos. Nada de eso ocurre en un módulo anual de 45 minutos.
Un programa que cambia comportamiento tiene al menos tres componentes que el curso anual no puede cubrir solo. Primero, comunicación continua y contextualizada: recordatorios frecuentes, alertas sobre amenazas actuales relevantes para la organización, ejemplos de situaciones reales del sector. Segundo, práctica en condiciones cercanas a las reales: simulacros de phishing con escenarios actualizados y relevantes para el contexto de negocio específico, no plantillas genéricas. Tercero, retroalimentación personalizada: cuando un empleado cae en un simulacro o comete un error, la respuesta tiene que ser formativa y específica al comportamiento que falló, no una notificación genérica de que "hizo clic en un enlace de phishing."
ERROR COMÚN
Usar la tasa de clics en simulacros de phishing como la métrica principal del programa de concientización y optimizar el programa para reducir esa tasa. El problema es que una tasa de clics baja en simulacros puede lograrse entrenando a los usuarios para reconocer los indicadores específicos de los simulacros del equipo de TI, sin que eso se traduzca en mejor reconocimiento de phishing real. El objetivo no es que los usuarios no caigan en los simulacros. Es que desarrollen criterio para evaluar comunicaciones sospechosas en cualquier contexto.
¿CÓMO SE PRESENTA ESTO A LA GERENCIA?
La conversación ejecutiva sobre concientización de seguridad tiende a quedarse en el plano del cumplimiento: "el X% de los empleados completó el curso anual." Esa métrica satisface una obligación pero no informa una decisión.
La conversación que produce decisiones tiene otros datos: cuántos incidentes del último período tuvieron un componente de error humano, cuál es la tendencia de reporte voluntario por parte de usuarios, qué áreas tienen mayor reincidencia y qué intervención diferenciada se propone para ellas. Esos datos convierten el programa de concientización en una conversación de gestión de riesgo, no de cumplimiento administrativo.
DECISIÓN QUE DEBE TOMAR EL CIO
Revisar qué métricas está reportando el programa de concientización actual. Si todas las métricas disponibles miden actividad (completación, asistencia, clics en simulacros) y ninguna mide comportamiento (tasa de reporte, tiempo de reporte, reincidencia por área), el programa no puede demostrar impacto. La decisión no es necesariamente invertir más: es cambiar qué se mide para que el programa pueda justificar lo que ya se invierte.
Si el programa de concientización de tu organización no puede responder cuánto aumentó la tasa de reporte de incidentes en el último año, ni cuánto se redujo la reincidencia en las áreas de mayor riesgo, el programa está midiendo que ocurrió, no que funcionó. Y esa diferencia es exactamente la que la gerencia necesita poder distinguir.
Artículo núcleo de la semana: Dejemos de llamar al usuario "el eslabón más débil". Mañana: ingeniería social más allá del phishing por correo.
#CulturaDeSeguridad #Concientización #SecurityAwareness #Ciberseguridad #CIO #ITManager #GestiónDeRiesgos #FactorHumano #Phishing #TechCorpLatam #CyberLeadership #Liderazgo #Chile #NISTCSF #ISO27001
Comentarios
Publicar un comentario