La empresa contrató el curso. Todos lo tomaron, firmaron la lista de asistencia y el auditor quedó contento. Dos meses después, alguien de administración abrió un adjunto que no debía. Nadie hizo nada mal según el manual: el curso se dio. El problema es lo que un curso no puede hacer.
Lo que un curso sí hace
Informa. Explica qué es el phishing, qué es el ransomware, por qué no se comparten contraseñas. Deja evidencia de que la empresa capacitó a su gente, y eso tiene valor: lo piden auditores y reguladores.
Pero informar y entrenar son cosas distintas. Nadie aprende a frenar un coche leyendo sobre frenos. Se aprende frenando, muchas veces, hasta que el pie se mueve solo.
Lo que un curso no puede hacer
No puede crear un hábito, porque un hábito se forma por repetición espaciada, no por una sesión de dos horas. No puede medir si alguien cambió de conducta, porque una evaluación al final del curso mide memoria, no comportamiento. Y no puede decirle a la dirección si el riesgo humano bajó este trimestre, porque no hay segunda medición con la que comparar.
Entonces, ¿qué sí lo puede hacer? Un programa. Y la diferencia está en tres cosas.
Uno: un tema por mes, no doce en una tarde
En el programa anual hay doce temas, uno por mes: cultura, phishing, ingeniería social, datos personales, contraseñas y MFA, ransomware, dispositivos, redes, fraude por correo, marca, continuidad e incidentes, y el repaso del año. Cada tema llega en piezas cortas (un video, una infografía, tips semanales, una trivia, un caso real) que caben en la semana laboral.
Un tema al mes se recuerda. Doce en una tarde se olvidan antes de salir del salón.
Dos: simulaciones sin aviso
Durante el año corren ocho tipos de simulación: correos falsos, llamadas, mensajes, códigos QR, sitios clonados, una memoria USB "perdida", un fraude por correo y una mesa de crisis con la dirección. Nadie sabe cuándo. Quien cae recibe una explicación en el momento, sin exhibirlo.
La simulación es el equivalente de frenar el coche. Es donde el conocimiento se vuelve reflejo. Y es, además, la única forma de medir lo que de verdad importa.
Tres: nueve indicadores que la dirección lee en cinco minutos
Participación, tasa de finalización, calificación promedio, tasa de clic en las simulaciones, tasa de reporte, riesgo por área, incidentes por error humano, el Índice de Cultura de Seguridad y el nivel de madurez. Cada mes, por área.
De los nueve, el que más importa es la tasa de reporte: cuántas personas avisaron de la simulación en vez de ignorarla o caer. Cuando ese número sube, la empresa deja de depender de que nadie se equivoque nunca, porque alguien siempre avisa.
Lo que cambia para la dirección
Con un curso, la dirección sabe que la gente fue capacitada. Con un programa, sabe si el riesgo humano de la empresa bajó este mes respecto al anterior, en qué área se concentra y qué simulación lo demostró. Es la diferencia entre tener un comprobante y tener un tablero.
Y para el auditor también cambia: el registro de un programa (temas, simulaciones, indicadores, evolución) es evidencia que piden ISO 27001, SOC 2 y varios reguladores, mucho más sólida que una lista de asistencia.
Preguntas frecuentes
¿Cuánto tiempo le quita a mi equipo cada mes?
Las piezas de cada campaña están pensadas para la semana laboral: un video corto, una infografía, tips, una trivia y una mini evaluación. Nadie sale de su puesto medio día.
¿Las simulaciones exhiben a quien cae?
No. Quien cae recibe una explicación en el momento, en privado. La medición es por área y el objetivo es que suba la tasa de reporte, no castigar.
¿Sirve como evidencia para una auditoría?
Sí. El registro de temas, simulaciones e indicadores es evidencia que piden ISO 27001, SOC 2 y varios reguladores.