Cómo hacer que el Mes de la Concienciación sobre Ciberseguridad sea pertinente para todos los empleados

Cada octubre, el Mes de la Concienciación sobre Ciberseguridad brinda a las organizaciones una valiosa oportunidad para unir a las personas en torno a la ciberseguridad. Se lanzan campañas, aparecen carteles y los equipos se esfuerzan enormemente por involucrar a los empleados. Sin embargo, siempre me ha parecido más interesante preguntarme qué ocurre después, cuando todo el mundo vuelve a su rutina y tiene que tomar decisiones sin tener un recordatorio delante.

Como gestora de éxito del cliente sénior en SoSafe, veo lo difícil que puede ser lograr que la concienciación tenga un significado para todos los empleados. Las organizaciones quieren llegar a todo el mundo, a menudo con muy poco tiempo de preparación, pero sus empleados tienen rutinas laborales muy diferentes. Y comprender esas diferencias puede revelar oportunidades que, de otro modo, una campaña planificada de forma centralizada pasaría por alto.

Un mensaje común necesita espacio para realidades distintas

Piensa en alguien que trabaja en finanzas, un compañero en la planta de producción y un empleado que viaja por las instalaciones de los clientes. Todos ellos pueden enfrentarse a la ingeniería social, pero las situaciones que viven y su forma de acceder a la información pueden ser muy distintas.

Creo que un buen punto de partida es encontrar el equilibrio adecuado entre la coherencia central, la pertinencia local y la participación activa.

Un marco centralizado ayuda a evitar los mensajes fragmentados y establece las mismas expectativas de ciberseguridad para todos. Después, los equipos locales pueden adaptar la experiencia para que se ajuste a su entorno de trabajo. Una charla sobre phishing podría encajar de forma natural en una reunión de oficina, mientras que un breve ejercicio visual durante un cambio de turno podría ser más accesible en otros lugares.

Tener un estándar de ciberseguridad común no significa que todo el mundo deba aprenderlo de la misma manera. A veces, la aportación más útil que puede hacer un equipo local es explicar cuándo es más probable que los empleados se enfrenten a un riesgo y qué podría impedirles reaccionar como se espera.

Esos detalles nos ayudan a diseñar la concienciación en torno a la forma en que se trabaja realmente.

Exploramos otro enfoque en la campaña ECSM 2026 de SoSafe, que incluía episodios cortos de pódcast tanto en alemán como en inglés. Los episodios tuvieron muy buena acogida y ofrecieron a los usuarios otra forma de explorar los temas de la campaña en el idioma con el que se sintieran más cómodos.

Empieza por situaciones que la gente ya entienda

Algunas de las mejores oportunidades para hablar de ciberseguridad surgen de las experiencias cotidianas. La mayoría escaneamos códigos QR sin dudarlo demasiado, ya sea para pagar el aparcamiento o para abrir la carta de un restaurante. Es una forma sorprendentemente natural de iniciar una conversación sobre la confianza, porque todo el mundo se siente identificado con esa experiencia.

Me gustan especialmente los ejemplos que animan a las personas a reflexionar sobre sus propias reacciones. ¿Reconocerían una petición sospechosa? ¿Qué les haría detenerse y verificarla? ¿Y se sentirían cómodas pidiendo consejo a alguien?

Esta última pregunta merece atención. Sabemos que la ingeniería social puede aprovecharse del comportamiento humano habitual, a menudo pillando a las personas desprevenidas cuando están ocupadas o intentan ayudar. Sin embargo, es comprensible que a la gente le dé vergüenza admitir que ha hecho clic en un enlace engañoso o que ha compartido información.

Dudar a la hora de notificar un error puede convertirse en un problema mayor que el propio error inicial. La forma en que se trata a los compañeros cuando plantean sus dudas influye en que se sientan cómodos para volver a hablar en el futuro. Incluso confirmarles rápidamente que su notificación ha sido útil puede marcar la diferencia.

Deja que los empleados participen en la conversación

Algo que he descubierto que es muy valioso del trabajo de cara al cliente es que la gente a menudo te cuenta cosas que no se te habría ocurrido preguntar. Los programas de concienciación pueden beneficiarse de esa misma franqueza.

Los empleados podrían sugerir situaciones creíbles para las simulaciones de phishing o compartir historias anónimas sobre estafas a las que se han enfrentado. Sus observaciones pueden revelar en qué puntos las directrices actuales no están claras y dónde se han buscado alternativas simplemente para sacar el trabajo adelante.

Aquí también hay margen para la creatividad. Un «escape room» o un breve reto que explore la perspectiva de un atacante puede unir a los compañeros. Una pequeña actividad en la cantina o un recordatorio visual de temporada pueden llegar a quienes rara vez interactúan con el correo electrónico o la formación en línea.

Por supuesto, no siempre es factible llevar a cabo una campaña más ambiciosa. Una charla de 5 minutos sobre una experiencia pertinente podría dar a un equipo más de qué hablar que una actividad muy elaborada.

Cuando los empleados aportan sus propias experiencias a la conversación, solemos descubrir cosas que nunca habrían salido a la luz solo a través de una campaña de concienciación planificada.

La conversación puede continuar en casa

También creo que a veces subestimamos hasta qué punto la ciberseguridad puede ser pertinente a nivel personal.

Un empleado podría reconocer un mensaje sospechoso porque ha ayudado a uno de sus padres a lidiar con algo similar. Otro podría aprovechar una lección del trabajo para hablar con sus hijos sobre las estafas en línea. Estas conversaciones pueden ayudar a las personas a convertirse en modelos de conducta digital más seguros en sus familias y comunidades.

Un elemento de Familiares y amigos da a los empleados un motivo para conectar el tema con las personas que les importan. Además, puede facilitar las conversaciones en el lugar de trabajo. Alguien que se sienta incómodo hablando de su propia experiencia puede estar totalmente dispuesto a compartir lo que le pasó a un amigo.

Eso puede dar pie a una charla sincera sobre situaciones a las que otros también pueden haberse enfrentado.

Observa lo que ocurre después de que la gente participe

Los porcentajes de finalización son útiles para entender a cuántas personas ha llegado la formación. Sin embargo, dejan muchas preguntas pertinentes sin respuesta.

Por ejemplo, ¿los empleados se sienten cada vez más cómodos a la hora de notificar actividades sospechosas? ¿Con qué rapidez plantean sus dudas? ¿Qué nos dicen los ejemplos que envían sobre los riesgos a los que se enfrentan?

A veces, un aumento de las notificaciones puede indicar una mayor confianza en lugar de un empeoramiento del comportamiento de seguridad. Analizar esos patrones junto con las opiniones de los empleados nos ayuda a entender qué está pasando.

Y esas opiniones merecen una respuesta. Cuando alguien señala un proceso confuso o sugiere un ejemplo mejor, hacer un seguimiento demuestra que se ha escuchado su aportación. También nos da la oportunidad de mejorar juntos la próxima actividad.

¿Tienes poco tiempo? Empieza con 4 decisiones

Sé lo rápido que puede complicarse un programa de concienciación cuando los equipos intentan adaptarse a las necesidades de todos con recursos limitados. Unas pocas decisiones bien enfocadas pueden hacer que la planificación sea mucho más fácil de manejar:

• Un riesgo pertinente: Elige una situación con la que los empleados tengan muchas probabilidades de encontrarse en su trabajo.
• Una historia cercana: Busca un ejemplo que ayude a la gente a entender por qué alguien podría caer en la trampa.
• Una forma de participar: Crea una oportunidad para que los compañeros aporten una experiencia o exploren juntos una situación.
• Una señal de seguimiento: Acuerda un indicador que volverás a revisar para saber si la actividad ha sido de ayuda.

Eso te da un punto de partida práctico, con margen para desarrollar la siguiente actividad en función de lo que te cuente la gente.

El Mes de la Concienciación sobre Ciberseguridad puede atraer la atención hacia un tema que compite con muchas otras prioridades. Lo que más valoro es la oportunidad que crea de mejorar las conversaciones entre los equipos de ciberseguridad y las personas a las que ayudan.

Algunas de esas conversaciones sacarán a la luz problemas. Otras aportarán ideas que nadie había tenido en cuenta. Ambas son útiles, y ambas nos dan algo en lo que trabajar juntos mucho después de que acabe octubre.