Resumen de la comunidad: Cómo convertir el impulso del ECSM de octubre en un cambio de comportamiento duradero

Octubre es uno de esos momentos en los que los equipos de seguridad cuentan con más apoyo directivo, presupuesto y la atención de toda la empresa. Pero llevar a cabo un mes de buenas campañas es solo el primer paso; el verdadero reto es asegurarse de que esos hábitos se mantengan durante el resto del año.

Ese ha sido el enfoque principal de Andrew Rose en la comunidad de SoSafe últimamente. Como antiguo director de ciberseguridad y nuestro primer embajador de la comunidad, utiliza este espacio exclusivo para clientes para explicar cómo funciona la estrategia en la práctica, responder a las preguntas de los miembros y compartir lo que está ayudando a otros equipos a alcanzar el éxito en estos momentos.

En tres publicaciones recientes, analizó cómo la planificación, la escucha y la medición determinan si las iniciativas de concienciación marcan una diferencia duradera o simplemente se acaban abandonando. Aquí tienes un breve resumen de sus conclusiones principales y de los siguientes pasos en la conversación.

1. Planificación: Por qué un buen contenido no es suficiente por sí solo

Antes de ponerse a enviar correos electrónicos o lanzar una nueva formación, el consejo de Andrew es dar un paso atrás y averiguar cuál es el estado real de tu cultura de seguridad y qué hábitos necesitan corregirse realmente.

Aunque los recursos de campaña listos para usar ahorran un tiempo muy valioso, el contenido en sí mismo no es más que la mitad de la batalla. Para convertir esos materiales en un cambio de comportamiento real, Andrew compartió una plantilla para el plan de comunicación basada en el modelo de cambio de comportamiento de BJ Fogg, que se centra en 3 áreas prácticas:

• Replantear el emisor: No siempre necesitas que el director de ciberseguridad comunique cada actualización. Según el mensaje, suele tener mucha mejor acogida dejar que los directores de departamento, los responsables directos o los compañeros de confianza lo transmitan.
• Anclajes de políticas: Vincula siempre los temas de la campaña con las directrices reales de la empresa, para que los empleados entiendan lo que se espera de ellos en su trabajo diario y sepan dónde consultar los detalles.
• Palancas de comportamiento: Aprovecha la motivación, la capacidad y los estímulos. En lugar de depender de las advertencias de las políticas, céntrate en lograr que las decisiones seguras no supongan ningún esfuerzo y en aplicar el nudging a las personas justo cuando necesitan actuar.

Descarga la plantilla completa del plan de comunicación

2. Escucha: Pasar de transmitir mensajes al feedback bidireccional

Tal y como dice Andrew, contar los clics y cuántas formaciones se completan no es participación real. Si quieres saber qué pasa realmente, empieza por plantear a los empleados una sencilla pregunta: «¿Qué te impide informar de un problema de seguridad?»

Tratar a todos los empleados como un único público es otro error común. Los distintos equipos te dan su opinión de formas completamente diferentes, así que adapta tus métodos de recopilación de datos::

• Directivos: Olvídate de las encuestas genéricas y programa una conversación directa y cara a cara.
• Empleados operativos: Observa cómo trabajan en persona para ver en qué puntos las normas de seguridad entran en conflicto con la realidad operativa diaria.
• Trabajadores de oficina: Revisa los tickets de soporte técnico y las quejas sobre procesos y software engorrosos: ahí está la fricción que lleva a las personas a tomar atajos arriesgados.

Cuando los empleados dedican tiempo a alertar sobre un correo electrónico sospechoso o a señalar un proceso que no funciona, envíales una respuesta personal y rápida. Si los informes de los empleados caen en saco roto, la gente deja de intentarlo rápidamente.

Explora los materiales de la campaña del ECSM de SoSafe

3. Medición: Demostrar que los hábitos han cambiado de verdad

En cuanto termina octubre, muchos equipos celebran unas altas cifras de participación, pero siguen sin poder responder a la pregunta fundamental: ¿ha cambiado alguien realmente su forma de trabajar?

Las visitas a las páginas, la asistencia a los estands y los cuestionarios completados demuestran que las personas han estado expuestas al contenido, no que hayan hecho algo diferente después. Para demostrar un impacto real, céntrate en las métricas vinculadas a acciones prácticas:

• Establece primero una base de referencia: Extrae 3 meses de datos históricos antes del lanzamiento, como las anulaciones de DLP o las tasas de clasificación de documentos, para tener un punto de referencia realista con el que comparar.
• Vuelve a comprobarlo a los 30 y 90 días: El aumento de las cifras de reportes en octubre es una buena señal, pero un pico puntual no equivale a un cambio de hábitos a largo plazo. Vuelve a comprobar esas mismas métricas a un mes y a tres meses vista para ver qué es lo que realmente se ha mantenido.
• Identifica patrones en el feedback: Haz un seguimiento de cada comentario, queja y pregunta que surja durante el mes. Las tendencias en esos comentarios resaltan dónde siguen existiendo riesgos operativos.

Únete a la conversación en la comunidad

En las tres publicaciones, el objetivo de Andrew no es dar respuestas de manual. Plantea estos retos como preguntas abiertas, analizando qué ocurre cuando la estrategia de la campaña se topa con la presión del mundo real:

• ¿Cómo estructura tu equipo su plan de comunicación para el mes del ECSM cada año?
• ¿Qué te ha funcionado mejor para recibir comentarios sinceros de tus empleados?
• ¿Cómo compruebas si los mensajes de la campaña han calado de verdad cuando esta termina?

Si eres cliente de SoSafe, pásate por el espacio de Buenas prácticas de la comunidad para compartir tu experiencia y ver cómo otros equipos abordan estos compromisos.

Únete a la comunidad de SoSafe

Inicia sesión