Concienciación en ciberseguridad para equipos no técnicos

El correo que va a costarle dinero a tu empresa no llegará al departamento de informática. Llegará a administración, pidiendo cambiar el número de cuenta de un proveedor; a recursos humanos, con un currículum adjunto; a recepción, avisando de un paquete retenido. Las personas que reciben esos mensajes no tienen formación técnica y no la necesitan. Lo que necesitan es un programa de concienciación en ciberseguridad diseñado para su trabajo real, no una versión rebajada del curso de los desarrolladores.

Qué hace distinto a un programa de concienciación en ciberseguridad

La formación técnica busca que alguien construya sistemas más seguros. Un programa de concienciación busca algo mucho más acotado: que una persona reconozca una situación anómala en su rutina y sepa qué hacer en los siguientes dos minutos. Ese es todo el alcance, y por eso el contenido debe estar escrito en el lenguaje de su puesto.

Explicarle a la responsable de facturación qué es un ataque de intermediario no cambia nada. Explicarle que un proveedor de toda la vida puede escribirle desde su dirección real, con el hilo de la conversación anterior debajo, pidiendo actualizar la cuenta bancaria para la próxima factura, sí lo cambia. Es su trabajo, es plausible y sabe exactamente cuándo puede pasarle.

Qué enseñar a cada área

Un programa genérico para toda la plantilla desperdicia la mitad del tiempo de casi todos. Segmentar por función cuesta poco y multiplica la utilidad:

• Administración y finanzas: fraude del CEO, cambios de cuenta bancaria de proveedores, facturas modificadas, urgencia y confidencialidad como señales de alarma.
• Recursos humanos: adjuntos de candidatos, peticiones de datos de empleados, suplantación de la dirección pidiendo nóminas o documentación laboral.
• Comercial: perfiles falsos, credenciales del CRM, uso de redes wifi abiertas y del móvil personal fuera de la oficina.
• Recepción y atención al cliente: llamadas que piden información interna, visitas no anunciadas, memorias USB que aparecen y paquetes que nadie esperaba.
• Dirección: son el objetivo más suplantado y el que más excepciones pide a los procesos que ellos mismos aprueban.
• Toda la plantilla: contraseñas y gestor de contraseñas, segundo factor, fatiga de notificaciones de aprobación y qué hacer con un móvil perdido.

El smishing que suplanta a la AEAT, a Correos o a la Seguridad Social merece un módulo propio, porque es el fraude que tu equipo recibe en el móvil personal y arrastra al ámbito laboral sin darse cuenta.

Cadencia: poco y a menudo

La sesión anual de dos horas existe para poder decir que se ha hecho. Se olvida en dos semanas y no deja ningún hábito. Funciona mejor una estructura ligera y sostenida:

• Una sesión inicial de sesenta minutos, presencial si es posible, con casos de vuestra propia empresa.
• Refuerzos breves cada mes o dos meses, de cinco a diez minutos, sobre un solo tema.
• Una simulación de phishing trimestral que mide y enseña a la vez.
• Una incorporación obligatoria en la primera semana de cada nuevo empleado.
• Un aviso puntual cuando aparezca una campaña activa que os afecte de verdad.

La regla práctica es que ningún refuerzo debería ocupar más de lo que ocupa leer un correo largo. Si pides más tiempo del que la gente tiene, empezarán a saltárselo y perderás también los mensajes importantes.

Haz que reportar sea normal y se agradezca

Aquí es donde la mayoría de los programas se juegan el resultado. Un mensaje sospechoso reportado a los cinco minutos es un incidente que no ocurre. El mismo mensaje descubierto tres semanas después, cuando el proveedor reclama un pago que ya se hizo a otra cuenta, es un problema serio.

Para que la gente reporte hacen falta cuatro condiciones muy concretas:

1. Un canal único y evidente: una dirección de correo, un botón en el cliente de correo o un chat, siempre el mismo, que todo el mundo recuerde sin buscarlo.
2. Respuesta rápida y visible: alguien contesta el mismo día, aunque sea para decir que era legítimo. El silencio enseña que reportar no sirve.
3. Cero consecuencias por equivocarse: reportar diez falsas alarmas debe estar bien visto. Si se ridiculiza una, no habrá una undécima.
4. Reconocimiento explícito: mencionar en la reunión de equipo que alguien detectó un intento real, con su nombre y con agradecimiento, vale más que cualquier diapositiva.

Y una condición adicional que suele olvidarse: quien haya hecho clic también tiene que poder avisar sin miedo. Un empleado que oculta un error porque teme la bronca es el escenario más caro de todos, así que el mensaje de la empresa tiene que ser inequívoco: avisar tarde es mucho mejor que no avisar.

Cómo medir que el programa funciona

El porcentaje de personas que completaron el curso mide asistencia, nada más. Estas señales sí indican progreso:

• Número de mensajes sospechosos reportados al mes, incluyendo los que resultan legítimos.
• Tiempo medio entre la llegada de un mensaje fraudulento y el primer aviso interno.
• Consultas al canal antes de hacer un pago o un cambio de datos bancarios.
• Evolución del reporte frente al clic en las simulaciones sucesivas.
• Incidencias detectadas por la plantilla en lugar de por un proveedor o un cliente.

El programa no sustituye al proceso

Ninguna concienciación aguanta la presión de un proceso mal diseñado. Si una sola persona puede cambiar el número de cuenta de un proveedor y ordenar el pago sin que nadie más lo verifique, ese proceso acabará fallando aunque la formación sea excelente. La verificación por un canal distinto para cualquier cambio de datos bancarios, la doble autorización por encima de un importe y un procedimiento escrito de qué hacer el primer día de un incidente son controles que sostienen a las personas cuando el mensaje es bueno de verdad.

Nuestros programas educativos para equipos no técnicos parten de los riesgos reales de cada área y se apoyan en simulaciones periódicas. Si quieres empezar hoy con una sola cosa, elige el canal de reporte, anúncialo y responde a todos los avisos durante el primer mes. El resto del programa se construye mucho mejor sobre esa costumbre ya instalada.