Concienciación en ciberseguridad: por qué octubre no debería ser todo el programa

Cada octubre vuelve el Mes Europeo de la Ciberseguridad. ENISA y la Comisión Europea llevan años utilizando este mes para impulsar campañas, actividades y recursos de concienciación dirigidos tanto a ciudadanos como a organizaciones. ¹ Y cada octubre ocurre algo parecido dentro de muchas empresas. Vuelve la charla de ciberseguridad. Llega el correo recordando las buenas prácticas. Quizá se lanza una simulación de phishing. Algunas organizaciones incluso preparan actividades durante todo el mes.

Me parece una buena oportunidad para volver a poner la ciberseguridad encima de la mesa. El problema aparece cuando octubre representa prácticamente todo el programa de concienciación del año. Porque conseguir que una persona conozca los riesgos es relativamente sencillo. Conseguir que tome una buena decisión seis meses después, mientras trabaja con prisa y recibe un correo perfectamente contextualizado, es bastante más complicado.

Y en los últimos años tenemos bastante más evidencia sobre esa diferencia.

La formación funciona. Cambiar comportamientos es otra historia

En 2025 se publicó en Computers & Security un metaanálisis especialmente interesante para cualquiera que esté diseñando un programa de concienciación. Los investigadores analizaron 69 estudios sobre formación en ciberseguridad dirigida a usuarios finales. La conclusión general fue positiva: la formación tenía un efecto favorable. Pero al separar los resultados apareció una diferencia importante. El efecto era mucho mayor cuando se medían aspectos como el conocimiento, las actitudes o las intenciones que cuando se observaba el comportamiento real de las personas.

El efecto global de la formación fue de d = 0,75. Para conocimientos y actitudes ascendía a d = 1,02. En las medidas de comportamiento bajaba a d = 0,36, con un intervalo de confianza del 95 % entre −0,09 y 0,80. Ese intervalo incluye el cero: esta estimación no permite concluir una mejora estadísticamente significativa del comportamiento. Tampoco demuestra que toda formación sea inútil. d es una medida estandarizada del tamaño del efecto, no un porcentaje de reducción del riesgo. ²

No hace falta quedarse con las cifras. La lectura que me parece importante es otra:

aprobar una formación no demuestra necesariamente que vayamos a actuar correctamente cuando aparezca la situación real.

Podemos explicar perfectamente qué es el phishing. Podemos enseñar ejemplos. Podemos conseguir que una persona saque un diez en el cuestionario final. Y eso no garantiza que dentro de cuatro meses no introduzca sus credenciales en una página falsa después de recibir un correo creíble en un momento de prisa. La formación sigue teniendo sentido. Lo que cambia es lo que deberíamos esperar de ella y, sobre todo, cómo medirla.

El problema de concentrarlo todo en una formación anual

Otra revisión, publicada en 2024 en Computers & Security, estudió específicamente la evidencia disponible sobre formación contra el phishing. Analizó 42 estudios y encontró que el impacto a corto plazo de la formación estaba bien documentado, pero que existía mucha menos evidencia sobre su capacidad para mantener cambios de comportamiento en el tiempo. También identificó varios elementos que aparecían relacionados con mejores resultados: mayor intensidad de la formación, aprendizaje activo y feedback detallado, entre otros. ³

Eso encaja bastante bien con algo que vemos fuera de la ciberseguridad. Aprender una conducta y mantenerla no son exactamente el mismo problema. Si hacemos una formación en enero sobre cómo detectar un intento de fraude y no volvemos a tocar el tema hasta enero del año siguiente, estamos confiando demasiado en que una presentación de una hora sobreviva a doce meses de trabajo, correos, reuniones, presión y cambios tecnológicos.

Por eso me cuesta considerar un curso anual + test como un programa completo de concienciación. Puede formar parte del programa. Incluso puede ser necesario para determinados requisitos internos o de cumplimiento. Pero debería ser solo una parte.

El valor de formar cerca de la decisión

Un estudio publicado en 2026 en el International Journal of Human-Computer Studies aporta otra pieza interesante. Madeira y Alves estudiaron una organización pública: 4.457 empleados participaron en la parte cuantitativa y 19 en entrevistas. Compararon feedback inmediato frente a ausencia de feedback, y participación obligatoria frente a voluntaria. No era una comparación directa entre feedback inmediato y formación varias semanas después.

Sus resultados mostraron que el feedback inmediato reducía posteriormente la susceptibilidad al phishing. El estudio también observó que hacer obligatoria la participación podía aumentar la implicación, aunque con posibles efectos sobre la motivación intrínseca. ⁴ Es evidencia de un contexto concreto, no una garantía de obtener el mismo resultado en cualquier empresa. Como criterio de diseño, sí invita a aprovechar el momento de la decisión.

Una persona pulsa sobre un enlace de una simulación. Podemos registrar el resultado, esperar unas semanas y asignarle una formación. O podemos aprovechar ese momento para explicarle qué acababa de ocurrir, qué señales tenía delante y qué podía haber comprobado antes de tomar la decisión. La segunda opción conecta el aprendizaje con una experiencia que acaba de suceder.

Y eso nos lleva a una idea que creo que debería estar mucho más presente en los programas de concienciación:

formar sobre decisiones, no únicamente sobre conceptos.

Una persona de administración no necesita conocer en detalle cómo funciona DMARC para detectar un cambio sospechoso en la cuenta bancaria de un proveedor. Necesita saber qué procedimiento debe seguir antes de aceptar ese cambio. Un empleado no necesita entender todos los protocolos que intervienen en Microsoft 365 para saber que una solicitud MFA que no ha iniciado debería levantar sospechas.

Y alguien de dirección no necesita convertirse en especialista en ingeniería social para saber cómo actuar ante una llamada urgente que aparentemente procede de otro directivo. Ahí es donde la formación empieza a acercarse al trabajo real.

Una simulación de phishing debería servir para algo más que contar clics

Las campañas de phishing son probablemente una de las herramientas de concienciación más conocidas. También son fáciles de utilizar mal. Si diseñamos un correo extremadamente convincente, conseguimos que muchas personas pulsen y después presentamos el porcentaje a dirección, hemos obtenido una métrica. No significa necesariamente que hayamos mejorado la seguridad. Antes de lanzar una simulación me parece mucho más útil preguntarnos qué comportamiento queremos entrenar.

Puede ser comprobar un dominio antes de introducir credenciales. Puede ser verificar por otro canal un cambio de cuenta bancaria. Puede ser rechazar una solicitud MFA inesperada. O simplemente conseguir que una persona utilice correctamente el mecanismo interno para reportar un mensaje sospechoso. Cuando sabemos qué queremos entrenar, la simulación deja de ser una prueba para “pillar” a empleados y empieza a convertirse en una herramienta educativa.

También cambia la forma de medirla. Imaginemos dos organizaciones. Es un ejemplo hipotético, no un resultado de investigación. En la primera, un 5 % de las personas interactúa con el phishing y solo un 1 % lo reporta. En la segunda, interactúa un 8 %, pero un 45 % lo comunica al equipo correspondiente. Si solo observamos el porcentaje de clics, la primera parece mejor. Estos porcentajes, por sí solos, tampoco permiten afirmar que la segunda sea más segura: importan la dificultad del mensaje, el colectivo y cómo se ha medido cada indicador.

Si mañana llega un ataque real, quizá preferiríamos tener decenas de personas capaces de reconocerlo y comunicarlo rápidamente. Por eso miraría conjuntamente la interacción, el reporte, cuánto se tarda en reportar, qué técnicas siguen funcionando, si existe reincidencia y cómo evolucionan los resultados después de la formación. El objetivo no debería ser conseguir un dashboard verde.

Debería ser saber si estamos reduciendo el riesgo y mejorando nuestra capacidad para detectar algo cuando ocurra.

Para comparar campañas, utiliza un denominador consistente, separa clics de entrega de credenciales y considera la dificultad del mensaje. Revisa tendencias por colectivo para orientar el apoyo, sin clasificaciones públicas individuales. La formación también necesita procedimientos utilizables y controles técnicos.

No todos necesitamos aprender lo mismo

Hay una base común que prácticamente cualquier organización debería trabajar: phishing, ingeniería social, autenticación, protección de la información, dispositivos y reporte de incidentes. A partir de ahí, la formación debería empezar a parecerse más al trabajo de cada persona. El riesgo de alguien que gestiona pagos no es exactamente el mismo que el de un desarrollador.

Finanzas puede estar especialmente expuesto al fraude del CEO, facturas fraudulentas o cambios de cuentas bancarias. Recursos Humanos trabaja continuamente con información personal, documentación y comunicaciones externas. Un desarrollador tendrá que prestar mucha más atención a repositorios, credenciales, secretos, dependencias o herramientas de IA utilizadas para trabajar con código. Dirección puede ser objetivo de ataques mucho más personalizados y además tendrá responsabilidades específicas cuando se produzca un incidente.

Y el equipo IT tiene acceso a sistemas y privilegios que hacen que una suplantación tenga consecuencias diferentes. Dar exactamente el mismo contenido a todos es fácil de gestionar. No siempre es la mejor forma de gestionar el riesgo. La concienciación debería partir de las situaciones que cada colectivo puede encontrarse realmente.

Las herramientas ayudan. El programa sigue teniendo que diseñarlo alguien

En los últimos años el mercado de Security Awareness Training ha crecido mucho. Las plataformas actuales pueden combinar cursos, microlearning, campañas de phishing, formación adaptativa, gamificación, análisis de comportamiento y métricas. Hay soluciones con enfoques distintos. La tabla siguiente recoge ejemplos y enlaza a información de los propios fabricantes; no es un ranking ni una evaluación comparativa independiente. La elección depende del tamaño de la organización, idiomas, presupuesto, integraciones y del programa que queramos ejecutar.

Una forma sencilla de situarlas sería esta:

La presencia en la tabla no supone una recomendación concreta. Para decidir habría que evaluar necesidades, funcionalidades, integraciones, idiomas y costes. En organizaciones que ya trabajan con Microsoft 365 hay además una pregunta que merece la pena hacerse antes de contratar otra plataforma.

¿Tenemos ya alguna capacidad disponible?

Microsoft ofrece Attack Simulation Training dentro de Microsoft Defender for Office 365 Plan 2, incluido también en determinadas suscripciones como Microsoft 365 E5. Permite ejecutar simulaciones, asignar formación y analizar resultados desde el portal de Defender. ⁵ Puede ser suficiente para algunas organizaciones y quedarse corto para otras. Pero tiene sentido revisar primero lo que ya estamos pagando.

En España tenemos además recursos públicos interesantes. El portal ÁNGELES del CCN ha ampliado durante 2026 sus contenidos de concienciación con nuevos vídeos sobre phishing, ransomware o deepfakes, además de nuevas gamificaciones y retos sobre fuga de datos, fraude del CEO, phishing, qrishing y vishing. ⁶ · ⁷ Todo esto ayuda. Pero ninguna plataforma decide por nosotros qué comportamientos queremos cambiar.

Comprar la herramienta antes de diseñar el programa puede acabar produciendo exactamente lo que queríamos evitar: muchas actividades, muchos datos y poco criterio sobre qué estamos intentando mejorar.

Octubre puede ser el momento de darle visibilidad al programa

Aquí es donde el Mes Europeo de la Ciberseguridad tiene mucho sentido. Durante unas semanas podemos aumentar la visibilidad, involucrar a dirección, lanzar campañas y probar formatos distintos. No intentaría enseñar toda la ciberseguridad de la empresa en cuatro semanas. Lo utilizaría para trabajar comportamientos concretos. Una semana podría centrarse en phishing e ingeniería social. Otra en identidad, MFA y recuperación de cuentas. Otra en protección de información y uso de herramientas de inteligencia artificial. Y otra en algo que muchas veces recibe menos atención: qué hacer cuando creemos que ha ocurrido algo.

Porque una buena cultura de seguridad no debería buscar únicamente personas que nunca cometan errores. También necesita personas capaces de identificar algo extraño y comunicarlo rápidamente. Ese mensaje me parece especialmente importante. El trabajador no debería sentir que reportar un error va a terminar en una búsqueda de culpables. Si una persona introduce sus credenciales donde no debía y lo comunica inmediatamente, tenemos una situación.

Si decide esconderlo durante seis horas porque teme las consecuencias, tenemos otra bastante diferente. La cultura que rodea al programa importa tanto como el contenido.

NIS2 y su desarrollo: de la formación al programa

Hay además un componente regulatorio. El artículo 20.2 exige a los Estados miembros que aseguren la formación de los órganos de dirección de entidades esenciales e importantes y que animen a estas entidades a ofrecer formación similar periódicamente a sus empleados. El artículo 21.2.g incluye la ciberhigiene y la formación entre las medidas de gestión del riesgo. Para concretar las obligaciones de una empresa hay que comprobar su ámbito y la normativa nacional aplicable. ⁸

Conviene hacer aquí una distinción. El Reglamento de Ejecución (UE) 2024/2690 no se aplica de forma general a cualquier entidad NIS2. Su ámbito incluye proveedores de DNS, registros de nombres TLD, computación en nube, centros de datos, redes de distribución de contenidos, servicios gestionados y de seguridad gestionados, mercados en línea, motores de búsqueda, plataformas de redes sociales y servicios de confianza.

Para esas entidades, el texto es bastante más concreto. Los apartados 8.1 y 8.2 de su anexo exigen un programa de concienciación programado en el tiempo, con actividades repetidas, cobertura de nuevas incorporaciones, actualización periódica en función de riesgos y amenazas y, cuando corresponda, evaluación de su eficacia. Para puestos que requieren competencias de seguridad también exige formación regular, pertinente para la función y con evaluación de su eficacia. ⁹

Me parece interesante porque refleja bastante bien la diferencia entre:

“hemos impartido formación”

y

“tenemos un programa de concienciación”.

La segunda formulación obliga a pensar en continuidad, contexto y medición.

Entonces, ¿cómo debería ser un programa de concienciación?

No creo que exista un calendario que podamos copiar en cualquier organización. Una empresa de veinte personas no necesita el mismo programa que un grupo internacional con miles de empleados. Tampoco tiene sentido que una empresa industrial y una compañía de software entrenen exactamente los mismos escenarios. Lo que sí mantendría es una lógica común:

Primero deberíamos decidir qué situaciones nos preocupan. Después qué necesitamos que hagan las personas cuando aparezcan. A partir de ahí elegimos formación, simulaciones, ejercicios o comunicaciones. Finalmente comprobamos si está funcionando. La herramienta viene después. Y octubre puede convertirse en uno de los momentos más visibles de ese ciclo, pero debería existir algo antes y algo después.

El dato que me gustaría tener al terminar el año

Si en diciembre únicamente sabemos que el 98 % de la plantilla ha completado la formación, sabemos una cosa: hemos conseguido que casi todos terminen el curso. Es un dato válido. Pero me interesaría conocer también qué ha ocurrido con los comportamientos que queríamos trabajar. ¿Reportamos más rápido un phishing? ¿Siguen funcionando las mismas técnicas?

¿Las personas saben dónde comunicar algo sospechoso? ¿Hay determinados colectivos donde necesitamos otro enfoque? ¿La gente verifica un cambio bancario antes de aceptarlo? ¿Se están utilizando herramientas de IA de acuerdo con las reglas definidas? Esas respuestas empiezan a decirnos algo sobre nuestro nivel de concienciación. Y probablemente también nos digan qué deberíamos hacer el año siguiente.

Octubre dura un mes. La concienciación, no.

El Mes Europeo de la Ciberseguridad es una buena excusa para recuperar conversaciones que durante el resto del año pueden quedar enterradas entre proyectos, reuniones y trabajo diario. Aprovechémoslo. Hagamos talleres, simulaciones, ejercicios y campañas. Pero si en noviembre dejamos de hablar de seguridad hasta el próximo octubre, probablemente estemos desaprovechando buena parte del trabajo.

La evidencia disponible apunta a mejoras en conocimientos y actitudes, pero deja más incertidumbre sobre los cambios de comportamiento sostenidos. La práctica, la repetición y el feedback son elementos que conviene diseñar y evaluar, no una promesa de resultados automáticos. 2, 3 Para mí, esa es la diferencia que merece la pena tener presente al diseñar un programa.

En ACBSEC diseñamos sesiones, talleres y programas de concienciación adaptados a los riesgos y al contexto de cada organización: desde formación para dirección y equipos técnicos hasta actividades para plantilla y ejercicios prácticos de ingeniería social. La idea es formar sobre los problemas que las personas realmente van a encontrarse y comprobar después si conseguimos cambiar algo. Conoce el servicio de cultura y concienciación.