Concientización en seguridad
Formación que cambia comportamiento, no que llena un requisito. Contenido en español tico, medición real y campañas de phishing sin humillar a nadie.
- Para quién es
- Organizaciones que necesitan reducir el riesgo asociado al factor humano, cumplir un requisito de capacitación anual, o corregir un programa existente.
- Duración típica
- Programa anual · Campañas trimestrales
- Marcos de referencia
- NIST SP 800-50r1SANS Security Awareness Maturity Model
La mayoría de los programas de concientización existen para que alguien pueda marcar una casilla en una auditoría. Se contrata una plataforma con videos genéricos, se obliga al personal a verlos una vez al año, se guarda el registro de asistencia y el comportamiento no cambia en absoluto.
Lo que hacemos distinto
Contenido con contexto local. Los ejemplos usan sus sistemas, sus flujos de aprobación y sus proveedores reales. Un correo simulado que suplanta a su proveedor de contabilidad real enseña más que diez videos sobre “el phishing en general”. El material está en español costarricense, no en un español neutro que suena a doblaje.
Sin humillación pública. Quien cae en una simulación recibe formación inmediata en el momento — que es cuando más se aprende — de manera privada. Nunca publicamos listas de quién falló. Un programa que avergüenza al personal produce empleados que ocultan sus errores, y eso es exactamente lo contrario de lo que se necesita durante un incidente real.
La métrica correcta. Casi todos miden la tasa de clic. Nosotros priorizamos la tasa de reporte: qué porcentaje del personal reportó el correo sospechoso por el canal correcto. Una organización donde el 40% reporta un phishing en los primeros diez minutos está mucho mejor protegida que una donde nadie hace clic pero nadie avisa tampoco.
Diferenciación por rol. El equipo de finanzas necesita entrenar fraude por transferencia y facturas falsas. Desarrollo necesita manejo de secretos y dependencias. La alta gerencia es el objetivo de ataques dirigidos y necesita su propia sesión. Recursos humanos recibe currículums con adjuntos todo el día. Tratarlos igual desperdicia el tiempo de todos.
Sobre culpar al usuario
Hay una postura común en el sector que sostiene que “el eslabón más débil es el humano”. Nos parece una forma cómoda de trasladar la responsabilidad. Si un solo clic de un empleado de recepción compromete su dominio completo, el problema de arquitectura es más grave que el problema de capacitación.
La formación reduce riesgo, y por eso la ofrecemos. Pero se la vendemos como lo que es: una capa de control, no un sustituto de controles técnicos. Si en el diagnóstico vemos que su inversión rinde más en segmentación o en autenticación multifactor resistente a phishing, se lo vamos a decir.
Cómo lo ejecutamos
- 01
Diagnóstico de línea base
Una campaña inicial de phishing y una evaluación de conocimiento para saber dónde está parado. Sin línea base no hay forma de demostrar mejora.
- 02
Contenido a la medida
Ejemplos con sus sistemas, sus procesos y sus proveedores. Un video genérico grabado en otro país con otro acento no genera reconocimiento.
- 03
Campañas progresivas
Simulaciones que empiezan evidentes y suben en dificultad conforme el equipo mejora. El objetivo es entrenar, no obtener una tasa de fallo alta.
- 04
Refuerzo continuo
Cápsulas breves y frecuentes en lugar de una sesión anual de dos horas que se olvida en una semana.
- 05
Medición de comportamiento
Seguimos la tasa de reporte, no solo la tasa de clic. Un empleado que reporta el correo sospechoso vale más que uno que simplemente no lo abrió.
Qué recibe
- Programa anual con contenido adaptado a los riesgos reales de su operación
- Campañas de phishing simulado con dificultad progresiva
- Formación diferenciada por rol — no es lo mismo finanzas que desarrollo
- Métricas de comportamiento, no solo de asistencia
- Materiales en español costarricense y en inglés