El elemento humano de la ciberseguridad

Las películas presentan a los hackers como individuos inteligentes que utilizan tecnología avanzada para infiltrarse en una empresa. Pero la cruda realidad es que constantemente explotan una vulnerabilidad que la tecnología por sí sola no puede solucionar: el factor humano.

Según Verizon, el gigante estadounidense de las telecomunicaciones,  aproximadamente el 90 % de las brechas de seguridad  comienzan con un ataque de ingeniería social dirigido a una víctima humana. Esta estadística podría hacer pensar que los humanos son el eslabón más débil de la estrategia de ciberseguridad, pero la realidad es justo la contraria.

¿Por qué las personas son su control de seguridad más importante?

Con  más de 989.000 ataques de phishing únicos  detectados en el último trimestre de 2024, la solución obvia es reducir la dependencia de los humanos y utilizar la inteligencia artificial (IA) para prevenir estos ataques. Sin embargo, los sistemas automatizados tienen limitaciones que convierten a los empleados en una primera línea de defensa más eficaz.

• La IA carece de intuición humana: Los sistemas de seguridad totalmente automatizados están diseñados para reconocer patrones, lo que los hace excelentes para detectar amenazas a nivel de sistema. Pero carecen de la intuición humana y del contexto necesario para identificar ataques personalizados de ingeniería social.

• La IA no puede detectar amenazas nuevas: incluso cuando se la entrena para percibir ataques, los sistemas automatizados solo pueden detectar aquello para lo que han sido programados. Cualquier nueva táctica de ingeniería social puede pasar desapercibida hasta que el daño ya esté hecho. 

• La IA solo detecta, no protege: las herramientas de seguridad automatizadas suelen alertar únicamente sobre una posible amenaza. Aún se necesitan profesionales de seguridad para analizar los datos, determinar un riesgo real y decidir los pasos a seguir. 

Estas limitaciones demuestran claramente que un enfoque de ciberseguridad centrado en el ser humano sigue siendo la mejor protección disponible para una empresa. 

Desarrollo de programas continuos de formación y sensibilización

Las organizaciones suelen tratar la formación en seguridad como un mero trámite anual. Pero eso no funciona para una estrategia de seguridad centrada en las personas, que convierte la ciberseguridad en responsabilidad de todos los empleados. 

Crear programas de formación continua

Un estudio de 2024 reveló que  los programas de capacitación anuales  no bastan para reducir la probabilidad de que los empleados hagan clic en enlaces de phishing. Lo que sí resulta eficaz son los programas de formación continua trimestrales. Esta periodicidad refuerza el protocolo de formación en ciberseguridad y, al mismo tiempo, mantiene a los empleados al día sobre las últimas amenazas. Las simulaciones mensuales de phishing también ayudan a mantener la ciberseguridad como una prioridad durante todo el año.

Adapte los programas de entrenamiento a las nuevas amenazas.

En su Informe Global de Amenazas de 2025, CrowdStrike reveló que  surgieron 26 nuevas ciberamenazas  el año anterior. Para garantizar la eficacia de la formación, actualice periódicamente su programa para que refleje el panorama actual de amenazas. Manténgase al tanto de las últimas amenazas a través de grupos de ciberseguridad, informes de amenazas o proveedores externos. También puede enviar boletines informativos periódicos con consejos de seguridad a sus empleados, incluyendo las últimas noticias sobre ciberseguridad.

Adaptar la formación a las responsabilidades profesionales

Un programa de capacitación en ciberseguridad genérico no suele funcionar, ya que sobrecarga a los empleados con información innecesaria que no se relaciona con sus funciones. Al enfocar el programa en escenarios específicos para cada rol, se garantiza que la capacitación sea relevante, práctica y aplicable. El Instituto SANS lo confirma:  las simulaciones y el entrenamiento personalizados  lograron una reducción del 35 % en los clics repetidos, con menos incidentes costosos, una detección más rápida y una menor carga de trabajo para el departamento de TI. 

Cómo afrontar las variaciones jurisdiccionales en materia de riesgos de ciberseguridad

Las normativas de ciberseguridad varían según los países y regiones, lo que afecta a las políticas de seguridad y a la formación de los empleados. Las empresas medianas deben tener en cuenta estas variaciones para garantizar que sus iniciativas de concienciación sobre seguridad sean eficaces y cumplan con la normativa. 

Consideraciones regionales en torno a las regulaciones de ciberseguridad

En muchos sectores, la formación en concienciación sobre seguridad es obligatoria. Sin embargo, las expectativas y el enfoque exactos pueden variar según la región. Por ejemplo, las normas europeas como el Reglamento General de Protección de Datos (RGPD) son obligatorias, mientras que el Marco de Ciberseguridad del Instituto Nacional de Estándares y Tecnología (NIST) en EE. UU. es voluntario. Por ello, es importante  complementar su programa de formación global  para que abarque las leyes locales y las normativas del sector. Puede realizar  auditorías de cumplimiento periódicas  para garantizar que su formación cubra la legislación vigente y futura. 

Consideraciones culturales en torno a las regulaciones de ciberseguridad

La cultura influye enormemente en cómo las personas se comunican, se comportan en línea e incluso son víctimas de delitos cibernéticos. Por ejemplo, los ataques de phishing en Estados Unidos  suelen aumentar  durante la temporada navideña. Las tiendas ofrecen descuentos y el temor a perderse grandes ofertas lleva a los compradores a hacer clic incluso en enlaces sospechosos.

Estos matices culturales también se manifiestan en el ámbito laboral. Algunos pueden cuestionar la autoridad, mientras que otros son menos propensos a refutar las instrucciones, incluso ante situaciones sospechosas. Adaptar el curso a estas diferencias puede mejorar su relevancia y eficacia. Las empresas multinacionales que implementaron  protocolos de seguridad adaptados culturalmente  observaron una mejora del 35 % en la detección de amenazas y una reducción del 45 % en los tiempos de respuesta.

Abordar la brecha de habilidades en ciberseguridad

En 2024, se estimaba que la fuerza laboral global de ciberseguridad necesitaría  alrededor de 4 millones de profesionales  para satisfacer la demanda. Para las empresas medianas, cerrar esta brecha es fundamental para construir una sólida defensa humana. A continuación, presentamos algunas estrategias para abordar la escasez de talento en ciberseguridad dentro de su organización: