La formación sobre concienciación en materia de seguridad una vez al año no es suficiente

Por qué no funciona la formación anual

 

La gente no aprende de la noche a la mañana

Nuestro cerebro no está hecho para almacenar grandes cantidades de información en una sola sesión. Sobre todo si esa información es abstracta o evoca poco reconocimiento.

La formación anual suele garantizar:

• Mucha información en poco tiempo
• Poca repetición
• Conexión limitada con situaciones cotidianas
• Curva de olvido rápido

Al cabo de unas semanas, poco queda. Los empleados pueden seguir sabiendo que existe el phishing, pero ya no lo reconocen en sus buzones.

El conocimiento es diferente del comportamiento

 

La concienciación sobre la seguridad no consiste sólo en saber lo que es seguro. Se trata de hacer lo que es seguro.

Ejemplos:

• Sigue haciendo clic en ese enlace porque está ocupado
• Reutilizar esa única contraseña porque es conveniente
• Abrir un archivo adjunto porque parece ser de alguien conocido

Se trata de hábitos. Y no se cambian los hábitos con un PowerPoint anual.

 

Lo que funciona mejor: aprender en pequeños pasos

 

Un enfoque de sensibilización eficaz no es un acontecimiento, sino un proceso de aprendizaje. Repartido a lo largo del año. En trozos manejables.

Piensa en momentos breves que sean recurrentes. De ese modo, la seguridad sigue formando parte del trabajo diario, en lugar de ser algo que “tienes que hacer” una vez al año.

 

La microformación en la práctica

 

Una buena formación de sensibilización consiste en pequeños componentes específicos, como por ejemplo

• Escenarios cortos de dos a cinco minutos
• Pruebas o preguntas cortas periódicas
• Respuesta instantánea a las elecciones
• Repetición con variación

Por ejemplo, a un empleado se le da una breve simulación de un correo electrónico de phishing, hace una elección y ve inmediatamente las consecuencias. Eso se pega.

 

El bucle de aprendizaje: entrenar, probar, evaluar, repetir

 

Combinar inteligentemente el microentrenamiento crea un ciclo fijo, también conocido como bucle de aprendizaje:

• Tren: explicación breve y pertinente
• Prueba: aplicar en un escenario realista
• Evaluar: retroalimentación y conocimiento instantáneos
• Repetición: variación sobre el mismo tema

 

Este planteamiento requiere poco tiempo cada vez, pero aporta mucho más. Los empleados se acostumbran a reconocer los riesgos y ajustan su comportamiento en consecuencia.

 

Menos tiempo, más efecto

 

Una preocupación común es el tiempo. “Nuestra gente ya está ocupada”.

Precisamente por eso este enfoque funciona mejor.

En lugar de una sesión larga al año, reparte el aprendizaje a lo largo del año. Unos minutos cada vez. Sin sobrecarga, pero con conciencia continua.

Ventajas:

• Menos interrupciones del trabajo
• Mejor absorción de los conocimientos
• Más reconocimiento en situaciones cotidianas
• Cambio de comportamiento mensurable

 

La concienciación tiene que ver con los hábitos

 

La concienciación sobre la seguridad no es una prueba de conocimientos. Se trata de respuestas automáticas.

Dudar de un correo inesperado
Comprobar antes de pulsar
Hacer preguntas si algo no está bien

Ese tipo de comportamiento sólo surge mediante la repetición y la práctica. No mediante una explicación puntual.

 
 

¿Cómo lo aborda tu organización?

Reflexiona sobre tu enfoque actual.

¿Hay una sesión anual y nada más?
¿O los empleados reciben regularmente incentivos y formación de corta duración?

Las organizaciones que pasan a la concienciación continua ven menos incidentes y más compromiso. Los empleados se sienten parte de la seguridad, en lugar de un riesgo.

 

Conciencia de seguridad según ALTA-TIC

 

En ALTA-ICT, nos fijamos en el comportamiento en materia de seguridad, no sólo en los conocimientos. Ayudamos a las organizaciones con un enfoque de concienciación estructural que se ajusta a cómo trabajan y aprenden realmente las personas.

Sin sobrecarga. Nada de narrativa teórica. Sino momentos de aprendizaje breves y prácticos que perduran.

¿Quieres saber cómo podría ser eso en tu organización? Lee más en alta-ict.nl/security-behaviour o ponte en contacto con nosotros para un debate práctico.