Cómo crear un programa de concientización en seguridad que funcione en pequeñas empresas

Un programa de concientización en seguridad que de verdad cambia el comportamiento es breve, frecuente y amable: unos minutos de capacitación cada mes en lugar de un video largo una vez al año, simulaciones de phishing que enseñan en vez de avergonzar, una forma de reportar mensajes sospechosos con un solo clic y resultados medidos por cuántas personas reportan, no por quién hizo clic. Para los equipos del sur de Florida, también debe ofrecerse en el idioma en que cada empleado se sienta más cómodo. Esta guía explica paso a paso cómo crear ese programa con las recomendaciones de NIST, la FTC y las herramientas que ya vienen integradas en Microsoft 365.

Por qué la mayoría de los programas de capacitación se quedan cortos

Muchas pequeñas empresas cumplen el requisito con un video anual y un cuestionario. Una sola sesión al año se olvida fácilmente, y el contenido genérico suele tener poco que ver con los mensajes que el personal recibe de verdad. La guía actualizada de NIST, Building a Cybersecurity and Privacy Learning Program (SP 800-50 Rev. 1, septiembre de 2024), adopta un enfoque de ciclo de vida: la capacitación es un programa continuo, con métricas para evaluarlo y mejorarlo, cuyo objetivo es cambiar comportamientos y construir una cultura de seguridad y privacidad, no terminar un curso. La guía de ciberseguridad para pequeñas empresas de la FTC lo dice en términos más sencillos: capacite a su personal y hágalo con regularidad.

La buena noticia es que una pequeña empresa puede hacerlo bien sin un gran presupuesto, porque los ingredientes más importantes son reglas claras y constancia.

Paso 1: defina lo que el personal debe saber hacer

Empiece por los comportamientos, no por los temas. En la mayoría de las oficinas la lista es corta:

• Reconocer y reportar un correo, mensaje de texto, llamada o código QR sospechoso
• Verificar cualquier solicitud de cambio de datos bancarios o de envío de dinero llamando a un número conocido
• Usar el administrador de contraseñas y el MFA, y nunca compartir códigos
• Bloquear la pantalla, mantener los dispositivos actualizados y reportar de inmediato la pérdida de un teléfono o una laptop
• Manejar los datos de clientes y pacientes según sus políticas
• Saber a quién llamar cuando algo sale mal, sin miedo a que lo culpen

Luego agregue elementos según el puesto. El personal de finanzas necesita una capacitación más profunda sobre fraude en pagos, la recepción sobre engaños telefónicos y los administradores sobre la protección de cuentas con privilegios.

Paso 2: sesiones cortas y regulares

Reemplace el maratón anual por un ritmo que el personal pueda mantener:

• Microlecciones mensuales de 5 a 10 minutos sobre un solo tema, por correo, en un video corto o en unos minutos de una reunión de equipo.
• Un ejemplo real cada mes, idealmente un mensaje de phishing que haya recibido su propia empresa, sin datos sensibles, con las señales de alerta señaladas.
• Una conversación trimestral de 15 a 20 minutos en la que el personal pueda hacer preguntas.
• Alertas oportunas cuando circule una estafa concreta, por ejemplo una campaña de facturas falsas dirigida a empresas locales.

Buen contenido para ir rotando: las señales de phishing que todo empleado debe conocer, los conceptos básicos de la autenticación multifactor y cómo usar el administrador de contraseñas de la empresa.

Paso 3: convierta el reporte en un hábito de un clic

Reportar es el comportamiento que protege a todos, porque un reporte temprano permite a IT eliminar un mensaje de todas las bandejas de entrada. Hágalo fácil:

• En Microsoft 365, el botón Report integrado en Outlook es la forma oficial de reportar phishing; Microsoft dejó en modo de mantenimiento los complementos anteriores Report Message y Report Phishing. Configure el destino de los reportes en la página User reported settings del portal de Microsoft Defender, incluido un buzón interno que su equipo de IT revise.
• En Google Workspace, muestre al personal dónde está la opción Denunciar phishing en Gmail.
• Para mensajes de texto, llamadas y códigos QR, ofrezca una alternativa sencilla: una captura de pantalla enviada a una dirección o canal de chat compartido de IT.
• Responda siempre con un agradecimiento y, cuando sea posible, con el resultado del análisis. La gente sigue reportando cuando ve que sirve.

Paso 4: haga simulaciones de phishing de forma ética

Los correos de phishing simulados son una buena herramienta de práctica, pero mal hechos destruyen la confianza. Algunas reglas básicas:

1. Anuncie el programa. Informe al personal que habrá simulaciones durante el año y por qué. No se anuncia cada prueba, pero el programa en sí nunca debe ser un secreto.
2. Nada de avergonzar. Nunca publique los nombres de quienes hicieron clic y nunca use por sí solos los resultados de las simulaciones para sanciones. Quien hace clic debe recibir un momento breve y privado de aprendizaje, no una reprimenda.
3. Evite señuelos crueles. No simule bonos, despidos, emergencias de salud ni cambios de beneficios. Funcionan, pero hacen que el personal se sienta engañado por su empleador.
4. Ajuste la dificultad al objetivo. La Phish Scale de NIST (Nota Técnica 2276) explica que la tasa de clics significa poco sin contexto: una simulación fácil produce una tasa de clics baja que no dice nada del riesgo real. Califique qué tan difícil es cada mensaje simulado y cámbielo con el tiempo.
5. Celebre los reportes. El mejor resultado de una simulación es que muchas personas la reporten rápido.

Sobre las herramientas: el Attack simulation training de Microsoft está incluido en Microsoft 365 E5 o en Defender for Office 365 Plan 2, y Microsoft documenta un subconjunto limitado de prueba para clientes E3. También permite campañas solo de capacitación e incluye módulos sobre phishing con códigos QR. Existen otras plataformas reconocidas; elija una que le permita controlar el contenido, los idiomas y cómo se comparten los resultados.

Paso 5: mida lo que importa

Mida la participación y los reportes, no la culpa:

Métrica	Por qué importa
Tasa de reporte en las simulaciones	Es el comportamiento que quiere fortalecer
Tiempo hasta el primer reporte	Qué tan rápido puede reaccionar IT ante una campaña real
Mensajes sospechosos reales reportados por mes	Muestra que el hábito funciona fuera de las pruebas
Capacitación completada	Participación básica
Tasa de clics, leída según la dificultad	Tendencia útil, nunca una clasificación de personas

Revise los números cada trimestre y ajuste el contenido. Si bajan los reportes, pregunte por qué: tal vez el botón es difícil de encontrar en el teléfono o nadie recibió respuesta después de reportar.

Paso 6: capacite en inglés y en español

Muchos equipos del sur de Florida trabajan en los dos idiomas, y las personas aprenden mejor y reaccionan más rápido en el idioma en que se sienten más cómodas. Ofrezca cada microlección, política y tarjeta de referencia rápida en inglés y en español, permita que el personal elija el idioma de sus módulos cuando la plataforma lo admita y asegúrese de que las simulaciones y los ejemplos reales reflejen los idiomas que su equipo realmente recibe. Los estafadores también se dirigen a los empleados hispanohablantes. Escribimos más sobre esto en por qué importa el soporte de IT bilingüe en el sur de Florida.

Paso 7: incorporación y aceptación de políticas

• Primer día: cada nuevo empleado recibe una orientación de seguridad de 15 minutos, las instrucciones para reportar y las reglas clave, como parte de su lista de verificación de incorporación y salida de empleados.
• Políticas por escrito: uso aceptable, contraseñas y MFA, verificación de pagos, dispositivos y uso de IA, breves y en lenguaje sencillo.
• Aceptación: pida a los empleados que acepten las políticas al ser contratados y una vez al año, y guarde los registros. Las aseguradoras cibernéticas y las revisiones de cumplimiento suelen pedir pruebas de que la capacitación se realiza.

Un plan sencillo para el primer trimestre

1. Mes 1: active el botón de reporte, publique las instrucciones para reportar en los dos idiomas y haga una reunión de arranque de 15 minutos.
2. Mes 2: primera microlección y una simulación sencilla dentro del programa ya anunciado; agradezca a todos los que reporten.
3. Mes 3: revise los resultados de los reportes, recoja comentarios y planifique los temas del siguiente trimestre.

La concientización en seguridad es un hábito, y los hábitos se construyen con pasos pequeños y regulares y con una cultura en la que reportar es bienvenido. Si desea ayuda para crear un programa bilingüe con simulaciones, reportes y políticas adaptadas a su equipo, solicite una evaluación de IT gratuita. Core Florida IT trabaja con empresas en todo Miami-Dade y el sur de Florida a través de nuestros servicios de ciberseguridad.

Fuentes

• Building a Cybersecurity and Privacy Learning Program, NIST SP 800-50 Rev. 1 (NIST)
• NIST Phish Scale User Guide, Technical Note 2276 (NIST)
• Cybersecurity for Small Business (FTC)
• Get started using Attack simulation training (Microsoft Learn)
• Transition from the Report Message or Report Phishing add-ins (Microsoft Learn)