Deja de formar a las personas. Empieza a arreglar la tecnología.

Por qué la formación en concienciación sobre seguridad es una mentira reconfortante, y qué deberíamos hacer en su lugar

La semana pasada, en el ESET Cyber Defence Summit, la profesora Bibi van den Berg, catedrática de Gobernanza de la Ciberseguridad en la Universidad de Leiden y miembro del Consejo de Ciberseguridad de los Países Bajos, dijo algo que la mayoría del público ya sospechaba pero pocos se atrevían a decir en voz alta: la investigación muestra de forma consistente que la formación en concienciación sobre seguridad apenas mueve la aguja del comportamiento seguro real. La sala se quedó en silencio un momento. Luego, poco a poco, las cabezas empezaron a asentir.

Yo era una de esas cabezas que asentían. No porque disfrute llevando la contraria, sino porque esto encaja con todo lo que he visto en más de una década trabajando en seguridad de la información. Hemos gastado miles de millones en programas de concienciación, simulaciones de phishing y módulos de e-learning. Y sin embargo, las brechas siguen ocurriendo. Las tasas de clic apenas se mueven. Los humanos siguen siendo humanos.

La investigación está sobre la mesa, y es demoledora

Van den Berg no se limita a presentar opiniones desde el escenario. Ella y sus colegas de la Universidad de Leiden han producido la investigación que lo respalda. En 2024, Prümmer, Van Steen y Van den Berg publicaron un metaanálisis que examinó 69 estudios sobre la eficacia de la formación en ciberseguridad. Su conclusión es llamativa: aunque la formación sí mejora el conocimiento y la concienciación, la gente aprende a identificar amenazas en teoría, el efecto sobre el comportamiento real es una historia completamente distinta. Cuando los estudios usaron grupos independientes para medir el cambio real de comportamiento, hallaron solo un efecto pequeño y estadísticamente no significativo. En lenguaje llano: “la gente sabe lo que debería hacer, pero no lo hace de forma fiable”.

Este hallazgo no salió de la nada. Un año antes, el mismo equipo de investigación publicó una revisión sistemática de los métodos actuales de formación en ciberseguridad en la misma revista. Esa revisión concluyó que limitarse a proporcionar información tiene un efecto reducido a la hora de cambiar el comportamiento, que los programas de formación suelen ser demasiado limitados en su alcance y que los empleados con frecuencia carecen de entusiasmo por el material. La traslación de la formación al comportamiento en el puesto de trabajo es, en palabras de los propios autores, una tarea difícil. Cuando se usan métodos de eficacia limitada, se desperdician esfuerzo y recursos.

Lo que hace estos hallazgos especialmente demoledores es el análisis de moderadores: el metaanálisis probó si el tipo de método de formación, la plataforma, el entorno social o el uso de varios métodos marcaban una diferencia significativa. Ninguno lo hizo. No es que aún no hayamos encontrado el método de formación adecuado. Todo el paradigma de la formación como reducción de riesgo tiene una limitación fundamental.

La certeza matemática del fracaso

Aquí está la verdad incómoda que nuestro sector se niega a aceptar: aunque formaras a cada empleado hasta un 99% de acierto (lo que sería un logro extraordinario, muy por encima de lo que la investigación demuestra que es posible), las matemáticas seguirían jugando en tu contra. En una organización de 1.000 empleados, cada uno tomando decenas de decisiones relevantes para la seguridad cada día, estás hablando de decenas de miles de oportunidades de error. Cada día. La probabilidad de que al menos una persona haga lo incorrecto en el momento incorrecto es, a todos los efectos prácticos, del cien por cien.

Esto no es un problema de formación. Es un problema de diseño de sistemas. Y los problemas de diseño de sistemas no se resuelven dando charlas a las personas atrapadas dentro de un sistema mal diseñado.

La industria de la simulación de phishing vende placebos

En Guardian360 dejamos de ofrecer pruebas de phishing hace varios años. No fue una decisión de negocio popular, porque las simulaciones de phishing son un mercado lucrativo. Pero lo dejamos porque no podíamos, en conciencia, seguir vendiendo un servicio que sabíamos que no reducía el riesgo de forma significativa.

Las simulaciones de phishing miden un único momento en el tiempo. Te dicen que Janet, de contabilidad, hizo clic en un enlace falso un martes por la tarde. No te dicen por qué. ¿Iba con prisa? ¿Era el correo indistinguible de uno legítimo? ¿Estaba con el móvil mientras caminaba a una reunión? La prueba genera datos, pero no comprensión. Y la respuesta organizativa típica, en este caso más formación para Janet, trata el síntoma mientras ignora la enfermedad.

Peor aún, las pruebas de phishing crean una falsa sensación de seguridad. “Nuestra tasa de clics bajó del 25% al 12%”, le dice el CISO al consejo, y todos aplauden. Pero el 12% de mil empleados siguen siendo 120 puertas abiertas. Y al atacante solo le hace falta una. El metaanálisis de Leiden confirma esta intuición: incluso en los estudios más favorables, el efecto sobre el comportamiento es modesto en el mejor de los casos y no significativo en el peor.

La tecnología debe cargar con el peso

Mi convicción, endurecida por años de experiencia y ahora respaldada por el trabajo de Van den Berg y sus colegas, es sencilla: la tecnología tiene que resolver esto. No como complemento de la formación. Como primera línea de defensa.

¿Qué significa eso en la práctica? Significa que dejamos de pedir a los humanos que sean la última línea de defensa y empezamos a construir sistemas donde los humanos no puedan cometer errores catastróficos con facilidad. Piénsalo: no formamos a los pasajeros de una aerolínea para que inspeccionen los remaches del ala antes del despegue. Construimos aviones que son seguros por diseño, mantenidos por ingenieros certificados y monitorizados por sistemas automatizados. Deberíamos exigir la misma filosofía a nuestra infraestructura digital.

En concreto, esto significa invertir en tecnologías que hagan la seguridad invisible e inevitable. La autenticación sin contraseña elimina toda la categoría del robo de credenciales. Las llaves de seguridad por hardware hacen que el phishing sea técnicamente imposible, no solo improbable. La detección y respuesta en endpoints atrapa el malware que alguien inevitablemente descarga. El filtrado de correo detiene el mensaje malicioso antes de que llegue a la bandeja de entrada. Las arquitecturas de confianza cero limitan el radio de impacto cuando, no si, alguien comete un error.

Hacer que la seguridad sea el camino de menor resistencia

El error fundamental del paradigma de la formación en concienciación es que plantea la seguridad como algo que las personas deben elegir activamente, una y otra vez, miles de veces al día, en contra de la atracción de la comodidad, la urgencia y la costumbre. Esa no es una expectativa realista de los seres humanos. Nunca lo fue.

El paradigma que necesitamos es distinto. La seguridad debería ser lo predeterminado. El camino fácil y el camino seguro deberían ser el mismo camino. Cuando divergen, cuando la opción segura requiere más pasos, más fricción, más carga cognitiva, es el sistema el que está roto, no el usuario.

Esto no es una idea radical. Es como pensamos sobre la seguridad en prácticamente cualquier otro ámbito. Los ingenieros de carreteras no confían solo en la formación del conductor para evitar accidentes, instalan quitamiedos, diseñan zonas de deformación y obligan a los airbags. Los arquitectos de hospitales no confían en carteles sobre el lavado de manos, instalan dispensadores automáticos en cada puerta. Y sin embargo, en ciberseguridad seguimos colgando los carteles y preguntándonos por qué la gente pasa de largo.

El valor de cambiar la conversación

Sé que esta postura incomoda a algunas personas. La industria de la concienciación sobre seguridad vale miles de millones. Se han construido carreras sobre ella. Los marcos de cumplimiento la exigen. Y sí, no digo que no debamos contarles absolutamente nada a los empleados sobre seguridad. La higiene básica, como entender por qué no debes compartir tu contraseña y reconocer que existen amenazas, es lo mínimo imprescindible. La investigación de Leiden confirma que el conocimiento y la concienciación sí mejoran con la formación. Pero el conocimiento sin cambio de comportamiento es una costosa ilusión de seguridad.

Es hora de tener el valor de redirigir esos presupuestos, esa energía y esa atención directiva desde los programas de formación hacia inversiones en tecnología que de verdad muevan la aguja. No porque la tecnología sea perfecta (no lo es), sino porque es escalable, consistente y no tiene un mal día un martes por la tarde.

Deja de formar a las personas. Empieza a arreglar la tecnología. Tus usuarios no son el eslabón más débil, lo son tus sistemas.

Referencias

Prümmer, J., Van Steen, T., & Van den Berg, B. (2024). Assessing the effect of cybersecurity training on end-users: A meta-analysis. Computers & Security, 150, 104206.

Prümmer, J., Van Steen, T., & Van den Berg, B. (2024). A systematic review of current cybersecurity training methods. Computers & Security, 136, 103585.

Van den Berg, B. (2026). Mesa redonda en el ESET Cyber Defence Summit.