El 90% del contenido de una capacitación en ciberseguridad se olvida dentro de los 30 días, cuando la formación es genérica, programada y desconectada del momento real en que la persona toma una decisión de riesgo.Si en tu organización se dicta un curso anual, se marca el casillero de cumplimiento y se espera que eso baje la exposición al phishing, hay evidencia dura de que no funciona. En este Mes de la Concientización en Ciberseguridad, vale la pena revisar por qué.
Hay cuatro causas típicas:
1️⃣ Es un evento, no un proceso. Un curso anual compite contra miles de correos y decisiones diarias.
2️⃣ Es genérica. El mismo contenido para todos ignora que un responsable de pagos y un desarrollador tienen perfiles de riesgo distintos.
3️⃣ No se mide. Sin indicadores, no hay forma de saber si el riesgo bajó o subió.
4️⃣ Se vive como control, no como herramienta. Cuando los equipos sienten que las simulaciones son “trampas”, se desenganchan o encuentran formas de evitarlas.El resultado: los equipos de seguridad gastan el 50 a 70% de su tiempo en campañas manuales y los SOC terminan atendiendo errores humanos repetitivos en lugar de amenazas reales.
Un programa de Security Awareness Training moderno se construye sobre cuatro pilares.
1️⃣ De la vigilancia al acompañamiento. El objetivo no es “atrapar” al que hace clic. Es que la organización, como colectivo, baje su exposición. Un programa bien diseñado reemplaza el enfoque punitivo por uno educativo: cuando alguien cae en un phishing simulado, el flujo lo lleva a un microlearning específico, no a un reporte a RRHH.
2️⃣ Contenido personalizado por rol y riesgo. No todos los colaboradores enfrentan las mismas amenazas. Los perfiles de finanzas y compras reciben más intentos de Business Email Compromise (BEC); los equipos de tecnología, más ataques dirigidos; la primera línea, más phishing masivo. Capacitar por igual a todos ignora esa realidad y desperdicia esfuerzo. El programa debe segmentar por perfil de riesgo y por rol, no aplicar el mismo contenido a toda la plantilla.
3️⃣ Premiar el reporte, no castigar el clic. La métrica más valiosa de madurez no es “cuántos no cayeron”, sino cuántos reportaron un correo sospechoso. Un empleado que reporta protege a toda la organización. Los programas maduros gamifican y reconocen el reporte.
4️⃣ Medición continua y transparente. Phish-prone Percentage, Risk Score por persona, tasa de reporte y tiempo de remediación son los indicadores que permiten mostrarle al directorio que la inversión está funcionando. Un programa SAT bien documentado cumple además con los requisitos de ISO 27001, SOC 2, SOX, resoluciones de la CNV y guías de la UIF en Argentina, por lo que la misma medición sirve de evidencia frente a auditorías internas y externas.
KnowBe4 es la plataforma de SAT más utilizada a nivel global, con 15+ años de inteligencia de amenazas. Combina:
📉 Las organizaciones que lo implementan correctamente logran una reducción del 87% del riesgo humano en 12 meses.
Como Channel Partner oficial de KnowBe4, en Crearis Latam acompañamos el ciclo completo del programa de concientización:
Combinamos más de 15 años de experiencia en GRC, auditoría interna y ciberseguridad en Argentina y Latinoamérica con la tecnología líder del mercado.El costo del programa depende del tamaño de la organización y del alcance definido. Lo que sí se puede estimar con precisión es el retorno: el costo evitado por una brecha es significativamente mayor al de un programa anual sostenido.
