El factor social y humano
Concientización y capacitación de usuarios
Enseñar y educar a quienes trabajan en una organización es,
sin duda, la tarea más importante para proteger los datos de todos, pues casi
el noventa y cinco por ciento de las fallas de seguridad ocurren por un simple
descuido o error de las personas. Los atacantes saben perfectamente que es más
fácil engañar a un usuario que descifrar un programa de defensa, por lo que
prefieren enfocarse en manipular sentimientos cotidianos en lugar de vulnerar
sistemas complejos. La educación en estos temas no busca transformar a todos en
expertos en computación, sino entrenar el sentido común para que la gente
aprenda a desconfiar cuando algo parezca demasiado real, entendiendo que el
realismo no es sinónimo de verdad. Una buena preparación debe motivar a los
empleados a tomarse un momento para pensar, dudar y verificar de forma segura
cualquier mensaje inesperado antes de actuar. Aunque ningún curso o charla
logrará reducir el riesgo de engaño a cero por completo, sembrar hábitos
sencillos —como mantener las cuentas personales privadas, usar claves complejas
y activar siempre el segundo paso de ingreso en cada aplicación— es el primer
gran paso para construir una defensa de la que todos formen parte de manera
activa y consciente.
Políticas internas de seguridad
Las normas de seguridad dentro de una oficina no pueden
depender de la buena voluntad o de la memoria de las personas; necesitan
traducirse en reglas claras de juego que protejan a los empleados en momentos
de prisa o confusión. El núcleo de una buena política interna es obligar a la doble
verificación a través de canales conocidos y de total confianza: si un supuesto
jefe pide por un mensaje de texto o WhatsApp que se realice un pago de dinero
urgente, la regla escrita debe exigir confirmar la orden llamando directamente
por teléfono antes de transferir. Asimismo, las políticas corporativas deben
cuidar celosamente la huella que la empresa deja en internet, gestionando con
discreción los datos públicos como los nombres de los cargos, números de
contacto o líneas de mando, reduciendo así la información que los delincuentes
usan para armar sus trampas. Por último, estas normas deben contemplar la salud
física de sus propios defensores de sistemas mediante planes de control del
cansancio, estableciendo tiempos de descanso obligatorios tras atender
incidentes de noche y fijando límites saludables al tiempo de guardia activa
para evitar que el agotamiento extremo nuble su juicio.
Cultura organizacional de seguridad
La verdadera seguridad de una empresa no se mide en la
cantidad de firewalls o parches de software instalados, sino en la salud y la
confianza de la propia organización de seguridad, que es el equipo humano
encargado de protegernos. Tradicionalmente, los departamentos de seguridad se
han gestionado bajo una presión absurda y poco realista. Existe la mala
costumbre de glorificar la figura del analista que pasa toda la noche
despierto, respondiendo a incidentes a base de café y música, un mito del
"héroe solitario" que en la vida real solo provoca agotamiento
crónico y errores graves por fatiga. Un equipo de seguridad sano debe romper
por completo con esta idea y empezar a celebrar el trabajo coordinado, el apoyo
mutuo y las tareas resueltas dentro del horario laboral normal. Trabajar de
madrugada no debería ser una medalla de honor, sino una excepción extrema que
se compense con tiempos de descanso obligatorios y rotación de puestos, tal
como hace la aviación para evitar que el cansancio nuble el juicio de sus
tripulaciones. Cuando el personal de seguridad está mentalmente agotado, pierde
la agudeza visual y la rapidez mental para responder ante un ataque que hoy en
día puede comprometer una red en apenas 27 minutos.
Para que una organización de seguridad sea fuerte, también
es indispensable curar el ambiente dentro del propio equipo. La ciberseguridad
es un océano de información infinito donde las herramientas cambian
constantemente y es físicamente imposible saberlo todo, lo que hace que incluso
los analistas más brillantes sufran el síndrome del impostor y sientan que son
un fraude. Si a esto le sumamos un entorno técnico con un ego tóxico, donde los
compañeros están esperando el más mínimo error para señalar o ridiculizar al
otro, el resultado es el silencio y el miedo. En una cultura de seguridad
fuerte, el liderazgo debe convertir la duda en un acto de valentía y normalizar
que la frase más respetada sea "no lo sé, ¿me lo explicas?". Es vital
desterrar esa "cultura de trinchera" y adoptar la regla de oro de
corregir siempre con respeto en privado y felicitar los logros públicamente. Si
los miembros de tu propio equipo tienen más miedo a hacer una pregunta o
admitir una duda que a un ataque informático, la empresa está en un peligro
inmenso, porque el miedo silencia las alertas tempranas que podrían salvar a la
organización.
Finalmente, esta transformación cultural debe reflejarse en
cómo el departamento de seguridad se relaciona con el resto de la empresa. No
podemos pretender que un empleado o un directivo colabore con la seguridad si
le hablamos en un idioma incomprensible lleno de tecnicismos intimidantes. Las
investigaciones demuestran que casi dos de cada diez directivos ocultan que no
entienden los términos técnicos en las reuniones y un tercio prefiere no
preguntar porque sienten que el personal de TI no sabe explicarse de forma
clara. Esto provoca que las decisiones de presupuesto se tomen a ciegas, sin
saber si realmente se están cubriendo los riesgos más importantes. El líder de
seguridad, o CISO, debe bajarse del pedestal técnico y convertirse en un
puente: explicar las amenazas con métricas sencillas que cualquiera pueda
entender y, sobre todo, traer soluciones prácticas de negocio en lugar de solo
listar problemas. Al final del día, una organización de seguridad resiliente es
aquella que entiende que su gente es su mejor defensa, que reduce la
complejidad de sus herramientas para evitar la fatiga —evitando el estrés
tecnológico que en sectores como la medicina duplica el desgaste de los
profesionales— y que construye un entorno donde la empatía, la comunicación clara
y el descanso de sus defensores son tan importantes como el código de
programación más avanzado
Phishing impulsado por IA Generativa
El viejo phishing que enviaba correos masivos con mala
ortografía e historias absurdas está quedando en el pasado gracias al uso de la
inteligencia artificial generativa. Ahora, los delincuentes logran escribir
mensajes impecables e idénticos a los de una empresa real, logrando que más de
la mitad de las personas hagan clic en sus trampas, lo que multiplica las
ganancias de estas estafas hasta cincuenta veces. A través de estas
tecnologías, los atacantes investigan la vida de las víctimas en redes
sociales, analizan cómo habla su jefe y crean correos personalizados sumamente
creíbles. Pero la amenaza va mucho más allá de un texto escrito: hoy, con solo
tomar un video público de pocos segundos, es posible clonar la voz de un
gerente para llamar por teléfono y pedir un desvío urgente de fondos, o incluso
falsear rostros en videollamadas grupales en tiempo real para autorizar
transacciones fraudulentas. La velocidad de estos ataques es tan alta que el
tiempo que tarda un intruso en moverse por la red tras el primer clic se ha
reducido a solo veintisiete minutos. En un entorno donde las cuentas de las
máquinas superan por mucho a las de los humanos, entender estas nuevas
realidades es indispensable para proteger el lado más humano del trabajo
cotidiano.
la Evolución de la Amenaza: Psicología, Automatización e IA Generativa en el Éxito del Phishing
El Escudo Socio-Organizacional: Políticas, Capacitación y Cultura para la Resiliencia Humana
Fuentes:
Rangarajan,
A., Nobles, C., Dykstra, J., Cunningham, M., Robinson, N., Hollis, T., Paul, C.
L., & Gulotta, C. (2024). A Roadmap to Address Burnout in the Cybersecurity
Profession: Outcomes from a Multifaceted Workshop. arXiv
https://arxiv.org/pdf/2502.10293
VT
Security. (s.f.). Ciberseguridad NO es para todos (y está bien) [Archivo
de video]. YouTube
https://www.youtube.com/watch?v=iLLbIjLZKK0
HayCanal. (s.f.). El desconocimiento en ciberseguridad
provoca confusión. HayCanal.
https://haycanal.com/noticias/19055/el-desconocimiento-en-ciberseguridad-provoca-confusion
S4viSinFiltro. (s.f.). La Comunidad Tóxica de la
Ciberseguridad [Archivo de video]. YouTube
https://www.youtube.com/watch?v=PjWim9nMMdM
Fearn, N. (15 de mayo de 2025). La ciberseguridad se
enfrenta a una crisis de salud mental: cómo solucionarla. ISMS.online.
De los Llanos Dueñas, A. (Septiembre de 2025). Mi Amigo, el
Síndrome del Impostor: Guía de Supervivencia en Ciberseguridad. Minery Report.
https://mineryreport.com/blog/sindrome-del-impostor-ciberseguridad/
Jaime & Pablo. (s.f.). Lo que Realmente Hago Como
Ingeniero en Ciberseguridad – Salarios, Tareas y Horarios [Archivo de
video]. YouTube.
https://www.youtube.com/watch?v=ZwrUKO2UVxU
CyberFlow.
(s.f.). cybersecurity is cooked [Archivo de video]. YouTube.
https://www.youtube.com/watch?v=PqBrVRUqFUM
Sawant, P.
(s.f.). Social Engineering- The art of hacking humans [Archivo de
video]. YouTube.
https://www.youtube.com/watch?v=lEK84lV6dxs
Rizzi, M. (2026, 8 de junio). Artificial Intelligence-Driven Phishing: How Phishing Technique Is Evolving and Implemented. InfoQ.
https://www.infoq.com/articles/artificial-intelligence-driven-phishing/
Wang, Z., Sun, L., & Zhu, H. (2020). Defining Social Engineering in Cybersecurity. IEEE Access, 8, 86619-86644. https://doi.org/10.1109/ACCESS.2020.2992807
Comentarios
Publicar un comentario