Por Roberto Marzocca, Head of Cybersecurity de Kirey
Durante años, el sector de la ciberseguridad ha repetido que las personas son el eslabón más débil de la cadena, presentando la formación como la única solución real frente a esta “vulnerabilidad humana”.
Los datos actuales lo siguen confirmando: según el informe Verizon DBIR 2025, el 68% de los incidentes y brechas analizadas involucran un componente humano (phishing, ingeniería social, errores, uso indebido de credenciales), lo que demuestra que la superficie vulnerable no es solo tecnológica, sino también, en gran medida, cognitiva y conductual.
Durante más de veinte años, la concienciación en ciberseguridad ha buscado precisamente eso: enseñar a las personas a reconocer señales de alerta. De ahí ha surgido todo un ecosistema de programas de formación basados en evaluaciones periódicas (a menudo anuales o mensuales) y en sesiones formativas puntuales, normalmente activadas tras suspender un test de phishing.
Pero si el phishing, que surgió en la segunda mitad de los años 90, tardó casi veinte años en convertirse en una de las técnicas de ciberataque dominantes tras la adopción masiva del correo electrónico, hoy el ciclo de innovación tecnológica se mide en semanas, a veces en días, y con él evoluciona también el panorama de amenazas. Por eso es necesario preguntarse si la formación no debería evolucionar también, pasando de la simple concienciación al desarrollo de la capacidad de tomar decisiones conscientes.
De la concienciación a la toma de decisiones: un cambio de paradigma
Con la llegada de la inteligencia artificial, el propio concepto de error humano está cambiando. Ya no se trata solo de hacer clic en el enlace equivocado, sino de interactuar con sistemas que pueden ser influenciados o manipulados.
No por casualidad, la fundación OWASP clasificó la inyección de prompts (que permite “inyectar” instrucciones maliciosas en correos, PDFs o páginas web leídas por una IA, llevándola a saltarse reglas, priorizar de forma incorrecta o extraer contenido de fuentes no fiables) como la vulnerabilidad número uno de las aplicaciones basadas en LLM ya en su primer Top 10 de 2023, confirmada de nuevo en la actualización de 2025.
La curva de adopción de estas técnicas basadas en IA es notable y ha encontrado un terreno especialmente fértil en el fenómeno de la Shadow AI: el uso creciente de herramientas de IA por parte de los empleados, a menudo sin autorización, sin supervisión y al margen de los controles de seguridad corporativos. Aquí se abre una nueva zona gris para la ciberseguridad: conversaciones y documentos pueden salir del perímetro controlado, mientras las decisiones operativas se aceleran gracias a sugerencias automáticas que no siempre son verificables.
Hoy las personas deben aprender no solo a usar la IA, sino a supervisarla de forma crítica, y por eso el viejo enfoque formativo empieza a mostrar claramente sus límites. Los correos de phishing pueden estar perfectamente redactados, sin errores gramaticales y altamente personalizados. Las llamadas pueden utilizar clonación de voz. Los documentos pueden generarse con un estilo idéntico al de las comunicaciones corporativas.
La pregunta que la formación en ciberseguridad debe plantear a sus destinatarios tiene que evolucionar en consecuencia: ya no solo “¿sabes reconocer un ataque?”, sino “¿sabes tomar decisiones seguras cuando no dispones de toda la información?”. Un cambio de paradigma que exige repensar tanto la personalización de los contenidos formativos como los tiempos y formas de involucrar a las personas.
- Adaptar los contenidos: del enfoque generalista al personalizado
En un contexto que cambia tan rápido como el actual, ofrecer la formación adecuada, a la persona adecuada y en el momento adecuado puede marcar la diferencia. Un CFO se enfrenta a riesgos y posibles daños derivados de una brecha muy distintos a los de un responsable de RRHH, del mismo modo que una empresa metalúrgica tiene un perfil de riesgo diferente al de una entidad financiera, y cada organización cuenta con herramientas y procesos propios.
Desde esta perspectiva, el primer paso que debe dar la concienciación en ciberseguridad es sustituir el enfoque “talla única” por la personalización, y en este sentido, la IA puede convertirse en una aliada extraordinaria. - La formación debe volverse continua, contextual y experiencial
Aunque los programas formativos actuales (formación presencial con instructor, formación remota con contenidos predefinidos, etc.) han sido durante mucho tiempo una estrategia fundamental, la investigación apunta cada vez más hacia nuevos modelos de formación.
Algunos son marcadamente experienciales, como las escape rooms, que funcionan porque transforman la ciberseguridad de un conocimiento pasivo en una experiencia de toma de decisiones bajo presión, potenciando el engagement y el aprendizaje inmediato, con efectos medibles sobre el conocimiento y la actitud de los participantes.
Otros, apoyados en la IA generativa, personalizan automáticamente los contenidos y ofrecen funcionalidades decisivas como el microlearning, el coaching en tiempo real, simulaciones personalizadas y feedback inmediato.
Gracias a la IA, en lugar de recibir un curso de una hora cada doce meses, un empleado puede recibir un aviso de treinta segundos justo cuando está a punto de compartir un archivo sensible, lo que permite pasar de una lógica de “por si acaso” a una lógica de “justo a tiempo”. - Medir el comportamiento, no solo la finalización del curso
Por último, mientras que históricamente muchas empresas han utilizado KPI como la tasa de finalización de cursos, las horas de formación o los resultados de los tests finales, también se ha demostrado repetidamente que estos programas no evitan que los empleados sigan cayendo en campañas de phishing.
Para llevar la concienciación en ciberseguridad al terreno real de la resiliencia, la atención debe desplazarse hacia métricas de comportamiento como la velocidad de reporte de intentos de phishing, la frecuencia de errores, el uso correcto de las herramientas, la reducción de conductas de riesgo y la calidad de las decisiones tomadas.
De esta forma, la concienciación en ciberseguridad se convierte en una disciplina de cambio de comportamiento, más cercana a la psicología conductual que a la formación tradicional, lo que confirma que la IA no elimina el factor humano en la seguridad, sino que transforma su papel.
Si antes se pedía sobre todo a las personas que no cometieran errores, hoy se les pide que tomen decisiones correctas en colaboración con sistemas inteligentes. La verdadera resiliencia organizativa dependerá, por tanto, no solo de la calidad de los algoritmos, sino de la calidad de la relación entre personas, procesos e IA.
¿Quieres saber en qué punto está tu empresa frente a este tipo de riesgos? Haz clic aquí para descubrir recursos y contactar con nuestro equipo de ciberseguridad, y valorar el nivel de madurez de tu organización frente a estos riesgos.
