Cuando una organización habla de concientización en ciberseguridad, casi siempre aparece la misma receta: un curso anual, algunos mails, quizás un afiche o dos. Se capacita, se comunica… y se da el tema por cerrado. Con suerte.
Jorge Luis Litvin me compartió un posteo de Alicia James donde se hace eco de una simple y muy clara infografía de Gabor Stramb (les dejo el posteo original por aquí). Sentí que podía resumir algunas de sus ideas y transformarlo en una base para parte de nuestro trabajo cotidiano sobre cambio cultural en ciberseguridad.
Porque cambiar comportamientos (especialmente en ciberseguridad) no tiene que ver solo con informar. Tiene que ver con cómo las personas piensan, sienten y deciden en su trabajo cotidiano.
El cambio sostenido no ocurre porque alguien “entendió” una política o aprobó un examen. Ocurre cuando la conducta segura se vuelve fácil, natural y posible en el momento justo. Cuando la organización reduce fricciones, diseña buenas decisiones por defecto y acompaña a las personas con señales claras en el flujo real de trabajo. Si hacer lo correcto requiere esfuerzo extra, atención constante o memoria perfecta, el sistema ya está fallando.
En ciberseguridad, los hábitos se construyen cuando el entorno ayuda, no cuando la voluntad tiene que compensar todo. Ahí es donde se juega la ciberseguridad.
Y además, no decidimos en frío. La mayoría de las decisiones que generan incidentes se toman bajo apuro, carga cognitiva, presión operativa o exceso de confianza. En esos contextos no gana la regla escrita ni el mail corporativo, gana el comportamiento automático. Por eso los programas efectivos no intentan “convencer” personas, sino diseñar escenarios donde el error sea menos probable y la acción segura sea la más simple. Entender cómo las personas realmente perciben el riesgo, cómo responden a señales ambiguas y cómo normalizan atajos es tan importante como cualquier control técnico.
El cambio no se construye solo con contenidos, sino con estrategia, contexto, refuerzos, liderazgo visible y medición de adopción real. Con entender qué impacto tiene una nueva práctica en el día a día, qué resistencias aparecen, qué hábitos compiten con los que queremos instalar y qué señales da la organización cuando nadie está mirando.
Por eso muchos programas fracasan sin que nadie lo diga en voz alta. Porque miden asistencia, pero no decisiones. Porque celebran “curso completado”, pero no observan comportamientos. Porque comunican mucho, pero refuerzan poco.
En ciberseguridad, el cambio cultural sucede cuando dejamos de preguntarnos si la gente entendió el mensaje y empezamos a preguntarnos si actúa distinto.
Capacitar no es cambiar. Comunicar no es transformar. ¿Cómo podemos hacerlo diferente? Así.
La seguridad madura aparece cuando el foco pasa de “enseñar” a acompañar el cambio, cuando se integra la ciberseguridad a la cultura, al liderazgo y a la forma real de trabajar.
La pregunta entonces no es si ya dimos el curso. La pregunta incómoda (pero necesaria) es otra: ¿Qué está haciendo hoy nuestra gente que no hacía antes? Ahí empieza la ciberseguridad que reduce riesgo de verdad.
¿Vos como lo ves? Espero tus opiniones en los comentarios.