Concienciar en ciberseguridad no es suficiente

 

Cada vez que alguien habla de «concienciar en ciberseguridad», me imagino pulsando un botón que abre una trampilla bajo sus pies y lo deja caer en una fosa llena de cocodrilos. Sí, puede parecer una reacción exagerada. Pero es que la ciberseguridad es demasiado importante como para conformarnos con concienciar.

Concienciar no es educar. Y mucho menos significa que alguien sepa protegerse.

Pensemos en el carnet de conducir.

¿Alguien se imagina que para obtenerlo bastase con asistir a una charla sobre los peligros de la carretera? Nos explicarían que conducir demasiado rápido es peligroso, que hay que respetar los semáforos y que no debemos utilizar el móvil al volante.

Y después, nos entregarían las llaves del coche. Absurdo, ¿verdad?

Para conducir hay que aprender las normas, practicar y demostrar que se tienen los conocimientos y las habilidades necesarias. La demostración es un examen de certificación.

¿Por qué en ciberseguridad nos conformamos con menos?

En muchas organizaciones, la formación en ciberseguridad sigue reduciéndose a charlas ocasionales, vídeos, campañas de concienciación o simulaciones de phishing.

Todo esto puede ser útil. Pero saber que existen los ciberdelincuentes no significa saber reconocer un ataque. Y haber visto un vídeo sobre contraseñas no garantiza que alguien sepa proteger sus credenciales.

La diferencia es fundamental:

• Concienciar: saber que existe un peligro.

• Educar: entender el peligro y cómo evitarlo.

• Entrenar: practicar cómo actuar ante situaciones reales.

• Evaluar: demostrar que se han adquirido los conocimientos y las habilidades necesarias.

En una organización, todas las personas deberían recibir una educación básica en ciberseguridad y protección de datos, adaptada a sus responsabilidades, y demostrar periódicamente que saben aplicar lo aprendido.

No estoy diciendo que todo el mundo tenga que convertirse en especialista en ciberseguridad. Del mismo modo que no necesitamos ser pilotos de Fórmula 1 para conducir un coche. Pero sí debemos exigir unos conocimientos mínimos para desenvolvernos con seguridad en el entorno digital.

Una acreditación básica de competencias en ciberseguridad debería ser tan normal como tener el carnet de conducir.

Y el aprendizaje no debería limitarse a un curso anual. Los riesgos cambian, aparecen nuevas amenazas y olvidamos lo que no practicamos. Por esto me parece especialmente interesante el enfoque del aprendizaje incremental: adquirir conocimientos poco a poco, resolver dudas cuando aparecen y reforzar lo aprendido de forma continua.

Esta es precisamente la idea que impulsa Alerta Copilot, una herramienta que permite consultar dudas sobre ciberseguridad y protección de datos y aprender progresivamente.

Porque el objetivo no debería ser que los empleados recuerden una presentación sobre phishing, básicamente porque no lo recordarán. El objetivo debería ser que sepan qué hacer cuando reciben un correo sospechoso... y que puedan demostrarlo.

Así que la próxima vez que alguien proponga una campaña para «concienciar en ciberseguridad», le haría una pregunta:

¿Queremos personas conscientes de los riesgos o personas capaces de protegerse frente a ellos?

Porque no basta con enseñarles que hay cocodrilos, es neceario enseñarles a no caer en la fosa.