SecurityWeek concluye que la formación en concienciación sobre seguridad sigue siendo útil, pero fracasa cuando se convierte en un curso anual general de cumplimiento que no está relacionado con el contexto del empleado ni con el momento de la toma de decisiones. A medida que evolucionan el phishing y la ingeniería social impulsados por la inteligencia artificial, la formación conductual recurrente debería integrarse con controles técnicos, medidas de identidad y procedimientos de denuncia y verificación.
El valor de la formación en concienciación sobre seguridad no desaparece, pero la forma tradicional de impartirla ya no es suficiente ante los ataques de ingeniería social, que cambian rápidamente y aprovechan la inteligencia artificial. Esta es la principal conclusión de un análisis publicado por SecurityWeek, elaborado tras escuchar las opiniones de expertos en seguridad y de un científico especializado en psicología cognitiva.
La formación suele centrarse en reducir los errores de los empleados que podrían convertirlos en una amenaza interna y en ayudarlos a resistir los mensajes de phishing y las técnicas de manipulación. Sin embargo, el éxito continuado de los ataques, pese a la proliferación de los programas de formación, plantea la cuestión de si estos programas realmente cambian el comportamiento o si se limitan a demostrar que se ha completado un curso obligatorio.
De la formación al simple cumplimiento de los requisitos
Stefan Dasic, de Malwarebytes, considera que muchos programas fracasan por la forma en que se aplican: son tan repetitivos y generales que parecen carecer de utilidad. Otros expertos añaden que los requisitos de cumplimiento y de los seguros llevan a las organizaciones a repetir anualmente el mismo contenido para todos los empleados, independientemente de sus conocimientos previos o de la naturaleza de los riesgos a los que se enfrentan.
Esta práctica puede producir tasas elevadas de finalización sin un cambio equivalente en el comportamiento. Además, centrarse en el cumplimiento puede convertir el mínimo exigido en el objetivo final, en lugar de considerarlo una base que se puede mejorar. Según las opiniones recogidas en el análisis, los cursos generales no siempre reflejan las técnicas modernas de ingeniería social ni los ataques que utilizan inteligencia artificial.
¿Qué cambia en la práctica?
La formación funciona cuando prepara al empleado para una situación concreta, pero los atacantes cambian constantemente sus métodos. Por ello, los expertos proponen que la formación sea más frecuente, esté más vinculada al puesto del empleado e incluya instrucciones claras sobre qué hacer cuando se sospecha de un mensaje o una solicitud inusual, como denunciar o verificar, en lugar de limitarse a reconocer las señales del phishing.
Los participantes subrayan que la formación no puede ser la única línea de defensa. Debe contar con el respaldo de una arquitectura de seguridad moderna que incluya protección de la identidad, autenticación multifactor, controles técnicos y procedimientos de verificación claros. Un buen diseño de los sistemas da por hecho que puede producirse un error humano, en lugar de responsabilizar al empleado de detener todos los ataques.
La tarea se vuelve aún más difícil con los ataques que generan mensajes más convincentes y personalizados, junto con la clonación de voz y el uso de canales móviles como los mensajes de texto, WhatsApp y las aplicaciones de mensajería. El análisis cita a Mike Aalto, de Hoxhunt, quien estima que el phishing generado mediante inteligencia artificial aumentará 14 veces al pasar de 2025 a 2026, mientras mejoran los métodos antiguos en lugar de aparecer tácticas completamente nuevas.
El comportamiento y el contexto son más importantes que la memorización
El artículo señala que la formación basada en simulaciones de phishing puede reducir temporalmente las tasas de quienes caen en la trampa, pero ese efecto puede desaparecer en cuestión de meses. Por ello, algunos expertos recomiendan una formación conductual continua que se centre en un número limitado de acciones medibles, como denunciar las amenazas y utilizar la autenticación multifactor, junto con intervenciones y recordatorios en el contexto adecuado.
Una de las perspectivas compara la concienciación sobre seguridad con la publicidad digital: en lugar de enviar el mismo mensaje a todos al mismo tiempo, la concienciación puede diseñarse para llegar cuando el empleado se enfrenta a una decisión o a un riesgo concreto. El objetivo no es considerar al empleado el eslabón más débil, sino convertirlo en una parte activa del sistema de detección y respuesta.
Los límites de la memoria y la predicción
Jordan Richard Schoenherr, psicólogo cognitivo de Humanix y profesor adjunto en University of New South Wales, explica que la formación es difícil porque el olvido es el estado predeterminado de la memoria y se produce rápidamente. Incluso recordar una información no garantiza saber cuándo ni cómo utilizarla. Por ello, el aprendizaje necesita actualizaciones frecuentes y estímulos conductuales que reactiven los conocimientos en el momento de la decisión.
Sin embargo, enseñar a los empleados a reconocer patrones conocidos conlleva un riesgo adicional: podrían interpretar la ausencia de errores ortográficos o de señales tradicionales como una prueba de que el mensaje es legítimo, cuando no es así. Además, la formación actual puede quedar obsoleta con la aparición de nuevas variantes, lo que hace más útil construir múltiples escenarios y tomar decisiones en condiciones de profunda incertidumbre que depender de una única predicción sobre el futuro.
La lectura editorial de certi.news: el cambio real no consiste en eliminar la formación, sino en transformarla de un programa anual de cumplimiento en una capacidad operativa continua que mida el comportamiento y le proporcione apoyo tecnológico. No obstante, el artículo no demuestra que un único modelo haya resuelto el problema; los expertos reconocen que la formación seguirá siendo limitada frente a la asimetría de los riesgos, la velocidad de los ataques y la complejidad de la memoria humana. Por ello, las preguntas abiertas siguen relacionadas con cómo medir el cambio conductual, cuánto tiempo se mantiene y hasta qué punto las organizaciones pueden actualizar la formación más rápido de lo que los atacantes adaptan sus métodos.