Redacción: Esteban Bastanzo – Director de Seccuracy Argentina

Cuando una organización empieza a evaluar ISO 27001, la reacción suele ser una mezcla de interés y temor. Interés, porque cada vez más clientes, reguladores, aseguradoras y licitaciones la piden. Temor, porque la imagen que circula es la de un proceso eterno, carísimo y lleno de papeles que nadie lee.

Parte de esa imagen es cierta y parte no. Vamos por partes.

Primero, qué es y qué no es

ISO/IEC 27001 es una norma que define cómo tiene que funcionar un Sistema de Gestión de Seguridad de la Información (SGSI). No es una lista de productos para comprar ni un estándar técnico de configuración. Es un marco para que la organización identifique sus riesgos sobre la información, decida qué hacer con ellos y demuestre que lo sostiene en el tiempo.

La versión 2022 ordena sus controles de referencia (el famoso Anexo A) en 93 controles agrupados en cuatro temas: organizacionales, de personas, físicos y tecnológicos.

Los mitos que más escuchamos

«Es un proyecto del área de sistemas.» No. Sistemas tiene un rol clave, pero la norma atraviesa a toda la organización: Recursos Humanos, Compras, Legales, Operaciones y la propia dirección. Cuando queda encerrada en TI, el sistema no se sostiene.

«Hay que implementar los 93 controles.» Tampoco. Se aplican los controles que responden a los riesgos reales de la organización. Los que no corresponden se excluyen con una justificación, que queda registrada en la Declaración de Aplicabilidad.

«Hay que invertir mucho en tecnología.» En general, la mayor inversión no es en herramientas sino en ordenar procesos, definir responsables y generar evidencia. Es común descubrir que buena parte de la tecnología necesaria ya está en casa, solo que mal configurada o sin nadie que la mire.

«Es un trámite de papeles.» Si se encara así, termina siendo eso, y el auditor lo detecta. El papel es la consecuencia de gestionar, no el objetivo.

Las fases, una por una

1. Decisión y alcance. La dirección decide avanzar y se define qué cubre el SGSI: toda la organización, una unidad de negocio, un servicio en particular. Un alcance bien recortado es la decisión que más impacta en plazos y costos.

2. Análisis de brecha. Se compara cómo está hoy la organización contra lo que pide la norma. De acá sale el mapa de trabajo real.

3. Análisis y tratamiento de riesgos. Se identifican los activos de información, las amenazas y las vulnerabilidades, se evalúan los riesgos y se decide cómo tratarlos. De este paso sale la Declaración de Aplicabilidad. Es el corazón del sistema.

4. Implementación. Políticas, procedimientos y controles técnicos. Gestión de accesos, respaldos, gestión de incidentes, proveedores, concientización del personal, entre otros.

5. Operación y evidencia. El sistema tiene que funcionar un tiempo antes de auditarse. El auditor va a pedir registros: revisiones de accesos, pruebas de respaldo, capacitaciones realizadas, incidentes gestionados.

6. Auditoría interna y revisión por la dirección. Antes de convocar al organismo certificador, la propia organización se audita y la dirección revisa los resultados. Son requisitos de la norma, no un paso opcional.

7. Auditoría de certificación. Se hace en dos etapas. En la primera, el organismo revisa la documentación y evalúa si la organización está lista. En la segunda, verifica en la práctica que lo documentado se cumple.

8. Mantenimiento. El certificado dura tres años, con auditorías de seguimiento anuales. Al tercer año se recertifica.

¿Cuánto tiempo lleva de verdad?

Depende de tres factores: el tamaño del alcance, el punto de partida y la disponibilidad interna de los equipos involucrados. Como referencia, para una organización con un alcance acotado y un nivel de madurez intermedio:

En total, entre 9 y 18 meses. Organizaciones con varias sedes, mucha dependencia de proveedores o sistemas heredados pueden estar en el extremo superior o superarlo. Cuando alguien promete certificar en tres meses conviene preguntar qué se está salteando. Casi siempre es la fase de operación, y es justamente la que el auditor mira con más atención.

Los errores típicos del primer intento

Un alcance demasiado ambicioso. Querer certificar todo de entrada multiplica el trabajo. Es mejor empezar por el servicio o proceso de mayor valor para el negocio y ampliar después.

Dejarlo solo en manos de TI. Si no participan las demás áreas, el SGSI no llega a donde la norma exige que llegue.

Comprar plantillas y completarlas. Las plantillas ayudan, pero un documento que no refleja cómo trabaja la organización se cae en la primera entrevista con el auditor.

Una Declaración de Aplicabilidad sin sustento. Controles incluidos o excluidos sin que se vea de qué análisis de riesgo salen. Es uno de los hallazgos más frecuentes.

No generar evidencia desde el principio. Se hacen las cosas bien, pero no queda registro. Para el auditor, lo que no está registrado no ocurrió.

Una dirección ausente. La norma pide compromiso explícito del liderazgo: objetivos, recursos, revisión. No alcanza con firmar la política.

Pensar que la certificación es el final. El primer año posterior es el que define si el sistema se sostiene o se transforma en una carpeta que se desempolva antes de cada auditoría de seguimiento.

Entonces, ¿vale la pena?

Si la organización gestiona datos de clientes, presta servicios a sectores regulados o compite en licitaciones, la respuesta suele ser sí. Pero el valor real no está en el certificado colgado en la pared sino en lo que queda instalado: saber qué información es crítica, quién es responsable de qué y cómo reaccionar cuando algo sale mal.

En Seccuracy acompañamos este proceso desde el diagnóstico de madurez hasta la auditoría de certificación, con una idea simple: el sistema tiene que servirle a la organización, no al revés.

¿Querés saber en qué punto está tu organización?

Cómo operan hoy los ciberdelincuentes

En la práctica, hoy la inteligencia artificial es una herramienta que usan muchas personas, entre ellas, los ciberdelincuentes. Y eso cambió por completo la escala y la sofisticación de los ataques.

Saquemos una radiografía de estas personas, que generalmente asociamos al joven informático con capucha en un garaje. La realidad es otra: el ciberdelincuente puede ser una organización ilícita que llama desde una cárcel haciéndose pasar por un banco o un repartidor de delivery. Puede ser quien envía correos fraudulentos con acceso a páginas suplantadas. O quien se asocia a grupos criminales en la dark web, donde consigue todas las herramientas para enviar un ransomware a tu compañía sin que te des cuenta.

Las tácticas que más se repiten

Detrás de la mayoría de estos casos hay ingeniería social: el atacante no rompe un sistema, convence a una persona. Las variantes más frecuentes hoy son el vishing (llamadas telefónicas suplantando a un banco, un proveedor o incluso a un directivo de la propia empresa), el pretexting (armar una excusa creíble para pedir información o un pago urgente) y el compromiso de correo corporativo, donde se falsifica o se toma una cuenta real para pedir una transferencia o modificar los datos bancarios de un proveedor. A esto se suma algo relativamente nuevo: la clonación de voz con IA, que ya se usa para hacerse pasar por un jefe o un familiar en un llamado urgente.

La capacitación como primera línea de defensa

Que alguien esté desprevenido dentro de la empresa es un grave error y un peligro real. Por eso la capacitación de los usuarios debe renovarse constantemente, para refrescar conceptos e introducir las nuevas tácticas de ataque, que se actualizan todos los días. El trabajo que llevamos adelante en Seccuracy es justamente ese: proteger a las organizaciones frente a ataques que cada vez cuentan con más herramientas de engaño, mensajes más persuasivos e imitaciones más sofisticadas.

El costo de reaccionar tarde

Toda empresa que no atienda estos problemas tarde o temprano se verá obligada a tomar acciones. A veces llega a tiempo y logra resguardarse, pero lamentablemente muchas veces parece que hiciera falta atravesar un ataque o una filtración de datos financieros, de la compañía, de sus empleados o de sus clientes, para recién ahí actuar.

El otro filo de la IA: la fuga de datos silenciosa

Esa misma herramienta, la inteligencia artificial, también puede jugar en contra sin que haya de por medio ningún atacante. Basta un empleado bien intencionado que pega datos de un cliente en un prompt para pedir ayuda con un informe, o que sube un contrato a una herramienta de IA gratuita para resumirlo, para que información sensible termine fuera de la empresa sin que nadie lo note. Si la organización no tiene una política clara sobre qué se puede compartir con estas herramientas y cuáles están permitidas, esa fuga es cuestión de tiempo. En Seccuracy trabajamos justamente en ayudar a las empresas a definir esas políticas, antes de que el problema se descubra de la peor manera.

La ciberseguridad ha dejado de ser un problema exclusivo de TI, tampoco es sólo un problema de los usuarios finales. Hoy es una cuestión de gobierno corporativo que define la resiliencia y viabilidad empresarial, es cada vez más, un problema de Gobernanza.

El cambio de mentalidad necesario

Durante el año 2022 participando del curso «Cyber Policy development» del reconocido Centro Williams J Perry de EEUU, me topé con un artículo que cambió rotundamente mi relación con el concepto de Gobernanza en Ciberseguridad. El artículo (citado al final del post) analiza a partir del ataque masivo de NotPetya en junio de 2017, cómo algunas compañías afectadas por el ciberataque se habían recuperado y principalmente qué habían aprendido. El artículo es demás interesante y nunca dejo de recomendarlo en mis clases y conferencias.

Lo revelador no fue el ataque en sí, sino lo que descubrieron después: las empresas que sobrevivieron exitosamente cambiaron su paradigma fundamental y cómo entendían a la Ciberseguridad:

¿Por qué falla la Gobernanza?

La investigación con tres empresas distintas afectadas por NotPetya (logística, bienes de consumo y servicios profesionales) identificó patrones comunes de error:

1. Delegación excesiva a IT

La seguridad sigue siendo vista como una función de soporte interno, meramente operativa, no como fuente de ventaja estratégica.

2. Subestimación del riesgo estratégico

Muchos directivos consideran los ataques cibernéticos como eventos aleatorios e impredecibles, es decir, saben qué existen y que hay un riesgo latente, pero se engañan diciendo que: «si te toca, te toca». Cuando en realidad son «sorpresas predecibles» que explotan debilidades organizacionales (no técnicas) conocidas.

3. Silencio sobre incidentes

La tendencia a mantener ataques en confidencialidad impide que otras organizaciones aprendan de experiencias ajenas. Esto en el mejor de los casos, en la mayoría ni saben que están siendo atacados todos los días, lo vean o no.

4. Sesgo cognitivo basado en experiencia previa

Los ejecutivos tienden a priorizar áreas donde tienen expertise (finanzas, marketing, ingeniería), dejando la ciberseguridad fuera del planeamiento estratégico.

Cuatro pilares de la Resiliencia Organizacional
Para transformar la ciberseguridad en activo estratégico, necesitamos desarrollar capacidades avanzadas en cuatro elementos críticos.

Proteger el negocio

No se trata solo de blindar infraestructura IT. Las organizaciones deben preguntarse:

¿Cuáles son nuestros procesos de negocio críticos?
¿Qué activos digitales garantizan la ejecución de esos procesos?
¿Qué tan vulnerables son a ataques cibernéticos?
¿Cómo podemos diseñar procesos que minimicen la vulnerabilidad? ¿Dónde existen oportunidades estratégicas para mejorar la protección?

«La protección que teníamos era una cáscara dura. Pero una vez penetrada esa cáscara, estábamos completamente blandos por dentro.» — confiesa uno de los CEOs citado en el artículo.

Ampliar la conciencia

La Dirección o Gerencia debe tomar responsabilidad activa en conciencia del Ciberriesgo y en inteligencia externa sobre amenazas:

Establecer conexiones con redes de inteligencia de amenazas.

Consultar con expertos en respuesta cibernética antes de la crisis.

Realizar auditorías de seguridad periódicas por terceros.

Monitorear los activos digitales para tener visibilidad, conocer lo que se pretende proteger y generar alertas tempranas.

Gestionar consecuencias

Comunicarse abiertamente con stakeholders genera valor competitivo inesperado, es ahí donde la gobernanza en ciberseguridad se vuelve un activo estratégico, en el artículo citado se mencionan:

Un business de servicios profesionales construyó nuevas relaciones con competidores que ofrecieron instalaciones computacionales tras un ataque.

Una empresa logística ganó dos contratos significativos después de obtener acreditación de estándar de seguridad.

Responder y recuperar

Las mejores estrategias priorizan la recuperación sobre la prevención pura:

Identificación proactiva de liderazgo emergente durante crisis.
Planes de continuidad del negocio específicos para ciberataques, que deben ser probados, no sólo escritos. Desarrollo de equipos de respuesta dinámicos.

La oportunidad estratégica oculta

Las empresas que adoptan enfoque estratégico encuentran ventajas competitivas tangibles:

Acciones prácticas para Boards y Direcciones
Si eres parte del gobierno o management corporativo, considera estas preguntas en tu próximo ciclo de

planeamiento estratégico:

Antes de un ataque

+ ¿Tenemos definidos los procesos más críticos de nuestro negocio?
+ ¿Estamos mapeando cómo podrían interrumpirse estos procesos por ataques? ¿Contamos con asesoría cibernética externa establecida?
+ ¿Tenemos planes de comunicación abiertos con stakeholders clave?

Durante y después

+ ¿Nuestro equipo de respuesta puede reorganizarse dinámicamente según necesidad? ¿Estamos buscando activamente oportunidades estratégicas post-crisis?
+ ¿Cómo integramos aprendizaje del incidente en capacidades futuras?
+ ¿Podemos convertir IT de centro de costo a generador de valor?

Conclusión: El imperativo estratégico

La ciberseguridad no es binaria (atacado o no atacado). Es una dimensión continua de madurez organizacional que define:

Resiliencia operativa frente a interrupciones.

Confianza del mercado y reputación corporativa.

Velocidad de innovación digital.

Ventaja competitiva sostenible.

Las empresas que son negligentes ante alguno de los cuatro elementos de resiliencia sufren el mayor daño a largo plazo. Aquellas que adoptan mentalidad estratégica desde el inicio transforman amenaza en oportunidad.

La pregunta para la Dirección: ¿Está tu empresa u organización preparada para ver la ciberseguridad no como costo, sino como activo estratégico diferenciador?

* El artículo referido fue publicado en MIT Sloan Management Review (2020): «Make Cybersecurity a Strategic Asset» por Manuel Hepfer y Thomas C. Powell, Saïd Business School, University of Oxford.

Una cultura de seguridad sólida de la mano de conferencistas expertos 

Recientemente tuvimos el enorme placer de acompañar a nuestro cliente La Segunda Seguros en una experiencia formativa doble: dos webinars de concientización en ciberseguridad, uno presencial y otro en modalidad virtual. El objetivo fue acercar la seguridad digital a la diaria de cada colaborador, derribar mitos técnicos y entender cómo operan las amenazas hoy. 

Obtuvimos excelentes resultados: un debate genuino y métricas de participación que confirman que la cultura de seguridad, cuando se transmite con cercanía y enfoque práctico, despierta un interés real.

Un panel interdisciplinario para abordar la seguridad desde adentro

Para lograr un diálogo enriquecedor, unimos miradas estratégicas y operativas en un panel compuesto por:

Andrés Sacchini, Líder de Seguridad de la Información en La Segunda Seguros.
Esteban Bastanzo, Director de Seccuracy.
Gabriel Cilfone, Líder en Concientización en Ciberseguridad en Seccuracy.

Esta sinergia entre el equipo interno de Seguridad de la Información y nuestros especialistas permitió tratar los desafíos específicos del sector asegurador, adaptando el contenido al contexto real y cotidiano de la organización.

Resultados que hablan de compromiso 

El éxito de una capacitación no se mide en cuántas diapositivas se muestran, sino en el nivel de participación y en lo que queda después del encuentro:

 Participación activa en el encuentro presencial: se generaron debates espontáneos sobre situaciones cotidianas en los puestos de trabajo, consultas específicas y reflexiones sobre cómo cuidarse dentro y fuera de la oficina.

Alto sostenimiento en el encuentro virtual: la audiencia se mantuvo conectada y participando activamente hasta el cierre del webinar.

Impacto y satisfacción: al finalizar ambos encuentros enviamos una encuesta de satisfacción a los participantes, que arrojó una calificación de 4,82 sobre 5.

«La preparación llevó varios días, porque queríamos que el contenido hablara el idioma de cada área de La Segunda. En el encuentro presencial terminamos extendiéndonos más de lo previsto: hubo mucho interés genuino, se armó un ida y vuelta de consultas muy enriquecedor, y la participación de Andrés Sacchini sumó un montón a la charla. Salió todo realmente muy bien. Después, en el encuentro virtual, con mucha gente conectada, logramos sostener un nivel de participación muy alto durante todo el webinar, algo que también nos remarcó el equipo de comunicación interna de La Segunda. Lo que más valoraron los participantes fue la claridad de los expositores y el trabajo con casos reales, reconstruyendo ataques concretos para que se entendiera cómo operan. Nos vamos con la sensación de haber puesto toda nuestra experiencia al servicio de una cultura de seguridad más fuerte en la compañía, sabiendo que esto nunca es un «ya está, ya concienticé». Es exactamente al revés: hay que sostenerlo en el tiempo, renovar los contenidos y actualizarlos, porque lo que se aprende también se olvida.»

— Gabriel Cilfone, Líder en Concientización en Seccuracy.

Qué aprendimos: casos reales, ingeniería social y el factor emocional

Durante ambos encuentros nos enfocamos en herramientas accionables que cada colaborador puede aplicar de inmediato:

Casos reales: analizamos incidentes de phishing y estafas digitales actuales, explicando paso a paso cómo fueron construidos los ataques por los ciberdelincuentes.

Las emociones detrás de la ingeniería social: comprendimos por qué caemos en las trampas. Los atacantes buscan provocar respuestas automáticas a través de disparadores emocionales que nos convierten en reactivos en lugar de ser analíticos.

Pistas visuales para detectar trampas: cómo revisar remitentes reales, validar enlaces antes de hacer clic y detectar inconsistencias en el tono de un correo o mensaje de mensajería instantánea.

El protocolo de reporte ágil: saber qué hacer al notar algo extraño es tan importante como detectarlo. Repasamos la vía directa para reportar correos y mensajes sospechosos al equipo de seguridad de forma práctica.

Ciclos de conferencias Seccuracy: llevamos la cultura de seguridad a tu equipo

Esta iniciativa con La Segunda Seguros se enmarca dentro de nuestro servicio de conferencistas en ciberseguridad. En Seccuracy diseñamos conferencias, charlas de capacitación y talleres (en formato presencial, híbrido o 100% remoto) adaptados a la madurez de cada organización:

☑️ Talleres dinámicos contra phishing y fraude digital.
☑️ Sesiones de concientización para directivos y mandos medios.
☑️ Formaciones sobre riesgos del factor humano, nuevas amenazas e IA responsable.
☑️ Creemos que una organización ciber-resiliente es aquella donde cada miembro del equipo sabe cómo reaccionar a tiempo.

¿Querés llevar un webinar o conferencia a tu empresa?

Impulsá la cultura de seguridad de tu organización con contenidos dinámicos, casos reales y especialistas dedicados.

Conversando con CISOs, gerentes de riesgos y directores de IT que lideran la seguridad en organizaciones de diversas industrias, hay un desafío que se repite. A diferencia de lo que pasaba años atrás, hoy las empresas no sufren brechas críticas por falta de firewalls o software. Las vulnerabilidades más graves aparecen cuando pierden la capacidad de involucrar al factor humano en su estrategia.

Hoy prácticamente todas las organizaciones cuentan con normativas redactadas y sistemas de monitoreo. Sin embargo, sigue estando presente el problema: cada área gestiona la seguridad de forma fragmentada. El área de IT bloquea amenazas, el área legal se preocupa por el riesgo regulatorio, y a los colaboradores se les envía un PDF estático o un curso de concientización esporádico que no genera ningún impacto.

El desafío aparece cuando ninguna de estas piezas se conectan entre sí. Es ahí donde construir un verdadero Ecosistema de Resiliencia deja de ser un concepto y se convierte en el activo más importante para proteger el patrimonio del negocio.

¿Qué significa tener una Cultura de Seguridad 360?

No consiste en cumplir con una simple charla anual ni implementar capacitaciones que subestimen al usuario. Consiste en conectar procesos, tecnología y personas, logrando una madurez real frente a las amenazas mediante métricas de comportamiento y reportes personalizados para cada organización.

Una empresa con esta visión puede responder preguntas críticas que demuestran el retorno de inversión (ROI) a la dirección:

• ¿Cuál es el riesgo real de que un empleado interactúe con una simulación de phishing basada en una falsa promoción?
• ¿Qué áreas de la compañía muestran mayor nivel de reincidencia ante ataques de ingeniería social?
• ¿Cómo impacta nuestro programa en el cumplimiento de normativas clave como ISO 27001, PCI DSS o BCRA?

No se trata de abrumar al usuario con información técnica, sino de ofrecer gamificación adulta y formatos audiovisuales de alto nivel que eleven la cultura corporativa y conviertan a los empleados en guardianes activos.

Lo que no ves también impacta en los resultados

Los mayores riesgos rara vez aparecen de un día para otro. Un colaborador distraído recibe un correo urgente simulando ser un proveedor; una política de protección de datos queda archivada sin ser comprendida; las señales de falta de madurez siempre están presentes; y cuando finalmente ocurre un incidente, el ransomware ya impactó los servidores o la brecha generó un riesgo legal millonario.

Los programas de concientización efectivos permiten detectar esas señales antes de que se conviertan en crisis operativas y pérdidas de dinero.

El negocio, la seguridad y el resultado esperado

En Seccuracy entendemos que una cultura de seguridad sólida no se construye implementando una plataforma más y dejándola en piloto automático. Como Partner Platinum de Smartfense, brindamos servicios integrales de consultoría y gestionamos el programa de awareness de forma completa.

Con más de 20 años de experiencia, hemos diseñado una estrategia focalizada en las áreas más críticas de la empresa, con contenidos actualizados y adaptados a las necesidades de cada organización. El resultado es una compañía con bases sólidas, donde el directorio confía en los indicadores y el equipo deja de ver la seguridad como una molestia.

Preguntas Frecuentes

• ¿Qué es una Cultura de Seguridad 360? Es la capacidad de alinear la tecnología, los procesos legales y el entrenamiento humano continuo para que toda la organización se defienda de manera unificada frente a las ciberamenazas.
• ¿Por qué la concientización tradicional ya no funciona? Porque el contenido aburrido, infantil o esporádico no genera engagement. Se requiere un diseño estratégico con campañas visuales de alta calidad y simulaciones dinámicas adaptadas a la compañía.
• ¿Cómo ayuda Seccuracy a construir esta visión? Todo nuestro equipo está certificado para gestionar la plataforma Smartfense, garantizando una implementación profesional, auditoría de participación y ajuste de estrategia basados en resultados reales.

¿Tu empresa ya cuenta con métricas claras que demuestren la evolución de su madurez en seguridad, o todavía necesitan unir las piezas para integrar al factor humano?

La industria aseguradora, y no la única, enfrenta una realidad que las capas de defensa aplicada de tecnología, por sí solas, no pueden resolver: el comportamiento humano sigue siendo el vector de ataque más explotado por los ciberdelincuentes

En una conferencia de ciberseguridad, un reconocido especialista en soluciones de defensa tecnológica terminó su presentación y se fue al break. Había pasado cuarenta minutos explicando firewalls, detección de intrusiones y arquitecturas de protección de última generación. Dejó su notebook sobre el escritorio. Cuando volvió, ya no estaba.

La anécdota no es un chiste. Es una síntesis.

El dato no es nuevo, pero su magnitud sigue sorprendiendo. Según el informe global de IBM sobre el costo de las brechas de seguridad, el error humano aparece como factor contribuyente en la gran mayoría de los incidentes registrados. No porque los empleados sean negligentes por naturaleza, sino porque las organizaciones subestiman sistemáticamente la necesidad de formarlos, entrenarlos y sostener esa formación en el tiempo.

El sector asegurador, en el ojo de la tormenta

Si hay una industria que debería tomar este problema con especial seriedad, esa es la de seguros. Las aseguradoras procesan volúmenes masivos de datos sensibles: información personal, médica, patrimonial y financiera de sus asegurados. Operan con plataformas digitales que concentran transacciones, pólizas y siniestros. Y han acelerado su transformación digital en los últimos años con una velocidad que, muchas veces, no fue acompañada por una madurez equivalente en la cultura de seguridad de sus equipos.

El phishing, el smishing, el vishing, la ingeniería social y el ransomware no discriminan industrias, pero sí aprovechan los puntos más débiles de cada una. En el caso asegurador, esos puntos suelen ser las áreas de atención al cliente, los accesos remotos de especialistas de IT, los productores y los brokers conectados a los sistemas centrales, y los equipos administrativos con acceso a datos críticos. Un colaborador que hace clic en un enlace malicioso o que responde un correo aparentemente legítimo puede abrir una puerta que millones de dólares en infraestructura tecnológica no alcanzan a cerrar.

El colaborador no es el culpable. Pero sí es parte de la solución

Hay un error de diagnóstico que conviene desarmar desde el principio: cuando se habla del factor humano como el eslabón más débil, no se está señalando una falla moral ni una incompetencia individual. Los ataques de ingeniería social están diseñados por profesionales del engaño que estudian psicología, explotan sesgos cognitivos y construyen escenarios de urgencia o confianza difíciles de detectar incluso para personas alertas. Caer en una trampa bien ejecutada no es señal de descuido: es la consecuencia natural de no haber sido entrenado para reconocerla.

La diferencia entre un colaborador que representa un riesgo y uno que representa una defensa no está en su inteligencia ni en su compromiso con la empresa. Está en si fue o no expuesto a un programa de concientización serio, continuo y adaptado a los riesgos reales de su entorno. La responsabilidad, en ese sentido, recae sobre la organización, no sobre el individuo.

Dicho esto, el cambio no ocurre de manera pasiva. El colaborador necesita involucrarse activamente en su propia formación, desarrollar un criterio propio ante situaciones sospechosas y asumir que la seguridad de la información es también su responsabilidad, no solo de las áreas de seguridad o de tecnología. Esa disposición no surge espontáneamente: se construye con programas que generan conciencia, que explican el por qué detrás de cada práctica y que hacen del aprendizaje una experiencia cercana a la realidad cotidiana del trabajo.

Conciencia no es un taller anual

Aquí radica uno de los principales equívocos que persisten en el mercado local: confundir un programa de concientización con un evento aislado. Una jornada de capacitación al año, un correo con recomendaciones enviado cada tanto o una charla o curso del área de seguridad en el onboarding de nuevos empleados no constituyen un programa. Son intentos bien intencionados que no modifican conductas.

Un programa efectivo de security awareness tiene características que lo diferencian sustancialmente de esas iniciativas puntuales. Debe ser continuo, la memoria humana se erosiona rápido y las amenazas evolucionan constantemente. Debe ser medible, sin métricas de participación, tasas de clic en simulaciones de phishing y evaluaciones de conocimiento, es imposible saber si el comportamiento real está cambiando. Debe estar alineado con la cultura y el lenguaje propios de cada organización, un contenido genérico, desconectado de la realidad operativa de la empresa, genera rechazo o indiferencia. Y debe adaptarse por sectores y roles: no es lo mismo capacitar al equipo de tecnología que a los comerciales o al área de RRHH.

La simulación de ataques, en particular, se ha consolidado como una herramienta clave. Someter a los colaboradores a escenarios controlados de phishing o ransomware, antes de que un atacante real lo haga, permite identificar vulnerabilidades, personalizar la formación subsiguiente y generar una experiencia de aprendizaje que ningún módulo explicativo puede replicar. Y cuando esa simulación va acompañada de una devolución inmediata y constructiva, no punitiva, el resultado es un colaborador más alerta, no uno más temeroso.

Medir para transformar

Uno de los aspectos que más se descuida en los programas incipientes es la evaluación sistemática de resultados. Sin indicadores claros, cualquier iniciativa de concientización corre el riesgo de convertirse en un gasto justificable en papel, pero indemostrable en la práctica. Los programas maduros miden, entre otras variables, la evolución de las tasas de clic ante simulaciones sucesivas, los niveles de participación por área, la velocidad de reporte de incidentes sospechosos y la retención de conocimiento a lo largo del tiempo.

Esa trazabilidad no solo permite demostrar el retorno de la inversión ante la dirección: permite ajustar la estrategia en tiempo real, reforzar los sectores más vulnerables y adaptar los contenidos cuando aparecen amenazas nuevas que, inevitablemente, lo hacen con una frecuencia que ningún calendario anual puede anticipar.

Una decisión que ya no puede postergarse

La pregunta que deberían hacerse los responsables de seguridad y los líderes de las aseguradoras ya no es si necesitan un programa de concientización. Esa discusión ya no debería estar en agenda. La pregunta real es si el programa que tienen o que están por diseñar, está a la altura del riesgo que enfrentan.

Las capas de defensa tecnológica son necesarias e irrenunciables. Pero ninguna arquitectura de seguridad es completa si la conducta del colaborador queda librada a la intuición o a la buena voluntad. El factor humano no es el problema: es el activo de seguridad más subestimado que tiene una organización.

* Nota en colaboración con 100% segura.

Hace unos días, salió una noticia que impactó a todo el mundo de la inteligencia artificial y en especial la ciberseguridad: Mythos, la nueva actualización de Anthropic fue frenada en seco.

¿Qué sucedió? Los investigadores de Anthropic colocaron al modelo en una «sandbox», una especie de caja de arena digital diseñada para aislarlo completamente y evitar cualquier interacción con el mundo exterior. El objetivo era probar sus capacidades sin riesgo.

El modelo, por su propia cuenta, encontró la forma de romper ese aislamiento y salir de su entorno controlado. Como si fuera poco, una vez fuera, envió un correo electrónico a uno de los investigadores para notificarle que se había escapado y procedió a hacer publicaciones en canales públicos sin recibir ninguna instrucción. ¹

A su vez, el Instituto de Seguridad de la IA del Reino Unido llevó a cabo una evaluación independiente del modelo. Sus hallazgos validan que las capacidades de Mythos no son exageradas y representan un salto cualitativo en las amenazas cibernéticas.

Según sus pruebas, Mythos se convirtió en el «primer modelo de IA en completar ‘The Last Ones’, una simulación de ataque corporativo de 32 pasos, y logró una tasa de éxito del 73% en tareas de «capturar la bandera» de nivel experto, algo que ningún modelo de IA podía completar antes de abril de este año. ²

Mythos no es solo una herramienta de asistencia potenciada. Estamos hablando de una tecnología que, según la propia Anthropic, puede ‘superar a todos excepto a los humanos más hábiles en encontrar y explotar vulnerabilidades de software’. ³

Lo más preocupante es su capacidad de encadenar múltiples vulnerabilidades para crear vectores de ataque complejos, capaces de evadir defensas y comprometer sistemas por completo. ⁴

De esta manera, la compañía ha decidido utilizar este hallazgo, otorgando acceso al modelo a más de 40 organizaciones de todo el mundo ³, entre ellas Google, Microsoft, Amazon y Apple, para identificar y parchear proactivamente vulnerabilidades en infraestructuras de software críticas. Esta iniciativa fue tan relevante que el mismo día del anuncio, el Secretario del Tesoro de EE. UU. y el presidente de la Reserva Federal convocaron una reunión de emergencia con los CEOs de los mayores bancos para discutir los riesgos de ciberseguridad que plantea Mythos. ⁵

Estamos ante un escenario donde la concientización y las buenas prácticas de siempre son el punto de partida, no la meta final. La verdadera ventaja competitiva en ciberseguridad la tendrán aquellas organizaciones que entiendan este nuevo tablero de juego y adapten sus estrategias de defensa a la velocidad que exige esta nueva realidad.

En Seccuracy , estamos monitorizando activamente esta evolución para ayudar a nuestros clientes a navegar este nuevo panorama de riesgos y oportunidades. Sabemos que con un buen software no alcanza. Hoy es necesario contar con un buen programa de concientización y el análisis constante de las vulnerabilidades que demandan la problemática actual.

¹https://thenextweb.com/news/anthropics-most-capable-ai-escaped-its-sandbox-and-emailed-a-researcher-so-the-company-wont-release-it

²https://www.aisi.gov.uk/blog/our-evaluation-of-claude-mythos-previews-cyber-capabilities 

³https://www.anthropic.com/glasswing 

⁴https://singularityhub.com/2026/04/10/anthropics-mythos-ai-uncovered-serious-security-holes-in-every-major-os-and-browser/ 

⁵https://www.sullcrom.com/insights/memo/2026/April/Treasury-Secretary-Federal-Reserve-Chair-Warn-Bank-CEOs-About-Cybersecurity-Risks-Posed-Anthropics-New-AI-Model