17.Concientización

La concientización en ciberseguridad es enseñar a todas las personas de una organización a reconocer los riesgos de todos los días —un correo falso, una USB encontrada, una llamada «de soporte»— y saber qué hacer y a quién avisar.

Es como la educación vial: no convierte a nadie en mecánico, pero enseña a respetar el semáforo, usar el cinturón y reconocer cuándo algo está mal.

En términos técnicos

• Es un programa continuo, no una plática al año.
• Distingue entre concientización (para todos: reconocer y reportar) y capacitación (para roles específicos: TI, finanzas, dirección).
• Combina mensajes cortos y frecuentes, ejemplos reales, simulaciones y una cultura de reporte sin castigos.
• Se mide: no con «cuántos asistieron», sino con cuántos reportan y cuántos caen en las simulaciones.

¿Dónde la vas a encontrar?

En los cursos de inducción del personal, en los correos y carteles de «tip de seguridad», en las campañas del mes de la ciberseguridad (octubre), en las simulaciones de phishing y en las clases de ciudadanía digital para alumnos.

Un caso verosímil

En una escuela llega a varios docentes un correo «de la dirección» pidiendo confirmar su usuario y contraseña del sistema escolar en un enlace. Dos lo hacen. Una tercera docente lo nota raro, no hace clic y lo reenvía a la coordinación con la pregunta «¿esto es real?».

Qué se perdió (y qué se salvó)

• Dos cuentas quedaron expuestas, pero gracias al reporte de la tercera docente, TI bloqueó el enlace, cambió las contraseñas afectadas y avisó a todo el personal en menos de una hora.

Qué lo habría evitado por completo

Ejemplos previos de cómo lucen estos correos y una regla clara: «La escuela nunca pide tu contraseña por correo; si dudas, reenvía a soporte». Un solo reporte rápido vale más que cualquier filtro.

Temas básicos para todos

Formatos que funcionan

Por nivel

MITRE ATT&CK: mitigación M1017 — User Training, frente a técnicas como T1566 — Phishing y T1204 — User Execution.

• Corto y frecuente funciona mejor que largo y anual.
• Ejemplos locales: un correo falso real que llegó a la escuela enseña más que uno genérico.
• Lenguaje claro, sin tecnicismos.
• Incluye a la dirección: si los directivos no siguen las reglas, nadie lo hará.
• Mide el reporte, no solo los errores.
• Adapta a la edad cuando trabajes con alumnos: ciudadanía digital, privacidad, acoso en línea.

• NIST. SP 800-50 Rev. 1 — Building a Cybersecurity and Privacy Learning Program (2024). https://csrc.nist.gov/pubs/sp/800/50/r1/final
• CISA. Secure Our World — materiales de concientización. https://www.cisa.gov/secure-our-world
• INCIBE. Kit de concienciación para empresas. https://www.incibe.es/empresas/formacion/kit-concienciacion
• MITRE ATT&CK. M1017 — User Training. https://attack.mitre.org/mitigations/M1017/