Al momento de invertir en ciberseguridad, lo primero que suele venir a la mente son las herramientas: el mejor antivirus, el mejor firewall o la mejor solución antispam. Y, en el mejor de los casos, si no son las más avanzadas, al menos se buscan aquellas que se ajusten al presupuesto.

Sin embargo, surge una pregunta fundamental: ¿contar con estas herramientas garantiza que la organización esté segura? ¿Podemos realmente estar tranquilos? La respuesta, en la mayoría de los casos, es no.

Esto se debe a que con frecuencia se deja de lado a un actor clave: el usuario. Y cuando hablamos de usuario, nos referimos a todos los niveles de la organización: dueños, ejecutivos, gerentes, coordinadores y personal operativo.

A partir de este punto, es común encontrar distintos escenarios de riesgo. Por ejemplo, un colaborador recibe un correo con información aparentemente relevante que incluye un enlace. Tras hacer clic, en cuestión de segundos, algo deja de funcionar correctamente en la red corporativa y comienza el caos.

En otros casos, mediante el mismo canal, un usuario encargado de pagos recibe un mensaje en el que se le informa que la cuenta bancaria de un proveedor ha cambiado, acompañado de una supuesta urgencia o adeudo. Sin validar la información, se actualizan los datos y se realiza el pago, cuando en realidad se trataba de una suplantación de identidad.

Asimismo, prácticas como reutilizar contraseñas, compartirlas o anotarlas en lugares visibles continúan siendo comunes, convirtiéndose en puertas de entrada para distintos tipos de ataque.

Todo lo anterior evidencia una realidad: el eslabón más débil en la ciberseguridad suele ser el factor humano. Los atacantes lo saben y utilizan diversas técnicas para explotar esta vulnerabilidad.

Entonces, la siguiente pregunta es: ¿cómo podemos mitigar este riesgo? La respuesta está en la concientización y capacitación continua. No se trata de un esfuerzo aislado, sino de un proceso constante. De lo contrario, el aprendizaje se olvida y los incidentes pueden repetirse.

¿Por dónde empezar?

Evite la capacitación masiva anual; es más efectivo segmentarla por áreas.

Incorpore contenido interactivo: videos, infografías y evaluaciones.

Adapte la formación según el rol de cada colaborador (por ejemplo, entrenamiento específico para áreas financieras enfocado en fraudes).

Realice pruebas periódicas mediante correos simulados para evaluar la reacción del personal.

Proporcione retroalimentación inmediata y enfoque formativo: si alguien falla, asígnelo a microcursos de refuerzo sin aplicar medidas punitivas.

Autenticación multifactor (MFA). Promueva su uso en todos los accesos corporativos.

Gestión de contraseñas. Fomente el uso de frases seguras o administradores de contraseñas.

Teletrabajo seguro. Capacite sobre el uso de redes seguras y evite conexiones Wi-Fi públicas.

Establezca canales simples y seguros para reportar incidentes sin temor a represalias.

Mantenga políticas claras, documentadas y alineadas con estándares como ISO 27001.

Apóyese en recursos institucionales y guías públicas para fortalecer la estrategia.

Invertir en tecnología es necesario, pero no suficiente. La verdadera fortaleza en ciberseguridad radica en construir una cultura organizacional donde cada usuario entienda su responsabilidad y actúe de manera consciente.

Porque, al final del día, la seguridad de la organización depende tanto de sus sistemas como de las decisiones que toman las personas que los utilizan.

Ingeniero en Sistemas Computacionales con trayectoria en infraestructura, redes, seguridad informática y virtualización.

Actualmente Gerente Comercial TI en Estrategia y Tecnología THO.