NodoHub

Puedes gastarte el presupuesto entero en software de seguridad y perderlo todo porque alguien abrió un adjunto. El eslabón humano no es un tópico: es donde empieza la mayoría de incidentes reales en negocios pequeños.

La buena noticia es que formar a un equipo pequeño no requiere un curso caro ni horas de clase. Requiere constancia y enfocar bien.

Por qué fracasa la formación habitual

El modelo típico es una sesión de dos horas una vez al año, con diapositivas genéricas y un cuestionario final. No funciona, y hay motivos concretos:

• Demasiado a la vez. Nadie retiene veinte conceptos nuevos en una tarde.
• Contenido abstracto. Hablar de «vectores de ataque» no ayuda a nadie a decidir si abre un correo.
• Sin repetición. A las tres semanas se ha olvidado todo.
• Tono de amenaza. Si el mensaje implícito es «si la lías, te caerá una», la gente ocultará los errores en lugar de avisar.

El plan: cuatro sesiones de 30 minutos al año

Una por trimestre. Un solo tema cada vez, con ejemplos reales de tu sector.

Sesión 1 — Correos y mensajes falsos

El tema más rentable, porque cubre la vía de entrada más común.

• Enseña correos reales que hayáis recibido, no ejemplos de manual.
• Muestra cómo ver el dominio real del remitente y cómo comprobar un enlace antes de tocarlo.
• Las tres señales: urgencia, autoridad, y que pidan datos o un pago.
• Deja claro qué hacer al dudar: preguntar, no decidir solo.

Material de apoyo en nuestra guía de phishing.

Sesión 2 — Contraseñas y accesos

• Por qué reutilizar es el problema, no la complejidad.
• Cómo usar el gestor de contraseñas que hayas implantado (enséñalo en pantalla, no lo expliques en abstracto).
• Activar la verificación en dos pasos, guiándolo en el momento.
• Nunca compartir credenciales por chat o correo.

Aprovecha para desmontar el mito de cambiarlas cada tres meses, que explicamos en este artículo.

Sesión 3 — Dinero y datos: los fraudes que os afectan

• El cambio de cuenta bancaria de un proveedor y la regla de verificar por teléfono.
• El correo urgente del jefe pidiendo una transferencia.
• Qué datos de clientes no pueden salir de la empresa y por qué.
• Qué hacer si se pierde un portátil o un móvil de trabajo.

Detalles en fraude del CEO.

Sesión 4 — Qué hacer cuando algo va mal

La más importante y la que casi nadie da. Todo el mundo debe saber, sin pensar:

• A quién avisar y por qué canal. Un nombre y un teléfono, no «a informática».
• Qué hacer primero: desconectar de la red, no apagar, no intentar arreglarlo.
• Que avisar rápido es lo que se valora, aunque el error sea propio.

Lo que multiplica el resultado

Casos reales de vuestro sector

Un ejemplo de una gestoría o un taller como el vuestro engancha mucho más que estadísticas generales. Guarda los intentos de fraude que os lleguen: son el mejor material de formación que existe, y es gratis.

Simulacros, hechos con cabeza

Enviar un correo de prueba para ver quién pica funciona bien si el objetivo es aprender, no señalar.

Reglas: resultados agregados y anónimos, nunca una lista pública de quién cayó, y usarlo para decidir qué reforzar. Un simulacro que humilla a alguien destruye la confianza que necesitas para que te avisen cuando pase de verdad.

Recordatorios breves entre sesiones

Un mensaje al mes con un caso concreto y dos líneas. Mantiene el tema presente sin ocupar tiempo.

La parte que no es formación: la cultura

Puedes formar perfectamente a tu equipo y aun así fallar, si la cultura de la empresa empuja en dirección contraria.

• Que preguntar esté bien visto. Si comprobar una petición del jefe se percibe como desconfianza, nadie comprobará nada. Esto tiene que decirlo la dirección, en voz alta.
• Que avisar de un error no se castigue. El coste de un incidente lo determina el tiempo de reacción, y el miedo lo multiplica.
• Dar las herramientas. No puedes exigir contraseñas únicas sin facilitar un gestor.
• Predicar con el ejemplo. Si el gerente comparte su contraseña con la secretaria, la formación no vale nada.

Cómo financiarlo

La formación en ciberseguridad entra dentro de las categorías subvencionables del Kit Digital, y suele ser de lo que mejor relación coste-beneficio ofrece. Si contratas a un tercero, aplica los criterios de esta guía y pide que el contenido se adapte a tu sector.

Preguntas frecuentes

¿Y si somos solo dos personas?

Funciona igual, y hasta mejor: una conversación de media hora cada trimestre revisando un tema. Lo importante no es el formato, es que ocurra de forma periódica.

¿Hay que dejarlo documentado?

Sí, y merece la pena: anota fecha, asistentes y contenido. Ante una inspección o un incidente, poder demostrar que formas a tu equipo y tienes procedimientos escritos mejora bastante tu posición respecto al RGPD.

¿Sirven los cursos online genéricos?

Como complemento, sí. Como sustituto, no: lo que cambia comportamientos son los ejemplos de tu propia empresa y las reglas concretas de tu negocio, no un vídeo estándar.