E-learning de ciberseguridad: sirve para saber, no para reaccionar

El e-learning de ciberseguridad es eficaz para transmitir conocimientos: qué es el phishing, qué reglas aplicar, dónde comunicar un incidente. Es insuficiente para instalar un reflejo, porque un reflejo se construye practicando la reacción correcta en una situación cercana a la real. Para el teléfono, hay que añadir práctica oral y repetición.

Este artículo distingue entre saber y tener un reflejo, explica por qué los módulos se olvidan y propone una combinación realista entre e-learning y puesta en situación.

¿Qué hace bien el e-learning de ciberseguridad?

Cumple tres funciones útiles. Da un vocabulario común a todos los empleados, difunde las reglas de la organización y deja constancia de la difusión. Para una población numerosa y dispersa, es una forma sencilla de empezar.

También sirve para los temas técnicos o normativos que piden ser leídos: política de contraseñas, clasificación de datos, uso de dispositivos personales. Nada de esto se cuestiona.

El problema empieza cuando se le pide lo que no sabe hacer: convertir una regla conocida en un gesto automático, en el momento en que alguien le presiona por teléfono.

Saber no es reaccionar: la diferencia que importa

Saber es poder responder a una pregunta de test: «¿Hay que comunicar un código recibido por SMS?». La respuesta correcta es evidente, sentado tranquilamente ante un módulo.

Reaccionar es negar ese mismo código a una voz amable que anuncia una transferencia fraudulenta en curso y le pide ayuda. La situación añade estrés, tiempo contado y una relación humana. La regla es la misma, la dificultad no.

Dos elementos explican la diferencia:

• El contexto de recuerdo es distinto. Se recupera con más facilidad una información en una situación parecida a aquella en la que se aprendió. Un test y una llamada casi no tienen nada en común.
• La frase nunca se ha pronunciado. Negarse en voz alta, sin justificarse, es un gesto de palabra. No se adquiere haciendo clic en la respuesta correcta.

Es la idea que desarrolla también nuestro artículo sobre los límites del LMS para las competencias conductuales.

Por qué se olvida: el olvido y el espaciado

Hermann Ebbinghaus describió ya en 1885 la curva del olvido: sin repaso, buena parte de lo aprendido se borra rápido. Los módulos que se hacen una vez al año y nunca más no escapan a ello.

La investigación sobre la práctica espaciada es más alentadora. En su revisión de 2006 publicada en Psychological Bulletin, Cepeda y sus colegas muestran algo sencillo. Repartir los repasos en el tiempo da mejores resultados de recuerdo que concentrarlos en una sola sesión.

Otro resultado sólido: ponerse a prueba ayuda más que releer. En un estudio de Roediger y Karpicke (Psychological Science, 2006), los estudiantes que sobre todo se examinaron recordaban mejor el contenido una semana después. Los demás habían sobre todo releído. Recordar de forma activa fija mejor que repasar de forma pasiva.

Lo que un reflejo exige de verdad

Un reflejo de seguridad se apoya en tres ingredientes. El primero es una regla corta, idéntica para todos, como «cuelgo y devuelvo la llamada al número oficial». El segundo es una formulación lista para decir. El tercero es la repetición en situaciones variadas.

Sin el segundo ingrediente, la regla se queda en teoría. Sin el tercero, se diluye en el estrés. Los artículos de este grupo detallan cada gesto: la devolución de llamada, la negativa bajo presión, la verificación de quien llama.

Una frase de negativa debe ser corta, educada y sin justificación. Cuanto más larga es, más puntos de apoyo encuentra quien llama para insistir. «No lo hago por teléfono, le devuelvo la llamada» basta.

El formador tiene, por tanto, dos tareas: elegir las pocas reglas que cuentan para cada puesto y hacer decir las frases correspondientes hasta que resulten naturales. Todo el resto del programa puede seguir siendo material de lectura.

Cómo combinar e-learning y práctica oral

El enfoque correcto no opone ambos. Los pone en orden.

1. El módulo da el marco: tipos de ataque, reglas, canal para comunicar incidentes. Bastan diez o veinte minutos.
2. La puesta en situación hace practicar: el alumno habla con un personaje que insiste, aplica la regla y recibe un debriefing.
3. La repetición espaciada mantiene: un ejercicio corto cada pocas semanas, con un escenario distinto, en lugar de una gran cita anual.
4. La comunicación de incidentes cierra el círculo: tras cada ejercicio, se practica a quién se avisa y qué se cuenta.

Esta organización coincide con lo que se observa en cumplimiento normativo: la tasa de finalización no es una competencia, como explica nuestro artículo sobre el e-learning de cumplimiento.

¿Qué puede aportar un juego de rol con un personaje de IA?

Un juego de rol oral pone al alumno ante un interlocutor que reacciona. Con Face Up, el formador escribe su escenario a partir de sus casos reales, por ejemplo un falso proveedor que reclama un cambio de IBAN. El alumno habla, el personaje insiste y después un debriefing indica los objetivos alcanzados o no, los puntos fuertes, los puntos que mejorar y cita lo que dijo el alumno.

Puede repetir al instante. La repetición resulta barata: no hay que reservar sala ni movilizar a un actor, y cada uno se ejercita a su ritmo. La integración con el LMS se hace mediante LTI 1.3, lo que permite conservar el itinerario de formación actual.

Imaginemos a dos empleados tras el mismo módulo

Dos compañeros, Lucía y Karim, terminan el mismo módulo de concienciación con una puntuación del 95 %. Tres semanas después, alguien que dice ser técnico del servicio informático pide a Lucía que valide una notificación de autenticación en su teléfono.

Lucía ya pronunció en un ejercicio la frase «No valido nada en una llamada entrante, le devuelvo la llamada por el servicio oficial». La dice casi sin pensar. Karim conoce la regla, pero nunca ha tenido que decirla en voz alta. Duda, quien llama insiste y acaba validando para «quitárselo de encima».

Sus puntuaciones eran idénticas. Su capacidad de reaccionar no. Por eso la tasa de aciertos de un test dice casi nada de la protección real de un equipo. Para el caso del soporte, vea la ingeniería social en el servicio de asistencia.

Una lista para auditar su dispositivo actual

Revise su programa de concienciación con estas cinco preguntas. Muestran dónde falta práctica.

1. ¿Tiene cada regla importante una formulación oral lista para decir, y no solo una consigna escrita?
2. ¿Han dicho los empleados expuestos al teléfono esa frase a alguien que insistía?
3. ¿Están los repasos espaciados a lo largo del año, con escenarios distintos?
4. ¿Cita el feedback que se da tras un ejercicio lo que la persona dijo realmente?
5. ¿Mide comportamientos (devolución de llamada propuesta, código rechazado, incidente comunicado) en lugar de finalizaciones?

Si tres respuestas o más son negativas, añada práctica antes de añadir módulos. Un módulo más alarga el itinerario sin tocar la distancia entre saber y reaccionar.

Empiece con poco: un puesto, un escenario, una frase que anclar. Mida el resultado durante unas semanas y después extienda a otros equipos. Esta progresión, más modesta que un gran programa, deja tiempo para ajustar los escenarios con lo que cuenta el terreno y para convencer a los mandos.

Errores frecuentes con el e-learning de seguridad

• Medir el éxito por la tasa de finalización, que solo dice que el módulo se abrió y se terminó.
• Proponer el mismo módulo cada año, lo que instala el cansancio.
• Usar un lenguaje técnico con empleados que no necesitan la teoría de los ataques.
• Descuidar el teléfono porque el e-learning trata sobre todo el correo electrónico. Vea los límites de las campañas de phishing frente a la voz.
• Hacer la formación punitiva: un test suspendido no debe convertirse en un reproche.

Preguntas frecuentes

¿Es inútil el e-learning de ciberseguridad?

No. Es muy bueno para fijar el marco, difundir las reglas y dejar constancia. No basta para fabricar un reflejo de respuesta ante una llamada apremiante.

¿Con qué frecuencia hacer los repasos?

No existe una frecuencia universal. Los trabajos sobre el espaciado apuntan en la misma dirección: varios repasos cortos valen más que una sola sesión larga. Adapte el ritmo al puesto y a la exposición.

¿Cómo saber si un empleado tiene un reflejo y no solo un conocimiento?

Observe lo que dice en una puesta en situación: ¿ha propuesto devolver la llamada, se ha negado a dar un código, ha anotado el nombre de quien llama? Son comportamientos observables, no respuestas de test.

¿Hay que sustituir el e-learning por juegos de rol?

No, es mejor combinarlos. El módulo pone la base, el juego de rol practica, la repetición mantiene. Para la visión de conjunto, vea nuestra guía de concienciación en ciberseguridad.

¿Quiere probar una puesta en situación de verificación de quien llama con sus propios casos? Reserve una demostración de Face Up.