1 min de lecture<\/p>\n
Les entreprises investissent des milliards dans des formations de sensibilisation \u00e0 la cybers\u00e9curit\u00e9. Pourtant, les taux de clics sur les courriels de phishing ne baissent pas de mani\u00e8re durable. Le probl\u00e8me ne r\u00e9side pas dans un manque de formation, mais dans le mod\u00e8le lui-m\u00eame : les vid\u00e9os obligatoires annuelles ne changent pas les comportements. Ce qui s’av\u00e8re efficace, ce sont des interventions micro-continues et contextuelles, ainsi que des mesures techniques de protection capables de corriger les erreurs humaines.<\/strong><\/p>\n La mayor\u00eda de los programas de concienciaci\u00f3n de seguridad existen para cumplir con los requisitos de conformidad – no para cambiar el comportamiento. Ver un video de 30 minutos una vez al a\u00f1o, aprobar un cuestionario, marcar una casilla. Los estudios muestran: el efecto desaparece despu\u00e9s de 4-6 semanas. La retenci\u00f3n de conocimientos es m\u00ednima, el cambio de comportamiento a\u00fan menor.<\/p>\n La investigaci\u00f3n de USENIX (2023) demuestra: entre las empresas con y sin entrenamiento de concienciaci\u00f3n, la diferencia en la tasa de clics en phishing es de menos de un punto porcentual. La inversi\u00f3n no est\u00e1 en proporci\u00f3n con el resultado.<\/p>\n La investigaci\u00f3n del comportamiento muestra: las personas no cambian su comportamiento a trav\u00e9s del conocimiento, sino a trav\u00e9s de intervenciones contextuales en el momento de la decisi\u00f3n. Una advertencia \u00ab\u00a0Este correo electr\u00f3nico proviene de un nuevo remitente\u00a0\u00bb directamente en el cliente de correo electr\u00f3nico es m\u00e1s efectiva que cualquier video de capacitaci\u00f3n.<\/p>\n Microsoft ha implementado exactamente este enfoque con Safety Tips y External Sender Tags. Google muestra banners de advertencia para enlaces sospechosos. Estos nudges en contexto reducen la tasa de clics en enlaces de phishing en un 40-50 por ciento – un m\u00faltiplo del efecto del entrenamiento.<\/p>\n Las simulaciones de phishing son la herramienta m\u00e1s popular – y la m\u00e1s controvertida. A favor: miden la tasa real de clics y identifican a los usuarios de alto riesgo. En contra: generan desconfianza, miedo y resentimiento, especialmente cuando los \u00ab\u00a0perdedores\u00a0\u00bb son expuestos o sancionados.<\/p>\n El compromiso: usar las simulaciones como instrumento de medici\u00f3n (no como instrumento de castigo), proporcionar retroalimentaci\u00f3n positiva por la denuncia correcta y utilizar los resultados para mejorar los controles t\u00e9cnicos – no para avergonzar a los empleados.<\/p>\n La medida de \u00ab\u00a0concienciaci\u00f3n\u00a0\u00bb m\u00e1s efectiva es t\u00e9cnica: DMARC en Enforce (previene el spoofing de dominio), MFA (hace que las contrase\u00f1as robadas sean in\u00fatiles), URL-Sandboxing (desactiva los enlaces maliciosos) y Conditional Access (bloquea los inicios de sesi\u00f3n desde contextos inusuales).<\/p>\n Estas medidas capturan errores humanos antes de que causen da\u00f1o. El ser humano sigue siendo la \u00faltima l\u00ednea de defensa – no la \u00fanica. Quien conf\u00eda exclusivamente en la vigilancia humana ya ha perdido.<\/p>\n Efecto del entrenamiento:<\/strong> Menos de 1 punto porcentual de diferencia en la tasa de clics en phishing (Proofpoint 2024)<\/p>\n Efecto del nudging:<\/strong> Reducci\u00f3n del 40-50 por ciento a trav\u00e9s de advertencias contextuales en el correo electr\u00f3nico<\/p>\n Adopci\u00f3n de DMARC:<\/strong> Solo el 33 por ciento de las empresas alemanas en Enforce (eco 2024)<\/p>\n No, pero cambie: aleje a los videos obligatorios anuales y dir\u00edjase a microcapacitaciones cortas y contextuales (5 minutos, mensuales), simulaciones de phishing como instrumento de medici\u00f3n y controles t\u00e9cnicos como defensa primaria.<\/p>\n En este orden: DMARC en Enforce (protecci\u00f3n de dominio), MFA para todos los servicios (protecci\u00f3n de credenciales), URL-Sandboxing en la puerta de enlace de correo electr\u00f3nico (protecci\u00f3n de enlaces), etiquetado de remitentes externos en el cliente de correo electr\u00f3nico (informaci\u00f3n contextual).<\/p>\n NIS2 exige \u00ab\u00a0medidas de sensibilizaci\u00f3n\u00a0\u00bb – no tiene que ser un programa de capacitaci\u00f3n cl\u00e1sico. Las intervenciones microdemostrables, las simulaciones de phishing y las medidas t\u00e9cnicas de protecci\u00f3n documentadas cumplen con el requisito. Lo decisivo es la demostrabilidad.<\/p>\n Mehr aus dem MBF Media Netzwerk<\/p>\nEn resumen<\/h2>\n
\n
El teatro de la conformidad: por qu\u00e9 las capacitaciones anuales no funcionan<\/h2>\n
Lo que funciona en su lugar: nudging en lugar de capacitaci\u00f3n<\/h2>\n
Simulaciones de phishing: \u00bf\u00fatiles o t\u00f3xicas?<\/h2>\n
Defensa en profundidad: controles t\u00e9cnicos como red de seguridad<\/h2>\n
Key Facts<\/h2>\n
Preguntas frecuentes<\/h2>\n
\u00bfDebo eliminar por completo el entrenamiento de concienciaci\u00f3n de seguridad?<\/h3>\n
\u00bfQu\u00e9 medidas t\u00e9cnicas tienen el mayor efecto?<\/h3>\n
\u00bfSomos conformes con NIS2 sin el entrenamiento cl\u00e1sico?<\/h3>\n
Verwandte Artikel<\/h2>\n
\n