天美传媒 Insight
Ciberseguridad y empleados: convi茅rtelos en tu mejor defensa
El mayor riesgo digital no es tecnol贸gico, sino humano. Refuerza la seguridad con una cultura de la privacidad s贸lida y confianza cero.
Por Tawfiq Alashoor
En 2024, un empleado de la oficina de Hong Kong de la multinacional brit谩nica Arup transfiri贸 20 millones de libras esterlinas a varias cuentas despu茅s de que se lo pidiera, aparentemente, el director financiero de la compa帽铆a. Al principio, desconfi贸 del correo electr贸nico supuestamente procedente de la oficina de Londres en el que se le solicitaba realizar esas transacciones en secreto. Sin embargo, accedi贸 tras mantener una videollamada con el director financiero y otros empleados a los que reconoci贸. Solo m谩s tarde se descubri贸 la estafa: la videollamada era un deepfake que utilizaba voces e im谩genes generadas por IA. 鈥淐omo ocurre en muchas otras empresas de todo el mundo, nuestras operaciones son objeto de ataques habituales, entre ellos fraudes de facturaci贸n y estafas de phishing. Pero el volumen y la sofisticaci贸n de estos ataques han ido en aumento鈥�, .
Este caso ilustra una verdad importante sobre la ciberseguridad. La resume este : 鈥淧ese a la facilidad con que se explota, el lado humano de la seguridad inform谩tica suele obviarse. Las empresas gastan millones de d贸lares en cortafuegos, encriptaci贸n y dispositivos de acceso seguro, un dinero desperdiciado porque ninguna de estas medidas aborda el eslab贸n m谩s d茅bil de la cadena de la seguridad: las personas que usan, administran, operan y responden por los sistemas inform谩ticos que contienen informaci贸n protegida鈥�.
Las capas de la ciberseguridad
Como las amenazas y riesgos cibern茅ticos son constantes, las empresas intentan mitigar su impacto o evitarlos por completo mediante controles de acceso, es decir, controlando literalmente el acceso al sistema. Para ello despliegan m煤ltiples protecciones de tecnolog铆as de la informaci贸n (TI) y tecnolog铆as operacionales (TO), como encriptaci贸n, cortafuegos, protocolos de seguridad, autenticaci贸n de dos pasos, copias de seguridad o parches. Pero, por esenciales que sean todas estas capas de protecci贸n t茅cnica, no bastan, ya que dejan fuera el factor humano, en s铆 mismo otra capa.
Por eso, las protecciones t茅cnicas deben ir de la mano de controles de gesti贸n, el foco de este art铆culo. Por controles de gesti贸n nos referimos a algo m谩s que ofrecer a los empleados programas de educaci贸n, formaci贸n y concienciaci贸n en seguridad (SETA, por sus siglas en ingl茅s). Tales programas ense帽an a los empleados los aspectos b谩sicos 鈥搉o compartas contrase帽as, actualiza tu software, no abras enlaces sospechosos鈥�, pero no abordan los errores potencialmente m谩s graves que cometemos en nuestras decisiones cotidianas de privacidad. Como muestra el gr谩fico, por muy riguroso que sea tu dise帽o t茅cnico para mantener a los hackers fuera, de nada sirve si descuidas el factor humano y un empleado cr茅dulo los invita sin querer por la puerta de atr谩s. Despu茅s de todo, es m谩s f谩cil 鈥渋niciar sesi贸n鈥� que 鈥渉ackear鈥�. 驴D贸nde est谩 poniendo el foco tu empresa?
Recientemente, en un , pregunt茅 a los asistentes: 鈥溌緾u谩ntas veces acept谩is las cookies al abrir una web?鈥�. La mayor铆a dijo que casi siempre o a veces, y menos de un tercio, nunca. Aunque la tasa de rechazo era m谩s alta de lo habitual, a煤n deber铆a haberlo sido m谩s a tenor de la otra pregunta que les plante茅: 鈥溌緼lguna vez hab茅is sufrido u os ha afectado un ciberataque, personalmente o en el trabajo?鈥�. La respuesta fue un s铆 abrumador; y probablemente los pocos que contestaron que no fue porque lo desconoc铆an. Como muestra el caso de Arup, los ciberataques son cada vez m谩s sofisticados, por lo que nadie puede permitirse el lujo de bajar la guardia.
Qu茅 es la cultura de la privacidad y por qu茅 es clave
Es fundamental complementar los programas SETA con otros de educaci贸n, formaci贸n y concienciaci贸n en privacidad, o PETA. Si, como estiman los estudios, del 80 al 90% de las brechas de seguridad se deben a errores humanos, las empresas deber铆an prestar tanta atenci贸n a su cultura de la privacidad como a sus sistemas de TI/TO.
La cultura de la privacidad de una empresa engloba los valores, creencias y pr谩cticas colectivas con un profundo arraigo en sus operaciones que gu铆an c贸mo se aborda y prioriza la gesti贸n de datos y la protecci贸n de informaci贸n personal. Abarca las actitudes y comportamientos de los empleados de todos los niveles de la compa帽铆a, haciendo hincapi茅 en la importancia de proteger la privacidad y los datos personales. Requiere ser proactivo en el cumplimiento de los est谩ndares de privacidad, con formaci贸n para toda la organizaci贸n y un compromiso compartido que garantice la integraci贸n de los principios de protecci贸n de datos en todas las operaciones, procesos de toma de decisiones y objetivos estrat茅gicos. De ah铆 que, en el gr谩fico propuesto, la cultura de la privacidad cubra tanto la parte t茅cnica como la de gesti贸n de los controles de seguridad de una empresa.
En un estudio que he realizado con colegas de Brasil, Arabia Saud铆, Reino Unido y Estados Unidos, desarrollamos un modelo de apoyo al desarrollo de una cultura empresarial de la privacidad.
Para definir un punto de partida com煤n sobre la privacidad, empezamos encuestando a m谩s de mil empleados de diversos departamentos (ventas, compras, marketing, estrategia y gobernanza) y sectores (industria manufacturera, tecnolog铆a, salud, distribuci贸n minorista, comercio electr贸nico y clubs deportivos). Les hicimos una serie de preguntas, primero sobre sus expectativas en materia de privacidad y despu茅s sobre su percepci贸n de las pr谩cticas de sus empresas. Tambi茅n medimos su comportamiento general (mediante afirmaciones como 鈥淪茅 lo que hay que hacer si advierto o sufro una incidencia de seguridad o una brecha de datos鈥�) y evaluamos sus respuestas a situaciones concretas (con una serie de preguntas del tipo 鈥溌縌u茅 har铆as si...?鈥�). Asimismo, tomamos como referencia la legislaci贸n existente, como el Reglamento General de Protecci贸n de Datos de la Uni贸n Europea (RGPD). Todo ello gener贸 un 铆ndice compuesto de diez pilares de la cultura de la privacidad.
Los 10 pilares de la cultura de la privacidad
1. Seguridad de la informaci贸n
Se han aplicado las medidas adecuadas (pol铆ticas, procedimientos y sistemas), seguidas y monitorizadas por colaboradores para proteger la informaci贸n personal de los sujetos de datos.
2. Gesti贸n de riesgos
La organizaci贸n ha definido los niveles de riesgo y la documentaci贸n actualizada para gestionar los riesgos de privacidad y protecci贸n de datos, incluida la evaluaci贸n, monitorizaci贸n y comunicaci贸n de los riesgos a las partes implicadas.
3. Transparencia
Las pol铆ticas de privacidad y los controles de acceso a datos personales se revisan regularmente y est谩n a disposici贸n de toda la organizaci贸n. Los cambios importantes relativos al uso de datos se comunican proactivamente a los afectados.
4. Gobernanza organizacional
Se ha implementado una estructura organizacional bien definida, con cargos y responsabilidades claras y comunicadas, y apoyada por el consejo y los directivos. Adem谩s, se han nombrado colaboradores 鈥減aladines de la privacidad鈥�.
5. Prop贸sitos del procesamiento
Los miembros de la organizaci贸n saben por qu茅 manejan datos personales y cu谩les son las bases legales de ese manejo para cada actividad.
6. Intercambio de datos
Existen contratos o acuerdos firmados y actualizados para el procesamiento de datos personales con todas las terceras partes con que se comparten.
7. Derechos de los sujetos de datos
Los clientes, usuarios y empleados reciben instrucciones sobre c贸mo ejercer sus derechos de privacidad y protecci贸n de datos. Adem谩s, la organizaci贸n cuenta con una estructura y un procedimiento claros para atender esos derechos.
8. Gesti贸n de incidencias
Existen procesos claros para identificar las incidencias y filtraciones de seguridad de datos, incluida la evaluaci贸n y comunicaci贸n de tales incidencias a las partes afectadas y a las autoridades.
9. Formaci贸n
La organizaci贸n dispone de pol铆ticas, formaci贸n y apoyo a los que pueden acceder f谩cilmente sus empleados, y los directivos supervisan regularmente su participaci贸n.
10. Principios del procesamiento de datos
La organizaci贸n cuenta con operaciones y procedimientos para garantizar que el procesamiento de datos est谩 limitado a la necesidad, tiene un alcance definido y los datos solo se guardan el tiempo necesario.
Tras establecer este 铆ndice, repetimos la encuesta un a帽o despu茅s con otro grupo de m谩s de 1.400 empleados de departamentos y sectores igual de diversos. Esta evaluaci贸n comparativa nos permiti贸 ver si la cultura de la privacidad evolucionaba en las empresas y c贸mo lo hac铆a, adem谩s de identificar disparidades entre las expectativas y las pr谩cticas y entre los comportamientos generales y las respuestas situacionales.
Al comparar los resultados de un a帽o con los del siguiente, observamos peque帽as mejoras en los diez pilares, lo cual resulta algo reconfortante. Sin embargo, persist铆an brechas, en particular entre las expectativas de los empleados y las pr谩cticas de las empresas.
Nuestro an谩lisis de los datos por cargos se帽al贸 que la puntuaci贸n de los l铆deres empresariales era menor que la del personal de operaciones en ambos a帽os. Es un dato preocupante, porque los l铆deres son los responsables de garantizar la aplicaci贸n de pol铆ticas de protecci贸n de datos y el cumplimiento por parte de la compa帽铆a de las leyes y regulaciones pertinentes.
La identificaci贸n de tales disparidades permite que las empresas dirijan mejor sus intervenciones. Como coment贸 un responsable de privacidad de datos, este ejercicio revel贸 cu谩les eran las 谩reas prioritarias de mejora en su compa帽铆a.
El 铆ndice sirve como referencia para que las empresas eval煤en el estado de su cultura de la privacidad y sus niveles de madurez, ya que destaca las vulnerabilidades que deben abordarse con los empleados. (Si te interesa usar nuestra herramienta de evaluaci贸n como referencia y adaptarla a tu propio contexto, puedes consultar las preguntas exactas que utilizamos en el ). Para traducir este diagn贸stico en acci贸n, resumimos nuestro enfoque en un marco de tres pasos al que llamamos las 3P (3B en ingl茅s, por Baseline, Benchmark y Bridge).
Las 3P: un marco en tres pasos
Punto de partida
Valora exhaustivamente la cultura de la privacidad de tu empresa para comprobar su estado actual. Elabora tu propio 铆ndice base identificando las 谩reas clave en las que centrarse.
Punto de referencia
Compara los resultados de tu 铆ndice de cultura de la privacidad con los est谩ndares y las mejores pr谩cticas de tu sector. Adem谩s, al repetir este ejercicio anualmente, podr谩s seguir el progreso de tu empresa en cultura de la privacidad.
Puente
Cierra las brechas identificadas en los pasos anteriores, tanto internas (discrepancias entre las pr谩cticas y aspiraciones de tu empresa) como externas (la posici贸n de tu empresa con respecto a los competidores y el mercado).
Creemos que este enfoque desplaza constructivamente el foco de las meras estrategias t茅cnicas o de cumplimiento normativo hacia un pensamiento m谩s hol铆stico sobre privacidad y seguridad de datos, alineando los comportamientos de los empleados con los objetivos del liderazgo y la organizaci贸n. Y, lo que es crucial, involucra a los empleados en el proceso, ya que suelen ser la primera l铆nea de defensa frente a ciberataques y brechas de datos.
Conciencia a los empleados sobre sus vulnerabilidades
驴Por qu茅 son tan importantes los programas de formaci贸n en privacidad centrados en los empleados? Lo ilustrar茅 con un experimento que realic茅 con dos grupos para evaluar su propensi贸n a revelar informaci贸n privada. Todos participaron en un taller de concienciaci贸n sobre seguridad que les ense帽aba los riesgos de los emails de phishing y similares, y completaron una encuesta inmediatamente antes, otra justo despu茅s y una tercera dos semanas m谩s tarde, respondiendo a preguntas como 鈥溌縍epites contrase帽a en distintas webs? 驴Usas la fecha de tu cumplea帽os para tus contrase帽as? 驴Compartes detalles personales en las redes sociales?鈥�. En el grupo de control, los participantes pod铆an responder s铆/no o saltarse las preguntas, mientras que el grupo de tratamiento, responder s铆/no o 鈥淧refiero no dar esta informaci贸n鈥�. Este 鈥渆mpuj贸n de privacidad鈥� sirvi贸 para que se dieran cuenta de que no ten铆an por qu茅 responder si no quer铆an. Quienes recibieron ese 鈥渆mpuj贸n鈥� acabaron compartiendo menos informaci贸n que los dem谩s.
Este experimento indica que todo buen programa de formaci贸n en privacidad deber铆a concienciar a los empleados sobre la psicolog铆a conductual que hay detr谩s de sus decisiones de privacidad. El simple hecho de dar la posibilidad de pararse a pensar antes de tomar una decisi贸n de este tipo (como hizo el 鈥渆mpuj贸n鈥�) puede ayudar a los empleados a no revelar datos de forma autom谩tica, irreflexiva y potencialmente arriesgada.
Otro experimento que hice muestra que, cuando estamos contentos y relajados, somos m谩s propensos a revelar informaci贸n personal que cuando nos encontramos en un estado an铆mico neutral, aunque nos preocupe la privacidad. De nuevo, si los errores humanos son la mayor causa de las brechas de seguridad, formar a los empleados para que resistan la fatiga de la privacidad y concienciarlos sobre los diversos trucos psicol贸gicos en juego les ayudar谩 a tomar mejores decisiones de privacidad.
Este ilustra con toda crudeza c贸mo los estafadores no dejan de idear m茅todos cada vez m谩s retorcidos para manipularnos emocionalmente y conseguir que revelemos informaci贸n privada sensible. Educar a tus empleados sobre qu茅 factores humanos pueden explotar los estafadores es otro cortafuegos de privacidad para tu empresa.
Tests de intrusi贸n y paladines de la privacidad
Para reforzar una mentalidad de 鈥減rivacidad primero鈥� en toda la organizaci贸n, conviene aplicar la ingenier铆a inversa: partir del problema y analizar en retrospectiva la cadena de sucesos que condujo hasta 茅l, con el fin de identificar los eslabones d茅biles y abordarlos directamente. Las empresas ya aplican este enfoque en el 谩mbito de la seguridad mediante tests de intrusi贸n: reclutan a hackers 茅ticos para poner a prueba sus redes y sistemas, detectar vulnerabilidades y defectos del software y el hardware y, a partir de ah铆, fortalecer sus defensas t茅cnicas. Las empresas deber铆an ser igual de proactivas con los tests de intrusi贸n de la privacidad, pero aplicando la ingenier铆a inversa al cerebro humano en vez de a los sistemas de TI/TO.
Como en los tests de intrusi贸n t茅cnica, el primer paso es recopilar informaci贸n, por ejemplo, mediante las encuestas de mi estudio. Este proceso puede incomodar a los empleados, porque deja al descubierto debilidades personales. Por eso es importante recordarles que sentirse vulnerables forma parte del experimento, y que este se desarrolla en un espacio seguro 鈥搖n 蝉补苍诲产辞虫鈥� precisamente para evitar que se sientan v铆ctimas, algo que s铆 ocurrir铆a en una situaci贸n real, como la del desafortunado empleado de Hong Kong.
Ayuda tambi茅n contar con un alto nivel de confianza en la organizaci贸n. Si no existe, tendr谩s que dedicar tiempo a generarlo, ya que el aprendizaje es m谩s eficaz cuando los empleados sienten que pueden mostrar sus comportamientos reales y compartir informaci贸n sin miedo a represalias. Con esos datos en la mano, los directivos podr谩n tomar medidas espec铆ficas: establecer pol铆ticas y directrices claras, como nuestros diez pilares, y los procedimientos conductuales que los empleados deben seguir.
Otras medidas para garantizar el compromiso sostenido de la organizaci贸n incluyen el nombramiento de 鈥渁dalides de la privacidad鈥� en los departamentos y la integraci贸n de las consideraciones de privacidad en las estructuras de gobernanza. Para ello, se necesitan personas con un gran inter茅s por la privacidad y un amplio conocimiento, sobre todo en psicolog铆a y econom铆a conductual. Si los hackers son expertos en manipulaci贸n, la organizaci贸n necesita su equivalente: un 鈥渉acker de sombrero blanco鈥�.
L贸gicamente, esta funci贸n recaer铆a en el director de tecnolog铆a o el de TI, aunque ambos cargos suelen centrarse en la parte t茅cnica, no en la humana. Para cumplir con el RGPD, muchas empresas cuentan con un delegado de protecci贸n de datos (DPD), te贸ricamente encargado de impulsar esta agenda, pero que en la pr谩ctica suele quedar m谩s absorbido por el papeleo del cumplimiento normativo que por los programas PETA. Lo ideal ser铆a que el DPD asumiera el papel de principal impulsor de la privacidad y trabajara estrechamente con recursos humanos.
Es m谩s, los programas PETA deber铆an ser una parte integral de cualquier proceso de incorporaci贸n, estableciendo el punto de partida de la organizaci贸n sobre el que se crean los puntos de referencia. Las empresas tambi茅n deber铆an priorizar los tests de intrusi贸n de la privacidad en sus equipos de atenci贸n al cliente 鈥搒u posici贸n es m谩s vulnerable鈥� para convertirlos en su primea l铆nea de defensa (acu茅rdate del 惫铆诲别辞).
Tal vez la mejor salvaguarda inmediata sea conseguir que la cultura de la privacidad arraigue entre los empleados de primera l铆nea, porque permite abordar los comportamientos y capacidades cotidianos. Por eso, aunque resulte preocupante que en nuestras encuestas los l铆deres empresariales punt煤en m谩s bajo que el personal de operaciones en relaci贸n con los diez pilares, ser铆a a煤n m谩s inquietante que ocurriera lo contrario. Cuando solo los directivos piensan en la privacidad, esta suele reducirse al mero cumplimiento 鈥揳 鈥渕arcar la casilla鈥� de las obligaciones legales鈥� y se descuida la dimensi贸n cognitivo-conductual de la cultura corporativa.
La cultura de la privacidad debe incluir las capacidades metacognitivas, y eso exige un liderazgo claro desde arriba, al nivel del CEO y el consejo. Pero no toda la cultura se construye de arriba abajo: el trabajo de verdad, el de detectar y poner a prueba las vulnerabilidades de la plantilla, debe hacerse de abajo arriba.
Mi consejo final es confianza cero. Hay quien dice: 鈥淐onf铆a primero, verifica despu茅s鈥�, pero cuanto m谩s conectados estamos, m谩s vulnerables somos; por eso, es la mentalidad m谩s segura. Deja de pensar en la privacidad como algo aislado. Dado que los empleados toman cada vez m谩s decisiones de privacidad en su d铆a a d铆a, si los formamos y dotamos de las herramientas adecuadas, podemos mejorar la ciberseguridad por defecto.
+INFO: 鈥溾��, de Tawfiq Alashoor, Maheshwar Boodraj, Andr茅 Quintanilha, Sabrina Palme y Hussain Aldawood, MIS Quarterly Executive (2025).
V脥DEO: el webinar 鈥溾��, con Tawfiq Alashoor y los expertos en ciberseguridad Abdulrahman Alsafh y Jessica Buerger, est谩 disponible para los miembros de la Asociaci贸n de Alumni del 天美传媒 .
El investigador agradece el apoyo recibido en el marco del proyecto Project 2024-2-IE01-KA210-VET-000281740 鈥� Training and Reskilling for Smart Manufacturing (TRANSFORM), financiado por la Uni贸n Europea bajo el programa ERASMUS+. Los puntos de vista y opiniones expresados son 煤nicamente los de los autores y no reflejan necesariamente los de la Uni贸n Europea ni los del programa Erasmus+. Ni la Uni贸n Europea ni la entidad financiadora pueden ser consideradas responsables de los mismos.
Este art铆culo forma parte de la revista 天美传媒 Insight n煤m. 171 (enero-abril 2026).
El coste oculto de un ciberataque: clientes que no vuelven
Un ciberataque no acaba cuando se restablecen los sistemas, ni se limita a los servicios online; acarrea costes duraderos para el consumidor.
As铆 lo apunta una investigaci贸n de la profesora del 天美传媒 Laura Wagner en la que, junto con otros autores, durante una semana tras un ciberataque.
A partir de los datos de fidelizaci贸n de m谩s de 20.000 clientes, los investigadores compararon el comportamiento de compra antes y despu茅s del ataque. Las transacciones y los ingresos online cayeron alrededor de un 10% durante las 13 semanas posteriores al incidente, sin indicios de recuperaci贸n. Esto contrasta con estudios anteriores, que solo documentaban reacciones de mercado a corto plazo.
La tienda f铆sica tampoco compens贸 la p茅rdida. Aqu铆 tambi茅n los resultados divergen de investigaciones previas que suger铆an que el canal offline puede amortiguar las disrupciones online. Es decir, el comercio omnicanal no es la red de seguridad que aparenta ser.
Con todo, no todos los clientes reaccionaron igual. Los que ten铆an rutinas online m谩s previsibles (y por tanto estaban m谩s directamente expuestos al ataque) fueron m谩s propensos a dejar de comprar, mientras que los vinculados a un servicio de suscripci贸n mostraron mayor resiliencia y m谩s inclinaci贸n a seguir con la marca.
Todo ello apunta a que los ciberataques van mucho m谩s all谩 de las consideraciones t茅cnicas. Tu equipo debe estar alerta, porque el comportamiento de compra tras un ataque afectar谩 a tu negocio mucho despu茅s de que los servicios online se hayan recuperado.
Este proyecto cuenta con el apoyo financiero del programa de investigaci贸n e innovaci贸n de la Uni贸n Europea 2023 en virtud del acuerdo de subvenci贸n Marie Sklodowska-Curie n潞 101152906. Los puntos de vista y opiniones expresados son 煤nicamente los de los autores y no reflejan necesariamente los de la Uni贸n Europea ni la European Research Executive Agency. Ni la Uni贸n Europea ni la entidad financiadora pueden ser consideradas responsables de los mismos.
