Factor humano y cultura de seguridad: una guía práctica para PyMEs y equipos
La cultura de seguridad mejora cuando las decisiones seguras son claras, practicables y fáciles de reportar. Un enfoque concreto para equipos pequeños en Argentina.
Las personas no son el eslabón débil
En muchas charlas de ciberseguridad se repite que las personas son el eslabón más débil. La frase parece sencilla, pero puede producir el efecto contrario al buscado: si alguien teme quedar como culpable, demora el reporte, oculta un error o intenta resolverlo sin ayuda. Para una PyME, donde pocas personas concentran tareas críticas, esos minutos pueden importar mucho.
NIST impulsa un enfoque de ciberseguridad centrada en las personas: diseñar sistemas, procesos y servicios que contemplen cómo la gente realmente trabaja. CISA también recomienda una cultura donde sea seguro reportar intentos de phishing incluso cuando alguien hizo clic o compartió información. El objetivo no es quitar responsabilidad, sino crear condiciones para actuar rápido, aprender y reducir la repetición.
La cultura aparece en decisiones cotidianas. ¿Una persona sabe a quién avisar si recibe un pedido extraño? ¿Puede verificar un cambio de cuenta bancaria sin quedar atrapada en una cadena de mails? ¿El acceso multifactor es sencillo o se evita porque bloquea el trabajo? ¿La dirección respeta los mismos controles que pide al resto? Cada respuesta enseña qué se valora de verdad.
En una empresa pequeña de Buenos Aires no hace falta copiar el programa de una multinacional. Sí hace falta acordar conductas esenciales, asignar responsables y practicar escenarios creíbles. La cultura no se mide por cuántas personas completaron un video anual, sino por si reconocen una situación, toman una decisión segura y piden ayuda a tiempo.
Convertí mensajes generales en hábitos observables
Decir tengan cuidado con los correos no alcanza. Un hábito observable sería: ante un cambio urgente de CBU, confirmar por un canal conocido antes de pagar. Para accesos: usar un gestor de contraseñas, evitar reutilización y activar MFA en correo, banca, nube y sistemas administrativos. Para actualizaciones: definir quién revisa avisos, cuándo se instalan y qué pasa si un equipo no puede actualizarse. Para información sensible: acordar dónde se guarda, quién puede verla y cómo se comparte.
CISA reúne cuatro prácticas esenciales para organizaciones pequeñas: evitar phishing, usar contraseñas seguras, requerir autenticación multifactor y mantener software actualizado. Son un buen comienzo porque combinan conducta, configuración y liderazgo. No las conviertas en una campaña aislada. Integralas al ingreso de personal, a la compra de herramientas, a la baja de cuentas, a reuniones de equipo y a la relación con proveedores.
Elegí entre cinco y siete conductas prioritarias según el negocio. Un estudio contable puede concentrarse en correo, documentos fiscales, accesos remotos y transferencias. Un comercio electrónico necesita sumar administración de la tienda, medios de pago y recuperación de cuentas. Una consultora debe proteger archivos de clientes, videollamadas y dispositivos móviles. La relevancia mejora la atención: una historia cercana enseña más que una lista de amenazas abstractas.
Reducí fricción antes de pedir más cuidado. Si reportar un mensaje sospechoso requiere abrir un ticket complejo, la gente buscará un atajo. Definí un canal simple, como un botón de reporte o una dirección interna, y explicá qué información incluir. Si el proceso de alta tarda días, aparecerán cuentas compartidas. La seguridad usable no es permisiva: hace que la opción correcta sea la más fácil de ejecutar.
Entrenamiento breve, frecuente y sin trampas
Una capacitación útil parte de tareas reales y dura lo suficiente para practicar una decisión. Podés trabajar un escenario mensual de diez minutos: un falso cambio de proveedor, una invitación a compartir un documento, una llamada que pide un código, una notebook perdida o un acceso que debería darse de baja. El equipo identifica señales, elige un canal de verificación y repasa el procedimiento.
Las simulaciones de phishing pueden aportar información, pero no deberían convertirse en una competencia para atrapar personas. Avisá el propósito del programa, protegé los resultados individuales y usá patrones agregados para mejorar procesos. Si muchas personas caen ante el mismo señuelo, quizás el problema no sea falta de atención: puede haber mensajes internos parecidos, presión por responder rápido o un canal de verificación poco claro. NIST desarrolló recursos como Phish Scale precisamente para considerar la dificultad contextual de los mensajes y no interpretar todos los resultados de la misma forma.
Después de un incidente o casi incidente, hacé una revisión breve sin buscar culpables. Preguntá qué esperaba la persona, qué señales tenía, qué barrera faltó y qué cambio reduciría el riesgo. A veces la respuesta será formación; otras, un control técnico, una autorización adicional o un rediseño del proceso. Esa combinación es más fuerte que repetir no hagas clic.
El liderazgo tiene que participar. Si una persona directiva pide excepciones permanentes, comparte credenciales o evita MFA, el equipo aprende que la velocidad pesa más que la protección. En cambio, cuando verifica un pedido urgente y agradece un reporte temprano, transforma la norma escrita en comportamiento visible.
Un plan de cultura de seguridad para los próximos 30 días
Primera semana: reuní a dirección, operaciones y soporte para identificar tres situaciones que podrían interrumpir el negocio. No empieces por una lista universal; preguntá qué servicio no puede detenerse, qué información sería difícil de recuperar y qué fraude es plausible. Asigná una persona responsable de coordinar seguridad, aunque la ejecución técnica esté tercerizada.
Segunda semana: establecé un canal de reporte y cuatro reglas prácticas. Por ejemplo, verificar cambios de pago por otro canal, usar MFA en cuentas críticas, no compartir contraseñas y avisar de inmediato ante pérdida de dispositivo o mensaje sospechoso. Publicalas en lenguaje simple y probá que puedan cumplirse. Revisá además backups, actualizaciones y accesos de exintegrantes: la cultura necesita controles que la sostengan.
Tercera semana: realizá un ejercicio corto. Medí si el equipo reconoce el escenario, encuentra el canal y sabe qué información comunicar. Evitá rankings individuales. Registrá preguntas y fricciones. Cuarta semana: corregí uno o dos obstáculos, compartí lo aprendido y programá el siguiente ejercicio.
Usá pocas métricas: tiempo hasta el reporte, porcentaje de cuentas críticas con MFA, accesos pendientes de baja, restauraciones de backup probadas y acciones correctivas cerradas. La cantidad de cursos completados puede servir como dato administrativo, pero no demuestra por sí sola una conducta segura.
Para PyMEs argentinas que tratan datos de clientes, personal o proveedores, la cultura también incluye explicar para qué se recopilan datos, limitar accesos y sostener medidas de seguridad. La Ley 25.326 y las recomendaciones de la AAIP aportan un marco local que conviene revisar con asesoramiento según la actividad. Una cultura madura no promete que nadie se equivocará. Hace que los errores sean menos probables, más visibles y más fáciles de contener.