Curso de ciberseguridad para empresas: qué nivel capacitar por rol

Pocas áreas de una empresa están tan expuestas como el equipo que abre correos, descarga archivos y comparte accesos todos los días. Un solo clic en el mensaje equivocado puede frenar la operación, y muchas veces la causa no es una falla técnica sino que nadie le explicó a esa persona qué mirar antes de hacer clic. La capacitación en seguridad suele quedar para después, hasta que pasa algo.

En esta guía te contamos cómo pensar un curso de ciberseguridad para empresas: a quién capacitar, qué nivel necesita cada rol, qué contenidos priorizar y cómo saber si la formación cambia algo en la práctica.

Por qué la ciberseguridad no es solo un tema de IT

En una PyME o en un área de una empresa grande, las decisiones que afectan la seguridad las toman personas de todos los sectores: quien aprueba un pago por correo, quien comparte una carpeta con un proveedor, quien instala una extensión para trabajar más rápido. El equipo de sistemas pone las barreras, pero el comportamiento diario define si esas barreras sirven.

• Contraseñas reutilizadas. Si la misma clave sirve para el correo y para una herramienta externa, un incidente en un lado compromete el otro.

• Phishing cada vez más creíble. Los mensajes falsos imitan a proveedores, bancos o a la propia gerencia, y se apoyan en la urgencia.

• Datos compartidos sin criterio. Planillas con información de clientes que viajan por mensajería o por enlaces abiertos.

• Herramientas de IA usadas sin reglas. Pegar información interna en un asistente público es un riesgo que muchos equipos todavía no tienen mapeado.

Qué nivel capacitar según el rol

Un error habitual es dar la misma charla a todos. Conviene separar al menos cuatro perfiles, porque cada uno enfrenta riesgos distintos.

Todo el personal: hábitos básicos

Es la base. Reconocer correos y mensajes sospechosos, usar un gestor de contraseñas y doble verificación, saber cómo y a quién reportar algo raro, y entender qué datos no se comparten por canales abiertos. Funciona mejor en formato corto, con ejemplos del día a día de la empresa y no con definiciones técnicas.

Líderes y gerencias: decisiones y responsabilidad

No necesitan configurar nada, pero sí saber qué preguntar: qué datos críticos tiene la empresa, quién tiene acceso, qué plan existe si hay un incidente y cómo se comunica a clientes y a equipos. También son un blanco frecuente de fraudes que se hacen pasar por ellos.

Áreas con datos sensibles: finanzas, RR.HH., atención al cliente

Manejan información personal, bancaria o contractual. Necesitan prácticas específicas: verificar cambios de datos de pago por un segundo canal, controlar permisos de planillas y sistemas, y tratar con cuidado los datos de personas.

Equipos técnicos: práctica a fondo

Quienes administran sistemas, desarrollan o mantienen infraestructura necesitan formación más profunda: gestión de accesos, configuración segura, revisión de vulnerabilidades y respuesta a incidentes. Acá sí tiene sentido un programa más largo y práctico.

Contenidos clave de un buen programa

1. Mapa de riesgos de tu empresa. Qué activos importan más y qué amenazas son más probables en tu rubro.

2. Ingeniería social y phishing. Cómo se arman los engaños y cómo frenarlos con hábitos simples.

3. Accesos e identidad. Contraseñas, doble verificación y permisos mínimos.

4. Trabajo remoto y dispositivos. Redes públicas, equipos personales y actualizaciones.

5. Uso seguro de IA. Qué información puede ingresar a una herramienta y cuál no.

6. Respuesta a incidentes. Un protocolo claro: a quién avisar, qué hacer primero y qué no tocar.

Genérico, a medida o in-company: cómo elegir

Un curso de catálogo sirve para instalar vocabulario y hábitos comunes, sobre todo en equipos que arrancan de cero. Una capacitación a medida o in-company tiene más sentido cuando tu empresa maneja datos regulados, usa herramientas específicas o ya tuvo incidentes que quieras evitar repetir. En muchos casos la mejor opción es combinar: una base común para todos y módulos específicos para las áreas críticas.

Cómo saber si la capacitación funciona

Evitá medir solo la asistencia. Algunos indicadores que sí aportan, sin necesidad de inventar cifras:

• Cantidad de reportes de mensajes sospechosos por parte del equipo (más reportes suele ser buena señal).

• Adopción de doble verificación y gestor de contraseñas.

• Simulacros internos de phishing repetidos en el tiempo, para ver si mejora la reacción.

• Tiempo que tarda el equipo en avisar ante algo anómalo.

Definí una línea de base antes de empezar y revisala a los pocos meses. Si no hay cambios, probablemente falte práctica o el contenido esté lejos del trabajo real.

Errores frecuentes al contratar

• Capacitar una sola vez y no repetir. Los hábitos se refuerzan con el tiempo.

• Contenido genérico que no menciona las herramientas que tu equipo usa.

• Pedirle todo al área técnica y dejar afuera a quienes manejan pagos y datos.

• No contar con un protocolo de incidentes escrito antes de capacitar.

Preguntas frecuentes

¿Cuánto debería durar una capacitación en ciberseguridad para todo el personal?

Depende del punto de partida, pero suele funcionar mejor en sesiones cortas y repetidas que en una jornada larga única.

¿Hace falta que el curso sea técnico?

Para la mayoría del equipo, no. Lo importante son los hábitos y la capacidad de detectar riesgos. El contenido técnico se reserva para los perfiles que administran sistemas.

¿Se puede combinar con la capacitación en IA?

Sí, y conviene. El uso responsable de herramientas de IA es parte de la seguridad de la información de hoy.

Cómo empezar

Un buen primer paso es mapear qué datos críticos tiene tu empresa, qué áreas los tocan y qué nivel de formación tiene hoy cada una. Con ese diagnóstico, armar el programa por rol es mucho más simple. Si querés ayuda para definirlo, agendá una asesoría gratuita con el equipo de Coderhouse Empresas y armamos una propuesta a medida de tu equipo.