La mayoría de los incidentes de seguridad en una empresa no empiezan con un hacker rompiendo un firewall. Empiezan con un mail que parece del proveedor de siempre, un mensaje urgente “del gerente” pidiendo una transferencia o un link para “validar tu cuenta”. Eso es ingeniería social: manipular a una persona para que entregue acceso, datos o dinero. Y con la IA generativa, esos engaños se volvieron más creíbles: textos sin errores, voces clonadas y mensajes personalizados a escala.

Por eso la capacitación en ciberseguridad para empleados dejó de ser un trámite anual. En esta guía te mostramos qué tiene que cubrir un programa de concientización que funcione, cómo adaptarlo por área y cómo involucrar a People, IT y líderes para que no quede en un video que nadie mira.

Por qué la ciberseguridad en empresas es también un tema de personas

La tecnología de protección es necesaria: filtros de correo, doble factor de autenticación, gestión de accesos. Pero ningún control técnico cubre todo. Siempre queda una decisión humana: abrir o no un adjunto, aprobar o no un pago, compartir o no una contraseña. Cuando el equipo no sabe reconocer un intento de engaño, la seguridad depende de la suerte.

Además, hay un riesgo nuevo que se cruza con la adopción de IA: empleados que cargan información sensible en herramientas no aprobadas. Si eso te preocupa, complementá esta guía con el artículo sobre shadow AI y cómo armar una política de uso de IA.

Las formas de ingeniería social que tu equipo tiene que reconocer

• Phishing por correo. Mails que imitan bancos, proveedores, plataformas internas o servicios en la nube para robar credenciales.

• Fraude del CEO o del proveedor. Mensajes que suplantan a un directivo o a un proveedor para pedir pagos urgentes o cambios de cuenta bancaria.

• Smishing y mensajería. Engaños por SMS, WhatsApp o chats corporativos, muchas veces con tono de urgencia.

• Vishing y voces clonadas. Llamadas que se hacen pasar por soporte técnico o por alguien de la empresa, ahora con audios generados con IA.

• Pretexting. Historias armadas para ganar confianza y pedir información de a poco, por ejemplo alguien que dice ser de una auditoría.

• Engaños presenciales. Personas que intentan entrar a oficinas o depósitos aprovechando la cortesía del equipo.

El objetivo no es que todos sean expertos, sino que cualquier persona pueda frenar, sospechar y reportar a tiempo.

Qué tiene que cubrir un programa de capacitación en ciberseguridad

1. Base común para toda la empresa

• Cómo reconocer señales de engaño: urgencia, remitentes parecidos, pedidos fuera de proceso, links acortados.

• Contraseñas, gestores de contraseñas y doble factor de autenticación.

• Qué información no se comparte por canales informales ni se carga en herramientas de IA no aprobadas.

• Cómo y a quién reportar un incidente o una sospecha, sin miedo a quedar mal.

2. Bloques por área según el riesgo

3. Riesgos nuevos de la IA generativa

Incluí ejemplos de mensajes y audios generados con IA para que el equipo vea que ya no alcanza con buscar faltas de ortografía. También conviene explicar por qué no se carga información de clientes o datos internos en herramientas no aprobadas, aunque sea “solo para resumir”.

4. Práctica, no solo teoría

Los simulacros de phishing, los ejercicios con casos reales anonimizados y las dinámicas de “¿qué harías?” suelen generar más aprendizaje que una presentación. La clave es usarlos para enseñar, no para exponer a quien cae.

Cómo implementarlo paso a paso

1. Definí sponsors. IT o Seguridad aporta el contenido técnico; People coordina, comunica y mide; dirección da el mensaje de que es prioridad.

2. Relevá el punto de partida. Qué incidentes o casi-incidentes hubo, qué herramientas usan, qué áreas manejan datos sensibles.

3. Armá el recorrido. Base común corta para todos, bloques por área y un módulo específico para líderes.

4. Integralo al onboarding. Que cada nuevo ingreso pase por la base común en sus primeras semanas.

5. Sostené un ritmo. Refuerzos breves y periódicos funcionan mejor que una jornada larga una vez al año.

6. Revisá y ajustá. Con lo que muestran los reportes y los simulacros, actualizá contenidos y prioridades.

Si querés pensar el ritmo de refuerzos, este artículo sobre capacitación continua vs one-shot te da un esquema aplicable.

Cómo medir si la concientización está funcionando

Evitá quedarte solo con “porcentaje de gente que vio el curso”. Mirá señales de comportamiento:

• Reportes de sospecha. Si el equipo reporta más intentos de engaño, es una buena señal: significa que los está detectando.

• Resultados de simulacros. Comparar cómo responde el equipo entre una ronda y la siguiente, por área.

• Tiempo de reacción. Cuánto tarda en llegar a IT un reporte después de un intento real o simulado.

• Cumplimiento de procesos críticos. Por ejemplo, si los cambios de cuenta bancaria de proveedores siempre se validan por un segundo canal.

• Uso de herramientas aprobadas. Si baja el uso de herramientas de IA no autorizadas con datos internos.

Ejemplo: una PyME de distribución con equipo administrativo chico

Pensá en una PyME de distribución con un equipo administrativo de pocas personas que paga a decenas de proveedores. Un día llega un mail, aparentemente de un proveedor conocido, avisando que cambió su cuenta bancaria. Con una capacitación previa, la persona de Tesorería reconoce el patrón, llama al proveedor al teléfono que ya tenían registrado y confirma que el mail era falso. Ese tipo de reflejo no sale de un manual: sale de haber practicado el caso y de tener un proceso claro de doble validación.

El rol de los líderes de área

Los mandos medios son los que más influyen en la cultura de seguridad del día a día. Si un líder pide “pasame la contraseña así lo resuelvo yo” o saltea la validación de un pago porque está apurado, el mensaje para el equipo es que las reglas son opcionales. Por eso conviene sumar un módulo corto para líderes que cubra cómo dar el ejemplo, cómo responder cuando alguien reporta un error propio sin castigarlo y cómo incluir la seguridad en las conversaciones habituales del equipo, no solo cuando hubo un incidente.

Preguntas frecuentes

¿La capacitación en ciberseguridad es solo para el equipo de IT?

No. IT necesita formación técnica específica, pero la concientización es para toda la empresa, porque la mayoría de los engaños apuntan a personas de áreas no técnicas.

¿Con un video anual alcanza?

Suele no alcanzar. Las amenazas cambian, la gente se olvida y los nuevos ingresos llegan sin contexto. Funcionan mejor los refuerzos cortos y la práctica.

¿Qué tiene que ver la IA con la ciberseguridad del equipo?

Por dos lados: los engaños son más creíbles gracias a la IA, y el uso de herramientas de IA sin reglas puede exponer datos de la empresa. Ambos temas conviene trabajarlos juntos.

Capacitá a tu equipo para frenar la ingeniería social

Si querés que la ciberseguridad deje de depender de la suerte y pase a ser un hábito del equipo, podemos ayudarte a armar el programa. Hablá con el equipo de Coderhouse Empresas y pedí una asesoría gratuita para diseñar una capacitación en ciberseguridad adaptada a las áreas y riesgos de tu empresa.