Es esa época del año otra vez. Diciembre es temporada de festividades. Con eso llega el momento de viajar, comer rico, visitar a familiares y amigos, y cerrar otro año de buen trabajo. Si tu organización es como la mayoría, también tienes pendientes algunas tareas administrativas. Completas tus evaluaciones anuales, llenas formularios de salud, y te aseguras de completar tu security awareness training anual. Vamos a hablar de por qué el security awareness training anual es una pérdida de tiempo completa para tu empresa, tus empleados y la cultura de seguridad de tu organización.
¿Por qué security awareness training anual?
Tus empleados reciben un correo que dice: "completa el security awareness training anual requerido". ¿Cuál crees que es su primera reacción? "¡Esto es una pérdida de tiempo!" "¿Por qué me hacen esto cada año?" "¡Voy a hacer clic en siguiente lo más rápido posible!" "Esto es tan cursi". Créeme, estos son solo algunos de los comentarios que podemos escribir en este blog; seguro que tú has escuchado y vivido cosas mucho peores.
Es posible que tu empresa tenga una obligación de cumplimiento o una política que exija que cada empleado complete el security awareness training anual requerido. A veces no puedes evitarlo, pero la forma en que se implementa está mal. Primero debes entender por qué tienes una política de concientización en seguridad. Piénsalo. ¿Por qué harías que tus empleados completen algún tipo de capacitación en concientización de seguridad? Probablemente sea para ayudarlos a educarse y entrenarse en implementar y practicar mejores comportamientos de seguridad, ¿verdad? Tu meta es ayudar a cambiar su comportamiento siguiendo mejores prácticas para crear un entorno más seguro.
[blockquote]¿De verdad crees que estás logrando esa meta con una experiencia de muerte por PowerPoint una vez al año?[/blockquote]
Desarrollar una cultura de seguridad
Veamos la seguridad desde otra perspectiva. Imagina que soy tu entrenador personal. Mi trabajo es ayudarte a ponerte en forma, comer saludable y volverte más consciente de tu salud en tus decisiones diarias de alimentación y ejercicio. Entonces, ¿qué vamos a hacer? Bueno, qué tal este plan: te voy a poner en una caminadora y vamos a correr durante media hora mientras levantas pesas al mismo tiempo. Luego, justo después, vamos a comer una ensalada y tomar un batido. Perfecto, ahora solo te haré firmar un documento que diga que completaste tu entrenamiento físico. Con eso, te digo que nos vemos el próximo año, mismo horario, mismo lugar, misma actividad. Perfecto, ahora estarás en excelente forma durante todo el año gracias a esto.
Por supuesto que no.
Veamos un mejor enfoque. Me reuniría contigo para entender tus metas iniciales. Determinaríamos en qué has tenido dificultades con el ejercicio y la alimentación saludable en el pasado. Luego hablaríamos de un plan sobre cómo avanzar. A partir de ahí, estableceríamos una línea base de tu condición física. Hablaríamos de planes de comidas saludables, rutinas de ejercicio y cómo aplicar el ejercicio en tu vida diaria. Luego, también haríamos revisiones periódicas para ver cómo va el plan y hacer ajustes según las métricas que vayamos recopilando.
Este concepto es exactamente cómo funciona un programa de concientización en seguridad. Para generar conciencia, debe distribuirse a lo largo del año en conversaciones breves y fáciles de asimilar. El security awareness training una vez al año es excelente para marcar una casilla de cumplimiento, pero es completamente ineficaz cuando se trata de proteger realmente a tu organización. Los empleados esperan información en un lenguaje simple y claramente comunicado. Educar gradualmente a los empleados a lo largo del año permite entender los conceptos de forma similar a cómo se dividen los capítulos de un libro.
Al distribuir el contenido a lo largo del año, puedes enfocar tus esfuerzos en que tus empleados comprendan bien esos conceptos. Abrumar a los empleados con información es como tratar de estudiar todo de golpe antes de un examen. Memorizar información a última hora podría ayudarte a pasar el examen, pero aquí no solo buscamos pasar una prueba. Buscamos cambiar comportamientos a largo plazo. Buscamos defender a nuestra organización de las amenazas y ataques cibernéticos continuos que enfrentan nuestros empleados todos los días. Estamos construyendo una cultura de seguridad.
El cambio no se construye de la noche a la mañana
El cambio no se logra de la noche a la mañana. Se necesita consistencia y repetición para lograrlo bien. Si quieres construir un programa de concientización en seguridad verdaderamente eficaz, no puedes ofrecer una sesión de muerte por PowerPoint una vez al año y esperar un cambio. El esfuerzo que dediques al programa se reflejará en los resultados de los empleados que participan. Si la seguridad se ve como un obstáculo, es tu trabajo demostrar que debería ser parte de sus prácticas diarias. Debes mostrarles a tus empleados qué tan simple puede ser implementar comportamientos de seguridad en su vida cotidiana.
Igual que en el ejemplo de salud anterior, con solo una sesión anual en el gimnasio no verás una mejora. Pero, después de varias sesiones y una rutina repetible siguiendo el plan, verás mejoras. El mismo concepto aplica a tu programa de concientización en seguridad. Si creas un plan y lo sigues de manera consistente con tus empleados, te prometo que el cambio ocurrirá. Los empleados cambiarán sus comportamientos y la seguridad se convertirá en parte de la cultura de tu empresa. El cambio comienza con un plan sólido y continúa con la determinación de ejecutarlo.
Si buscas pasar de tu aburrido security awareness training anual a un programa de concientización en seguridad inmersivo, contáctanos, nos encantaría ayudarte.
