Security awareness training superior, desarrollado con las mejores prácticas de aprendizaje para adultos basadas en investigación

Autor

Joshua Stern, Ph.D. — Joshua Stern Educational Consulting

El elemento humano: la psicología de la seguridad

En ciberseguridad, solemos imaginar a los villanos como figuras en las sombras encorvadas frente a pantallas brillantes, atacando firewalls y robando contraseñas sin piedad. Pero la verdad es más simple y más inquietante a la vez: el "malo" no necesita hackear tus sistemas en absoluto. Basta con que alguien dentro de tu organización cometa un error.

Los incidentes de ciberseguridad relacionados con el elemento humano rara vez se originan en la maldad. Ocurren por la psicología humana normal. Por ejemplo, las personas están programadas para responder rápido ante una urgencia percibida, especialmente cuando un mensaje parece venir de una figura de autoridad y hay una fecha límite cerca. En entornos acelerados, el instinto de actuar rápido puede superar al pensamiento crítico. Del mismo modo, las personas suelen querer ser serviciales y cooperativas; sin embargo, estos rasgos aparentemente positivos se explotan fácilmente con mensajes que apelan a la confianza, la empatía o el deseo de complacer. Además, muchas personas dudan en admitir cuando tienen dudas y se esconden si cometen un error. El miedo a la vergüenza, al juicio o a una sanción disciplinaria es poderoso y puede llevar a empleados bienintencionados a ocultar un error o intentar arreglarlo por su cuenta, lo que a menudo empeora las cosas. Esta combinación de gatillos psicológicos —urgencia, disposición a ayudar y vergüenza— puede ser explotada con destreza por actores de amenazas que entienden que el blanco más vulnerable de cualquier red es la mente humana.

Según el informe Verizon 2025 Data Breach Investigations Report (Verizon, 2025), casi el 60% de las brechas involucran el elemento humano: errores como el mal uso de credenciales, clics en phishing o simplemente el clásico error humano. Imagina a un fabricante de autos presumiendo de sus frenos de clase mundial, aunque la mayoría de los accidentes sigan ocurriendo porque los conductores pisan el pedal equivocado. Así estamos hoy con la ciberseguridad. Nuestras inversiones críticas en soluciones de seguridad pueden verse fácilmente burladas en minutos por el error de un empleado.

Esta es la realidad emocional de la que la mayoría de los líderes no habla: cuando ocurren esos errores, los empleados no son solo endpoints en un gráfico de riesgo. Son personas. Son seres humanos falibles que sienten vergüenza, culpa, incluso miedo. Repiten el momento clave una y otra vez en su mente: "¿¡Por qué hice clic en ese enlace!? ¿¡Por qué no me di cuenta!?". Mientras tanto, el equipo de TI se apresura, frustrado porque, sin importar cuántas advertencias envíe, parece que el mensaje nunca llega. 

Por eso el security awareness training (SAT) no es opcional: es esencial. Dicho simplemente, el objetivo del SAT es educar a los usuarios de forma que se logren resultados de seguridad reales, como reducir el riesgo humano y la probabilidad de incidentes de seguridad. El SAT debe generar un cambio de comportamiento duradero. Para lograrlo, necesitas una capacitación que los empleados realmente empiecen (¡y completen!) y contenido que de verdad retengan. El SAT debe catalizar un cambio de comportamiento que mejore tu postura de seguridad y lleve a una cultura en la que los empleados vean la seguridad como algo valioso para el negocio, y no solo como "eso de lo que TI nos sigue molestando".

Lamentablemente, el SAT tradicional que la mayoría de las organizaciones conoce se queda muy corto. Se hace una vez al año. Es aburrido. Es teatro de cumplimiento. Y trata a los empleados como casillas por marcar en vez de adultos que quieren hacer lo correcto. Cuando la capacitación se siente irrelevante, la gente se desconecta y los errores siguen ocurriendo. 

Por qué el SAT tradicional falla y qué puedes hacer al respecto

Imagina que estás frente a tu computadora releyendo otro correo de tu gerente recordándote "amablemente" que completes tu capacitación anual de seguridad. Lo has postergado y evitado durante semanas. Te quedas fijo en la palabra "obligatorio", mientras una sensación de pavor crece en ti, y piensas en todo el trabajo "real" que de verdad necesitas terminar hoy…

La triste realidad es que la mayoría del SAT se siente como una tarea tediosa. Charlas largas. Contenido estático. Sin seguimiento. Este tipo de capacitación está dolorosamente desalineado con la forma en que los adultos realmente aprenden. Sabemos esto porque allá por los años 70, un investigador educativo pionero llamado Malcolm Knowles explicó que los adultos aprenden de manera diferente a los niños. A diferencia de la "pedagogía", que en griego significa "guiar al niño", Knowles introdujo su teoría de aprendizaje de adultos conocida como "andragogía", que identificó principios específicos para educar a usuarios adultos (1970; 1973).

La pedagogía asume que los aprendices jóvenes dependen del docente para la dirección, el conocimiento y la evaluación. El instructor es la autoridad que dicta cómo ocurrirá el aprendizaje de forma jerárquica. Como seguramente recuerdas de la escuela primaria, este enfoque pedagógico suele apoyarse mucho en las charlas magistrales, la memorización mecánica y la motivación externa en forma de calificaciones. Los adultos, sin embargo, no son solo niños grandes. Knowles dejó claro que los adultos requieren un enfoque distinto, y sus ideas siguen siendo tan ciertas hoy como cuando las presentó hace más de 50 años:

• Autodirección: los adultos quieren tener control sobre cómo aprenden. Necesitan entender por qué deberían aprender algo antes de invertir esfuerzo en ello.

• Experiencia: los adultos aportan toda una vida de experiencia a su aprendizaje, y esta experiencia es un recurso valioso para aprovechar.

• Relevancia: los adultos se involucran más cuando el aprendizaje está directamente ligado a desafíos del mundo real y es relevante para su vida profesional o personal.

• Aplicación: los adultos prefieren enfoques centrados en problemas y quieren aprender cosas que puedan aplicar de inmediato.

• Motivación intrínseca: los adultos se motivan sobre todo por impulsos internos. El aprendizaje debe ser gratificante, significativo y estar alineado con los valores y las metas de los usuarios.

Además, muchos de los modelos populares de ciencia del comportamiento de hoy se basan en los principios andragógicos de Knowles. Por ejemplo, el Modelo de Comportamiento de Fogg (Fogg, 2009) afirma que el comportamiento ocurre cuando la motivación, la capacidad y un estímulo se alinean. Si falla alguno de estos puntos, el cambio no se produce. De forma similar, el Modelo ADKAR (Hiatt, 2006) nos dice que la conciencia es solo el punto de partida del cambio de comportamiento. El deseo, el conocimiento, la capacidad y el refuerzo deben seguir a la conciencia para que esta tenga impacto. A pesar de que esta información está fácilmente disponible, la mayoría de los programas de SAT nunca van más allá de la conciencia: simplemente presentan un montón de información y se detienen ahí. Pero cuando se trata del aprendizaje de adultos, el "cómo" importa tanto como el "qué". Cuando se hace bien, tu SAT puede ser más que informativo; puede ser transformador.

El SAT efectivo tiene en cuenta el aprendizaje de adultos

Ahora que sabemos cómo aprenden mejor los adultos, apliquemos la teoría a la práctica del SAT. Aunque no lo creas, tus empleados sí quieren aprender a mantener segura a la empresa. Dado que el SAT es la defensa más directa contra el error humano, es lógico que quieras ofrecer el mejor SAT posible. La buena noticia es que existen buenas prácticas basadas en evidencia para lograrlo. Veamos algunas de ellas a través del enfoque que adopta Huntress Managed SAT:

• Hazlo atractivo: las presentaciones aburridas desconectan a los usuarios; las historias interactivas captan su atención. Cuando el contenido es aburrido, los empleados hacen varias cosas a la vez, se distraen y empiezan a mandar mensajes de texto. Sin embargo, cuando tu contenido es convincente, se enganchan, con curiosidad por saber qué pasará después. Al revisar Huntress Managed SAT, vi que presentan el contenido en episodios animados con una narrativa, con personajes con los que uno se identifica. Esto es intencional: la neurociencia muestra que contar historias funciona porque es más fácil recordar eventos cuando forman parte de una narrativa general. El hipocampo, el narrador de nuestro cerebro, codifica las experiencias narrativas con más profundidad que los datos abstractos (Fell, 2021).
• Hazlo interactivo: con Huntress, la interactividad viene incorporada. En lugar de una lectura o un video pasivo seguido de un examen tedioso, hacen preguntas a lo largo de toda la experiencia de aprendizaje. Los usuarios toman decisiones. Ven las consecuencias. Es participación real y aprendizaje genuino. El equipo de Huntress también gamifica la experiencia de SAT, incorporando tablas de clasificación, rachas y insignias que fomentan la participación activa y generan mayores niveles de compromiso y satisfacción (Azis et al., 2024).
• Hazlo fácil de consumir: todos sabemos que la capacidad de atención es breve. En lugar de una sola capacitación larga anual o incluso trimestral, Huntress entrega lecciones breves con regularidad a lo largo del año. Mantener las cosas cortas permite que los usuarios asimilen y retengan la información fácilmente. Presentarla en un formato animado y entretenido mantiene el interés y la diversión. Huntress también se asegura de que sus lecciones incorporen una variedad de métodos de entrega (por ejemplo, visual, auditivo, lectura, escritura y kinestésico) diseñados para adaptarse a múltiples estilos de aprendizaje (Fleming & Mills, 1992).
• Hazlo continuo: la capacitación anual equivale a una retención baja. La "curva del olvido" borra el conocimiento antes de que pueda consolidarse. Sin embargo, cuando la información se presenta y se revisa periódicamente, se codifica en el cerebro y se retiene. Piénsalo como ir al gimnasio: un entrenamiento intenso al año no te pone en forma. La constancia es más importante que la intensidad o la duración. Necesitas ejercitarte un poco con regularidad a lo largo del tiempo para obtener resultados. En Huntress, el contenido se entrega con una cadencia regular, lo que ayuda a la retención, refuerza el comportamiento y mitiga el desgaste que se observa en los programas únicamente anuales (Smith & Scarf, 2017). Huntress lanza nuevos episodios con regularidad. Sus simulaciones de phishing mensuales y realistas refuerzan las lecciones y mejoran las habilidades de detección. Las asignaciones basadas en comportamiento se activan cuando se detecta actividad riesgosa a través de sus herramientas de EDR e ITDR. En lugar de una carga anual única, convierten la seguridad en una conversación continua dentro de un ecosistema de seguridad robusto.
• Hazlo relevante: la mayoría del SAT es un catálogo de contenido genérico, buena parte del cual ya se volvió obsoleto. Pero como las amenazas evolucionan rápido, Huntress no depende de una biblioteca estática. En cambio, recurre a su equipo de expertos en seguridad, que son verdaderos profesionales en la defensa de millones de identidades y endpoints. A medida que detectan nuevas tácticas en el mundo real, las traducen rápidamente en episodios de capacitación y escenarios de phishing. Dado que los atacantes innovan constantemente, tu capacitación debería hacer lo mismo. Este enfoque encaja bien con la teoría del aprendizaje de adultos, que sugiere que los adultos se involucran más cuando el aprendizaje está directamente ligado a desafíos del mundo real y es relevante para su vida. Huntress aprovecha este principio asegurándose de que cada lección se conecte con amenazas auténticas que los empleados podrían encontrar en su trabajo (Clark, 2021). Además, Huntress ofrece retroalimentación instantánea y asignaciones específicas según la situación, basadas en el comportamiento real. De esta manera, ayudan a corregir el riesgo tan pronto se desencadena un incidente.
• Refuérzalo: en ciberseguridad, muchas organizaciones se caracterizan por una cultura del miedo. Los empleados temen cometer errores y temen reportarlos. En cambio, Huntress empodera a las empresas para construir culturas en las que los empleados no teman el castigo por errores honestos. Cuando alguien hace clic en un enlace de phishing simulado, no lo humillan; lo asesoran. Nos guste o no, todos cometemos errores, y Huntress elige verlos como momentos de aprendizaje. Castigar los errores lleva al ocultamiento y a una seguridad peor. El refuerzo positivo genera confianza mientras anima a los usuarios a reportar incidentes, fortaleciendo así la seguridad general. La teoría del aprendizaje de adultos lo confirma: los adultos prefieren aprender cosas que les ayuden a resolver desafíos reales e inmediatos, y se motivan principalmente por impulsos internos como la curiosidad, el propósito y el deseo de dominar un tema (Moustafa et al., 2021).

Construir una cultura de seguridad para impulsar mejores resultados

Cuando el SAT se hace bien, no solo cambia el conocimiento; cambia la cultura. La cultura es el control de seguridad más poderoso que tienes. Las herramientas pueden fallar. Los procesos pueden fallar. Pero la cultura es un comportamiento colectivo que perdura. El SAT efectivo no se trata solo de cumplimiento; se trata de mentalidad. Creo que Huntress te ayuda a cambiar el comportamiento y a construir una cultura de seguridad al ofrecer opciones de capacitación robustas, diversas y personalizables, fundamentadas en las mejores prácticas de aprendizaje de adultos. 

En una cultura de seguridad sólida, los empleados no piensan en la seguridad como "esa molesta lista de TI". La ven como parte de su carrera y de su estilo de vida. Hablan de ella en la sala de descanso. Reportan correos sospechosos sin miedo. Así es como la seguridad trasciende el cumplimiento y se convierte en resiliencia. 

Seamos honestos. Ningún empleado sueña con más capacitaciones en su vida. Nadie se despierta emocionado por hacer clic en un módulo de seguridad. Pero cuando la capacitación se diseña respetando las preferencias de los adultos que aprenden, cuando se basa en experiencias de la vida real y se entrega con cuidado y creatividad, algo cambia. Los empleados se involucran en vez de esconderse, y siguen resultados positivos. 

Entonces, imagina, si quieres, un SAT que realmente funciona. Un SAT que la gente de verdad disfruta. Puede sonar a fantasía, pero no lo es: es una decisión. Una decisión que Huntress hace posible con episodios atractivos basados en historias, escenarios de phishing realistas, simulaciones de amenazas inmersivas, asesoría de defensa contra phishing justo a tiempo y asignaciones basadas en comportamiento diseñadas para ser divertidas y memorables. Todo esto manteniéndose fiel al objetivo de educar a los usuarios sobre la concienciación en seguridad, promover comportamientos más seguros para reducir el riesgo y mejorar la postura de seguridad general de tu organización.

Referencias

• Azis, M., Gul, A., & Bilgin, Ç. U. (2024). The evaluation of gamification implementation for adult learners: A scale development study based on andragogical principles. Education and Information Technologies, 29, 18591–18620. https://doi.org/10.1007/s10639-024-12561-x
• Clark, D. (2021). Educating adult learners: Bridging learners' characteristics and the learning sciences. In A. J. Pushpalatha & S. Rajabi (Eds.), Research in adult learning: Applying theory to practice (pp. 45–64). Springer. https://doi.org/10.1007/978-981-15-1628-3_4
• Fell, A. (2021, September 29). Hippocampus is the brain's storyteller. UC Davis. https://www.ucdavis.edu/health/news/hippocampus-brains-storyteller
• Fleming, N. D., & Mills, C. (1992). Not another inventory, rather a catalyst for reflection. To Improve the Academy, 11(1), 137–155. https://doi.org/10.1002/j.2334-4822.1992.tb00213.x
• Fogg, B. J. (2009). A behavior model for persuasive design. In Proceedings of the 4th International Conference on Persuasive Technology (pp. 1–7). ACM.
• Hiatt, J. (2006). ADKAR: A model for change in business, government, and our community. Prosci Learning Center Publications.
• Huntress. (2025, September 17). Mind the (security) gap: SAT in 2025 [Report]. https://www.huntress.com/resources/mind-the-security-gap-sat-2025?direct
• Knowles, M. S. (1970). The modern practice of adult education: Andragogy versus pedagogy. New York, NY: Association Press.
  Knowles, M. S. (1973). The adult learner: A neglected species. Houston, TX: Gulf Publishing.
• Moustafa, A. A., Herzallah, M. M., Abdallah, A. B., Moustafa, K., & El-Gayar, O. F. (2021). The role of user behaviour in improving cyber security: A behavioural science perspective. Frontiers in Psychology, 12, Article 782714. https://doi.org/10.3389/fpsyg.2021.561011
• Murre, J. M. J., & Dros, J. (2015). Replication and analysis of Ebbinghaus' forgetting curve. PLOS ONE, 10(7), e0120644. https://doi.org/10.1371/journal.pone.0120644
• Smith, C. D., & Scarf, D. (2017). Spacing repetitions over long timescales: A review and a reconsolidation explanation. Frontiers in Psychology, 8, 962. https://doi.org/10.3389/fpsyg.2017.00962
• Verizon. (2025). 2025 Data Breach Investigations Report: Executive summary. https://www.verizon.com/business/resources/reports/2025-dbir-executive-summary.pdf

Autor

Joshua Stern, Ph.D. — Joshua Stern Educational Consulting

Soy experto en aprendizaje de adultos y educación en línea, con 25 años de experiencia profesional de responsabilidad creciente en diversos entornos académicos y corporativos. Después de obtener mi licenciatura en la Universidad de California en Berkeley, completé mi maestría y doctorado en Educación en UCLA. Mi principal área de interés es el aprendizaje de adultos (andragogía), específicamente en lo relacionado con el diseño y la entrega de programas en línea. Mi pasión por la educación y mi convicción en el poder transformador del aprendizaje en línea me han llevado a dedicar mi carrera a crear experiencias de aprendizaje únicas y atractivas para adultos de todo el mundo. Durante la última década, he dirigido Joshua Stern Educational Consulting. Día a día, tengo la fortuna de hacer lo que amo: ayudar a organizaciones, grandes y pequeñas, a crear o mejorar sus programas educativos.