Según el informe de IBM sobre el coste de las filtraciones de datos de 2025, el coste medio mundial de una filtración de datos asciende ahora a 4.44 millones de dólares. En la mayoría de los casos, el eslabón más débil no es el cortafuegos, sino la persona. El informe de Verizon sobre las investigaciones de filtraciones de datos de 2024 reveló que el 68 % de las filtraciones implican un factor humano: un clic en un enlace de phishing, una contraseña compartida o un control de acceso mal configurado.
La capacitación puede solucionar esto. Pero la mayoría de las organizaciones la imparten de una manera que no funciona.
Esta guía explica por qué fracasa la formación tradicional en ciberseguridad, qué dice la investigación sobre cómo se modifica realmente el comportamiento y qué herramientas lo hacen posible, tanto para equipos presenciales como híbridos y asíncronos.
¿Por qué fracasa la mayoría de los cursos de formación en ciberseguridad?
Pregúntate con sinceridad: ¿recuerda tu equipo la capacitación anual de seguridad del año pasado?
Si la respuesta es «probablemente no», la curva del olvido de Ebbinghaus explica el porqué. Las investigaciones demuestran que las personas olvidan aproximadamente el 70 % de la información nueva en 24 horas sin refuerzo. Una sesión anual de cumplimiento de una hora, por muy bien diseñada que esté, no se compara con el funcionamiento real de la memoria humana.
Tres problemas que se suman empeoran aún más la situación:
- Capacidad de atención limitada. Las sesiones pasivas y con mucho contenido hacen que los empleados pierdan la atención en cuestión de minutos. Una vez que la atención disminuye, los detalles cruciales —las señales de alerta exactas que distinguen un correo electrónico de phishing de uno legítimo— se filtran.
- No hay ningún procesamiento activo. Ver una presentación de diapositivas no es lo mismo que aprender. El conocimiento que no se aplica, se pone a prueba o se recuerda después de la sesión se desvanece rápidamente.
- Sin bucle de refuerzo. La mayoría de las organizaciones imparten formación en ciberseguridad una vez al año, sin seguimiento. Los empleados retoman hábitos inseguros entre sesiones, no porque no les importe, sino porque no hay nada que mantenga activos los conocimientos.
El resultado: empleados que, técnicamente, han "completado" la formación en seguridad, pero que siguen siendo tan vulnerables como antes.
¿Qué es lo que realmente cambia el comportamiento de seguridad?
Haz que las sesiones en directo sean interactivas.
El cambio más efectivo en la capacitación presencial consiste en pasar de la transmisión pasiva a la participación activa. En lugar de explicar cómo se ve el phishing, plantee a los empleados un escenario: «Acaba de recibir este correo electrónico. ¿Qué hace?». Permítales votar. Muestre los resultados en tiempo real. Analice por qué las respuestas incorrectas son tan tentadoras.
Se trata de un método de recuperación activa —recuperar el conocimiento en lugar de recibirlo— y mejora significativamente la retención de información en comparación con escuchar o releer.
Las encuestas basadas en escenarios también ponen de manifiesto lagunas de conocimiento reales que las encuestas de autoinforme jamás detectarán. Cuando la mitad de tu equipo elige la respuesta incorrecta en tiempo real, sabes exactamente dónde reside el mayor riesgo. Esto es mucho más útil que una simple puntuación de satisfacción posterior a la capacitación.
Utilice la sección de preguntas y respuestas anónimas.
Los empleados suelen saber dónde han cometido errores: credenciales compartidas, dispositivos sin actualizar, contraseñas débiles. Sin embargo, rara vez lo admiten públicamente. Las preguntas y respuestas anónimas ofrecen un canal seguro para que los empleados revelen lo que realmente sucede en su organización, lo que permite a los formadores obtener una visión mucho más precisa de los riesgos reales.
Mantén las listas de verificación de cumplimiento actualizadas, no estáticas.
Las listas de verificación de seguridad en formato PDF se archivan y se olvidan. Implementarlas como encuestas en tiempo real, donde los empleados votan Sí, No o No aplica para cada punto, convierte un ejercicio de cumplimiento en una conversación de equipo. Esta plantilla gratuita de lista de verificación de ciberseguridad abarca el acceso físico, el manejo de datos y los procedimientos de eliminación, y está lista para usar sin necesidad de configuración.
👉 Plantilla gratuita de lista de verificación de ciberseguridad
Entrenamiento híbrido y asíncrono: El modelo de repetición espaciada
Las sesiones en vivo son efectivas, pero por sí solas no pueden lograr el cambio de comportamiento completo. La curva del olvido no se detiene entre los días de capacitación.
La repetición espaciada —repasar el material a intervalos cada vez mayores a lo largo del tiempo— es uno de los principios más avalados en la ciencia del aprendizaje. Un estudio a gran escala publicado en el Journal of the American Board of Family Medicine, que abarcó a más de 26 000 profesionales, reveló que la repetición espaciada produjo índices de retención significativamente más altos que la ausencia total de repetición (58 % frente a 43 %).
Aplicado a la formación en ciberseguridad, esto significa sustituir o complementar la sesión anual con puntos de contacto más cortos y frecuentes:
- Semana 1: Sesión de formación presencial o híbrida, desarrollada mediante escenarios interactivos.
- Semana 2: Cuestionario asíncrono de 5 preguntas que abarca el mismo material, accesible mediante enlace o código QR.
- Mes 2: Un módulo breve sobre un nuevo tema: higiene de contraseñas, seguridad física o respuesta a incidentes.
- Cuarto 2: Una encuesta de repaso integrada en una reunión de equipo.
Para los equipos remotos e híbridos, el acceso asíncrono es fundamental. Los empleados completan un cuestionario de 5 minutos cuando les conviene, en lugar de tener que dedicarle toda una tarde. La clave está en que cada módulo finaliza con una pregunta —no con una diapositiva de resumen—, de modo que el conocimiento se pone a prueba constantemente, no solo se repasa.
Las mejores herramientas para la formación en concienciación sobre ciberseguridad
Ninguna herramienta lo hace todo. Aquí te mostramos con honestidad para qué sirve realmente cada una y en qué aspectos se queda corta.
Kahoot
La opción ideal para cuestionarios gamificados. Funciona bien como una prueba de conocimientos independiente o una actividad al final de la sesión, pero no está diseñada para una presentación completa y la transmisión de contenido; aún se necesita una presentación aparte para desarrollar la capacitación propiamente dicha.
Ventajas: Formato divertido y competitivo que fomenta la participación. Fácil acceso: la mayoría de los empleados ya lo conocen.
Desventajas: Limitado a cuestionarios y gamificación. No es una herramienta de presentación. Requiere combinarse con otro software para realizar una sesión de capacitación completa.
Mentímetro
Una sólida herramienta para encuestas y presentaciones en vivo. Ideal para hacer que una presentación estática sea más interactiva con encuestas y nubes de palabras, pero ahí se queda: no incluye gamificación, elementos competitivos ni puntuación de cuestionarios.
Ventajas: Interfaz limpia y fácil de usar para cualquier público. Amplia variedad de tipos de encuestas. No se necesita cuenta de participante.
Desventajas: No incluye elementos de gamificación ni mecánicas de cuestionario. Las funciones de seguimiento y procesamiento asíncrono son limitadas. El precio aumenta considerablemente según el tamaño de la audiencia.
Quizlet
Se centra exclusivamente en el estudio a ritmo propio mediante tarjetas de memoria y cuestionarios de opción múltiple. Útil para el repaso individual entre sesiones, pero su alcance es limitado.
Ventajas: Mecánica de repetición espaciada eficaz. Ideal para el estudio individual asíncrono. Amplia biblioteca de contenido existente.
Desventajas: Solo incluye cuestionarios de opción múltiple; no admite otros tipos de interacción. No está diseñado para su uso en equipo en directo ni para sesiones dirigidas por formadores.
Afablemente
Una herramienta de creación de contenido para diseñar presentaciones interactivas y módulos de microaprendizaje. La calidad depende en gran medida de la plantilla que se utilice, y crear algo impecable desde cero requiere tiempo y esfuerzo.
Ventajas: Salida visualmente atractiva. Ideal para módulos asíncronos de autoaprendizaje cuando está bien configurado.
Desventajas: Curva de aprendizaje pronunciada. Gran dependencia de plantillas para obtener buenos resultados. No hay participación del público en tiempo real.
AhaDiapositivas
Mientras que las demás cubren solo una parte del flujo de trabajo de capacitación, AhaSlides lo cubre todo: sesiones en vivo, entrega híbrida y seguimiento asíncrono, sin necesidad de cambiar de herramienta. Cada tipo de interacción tiene su propio formato de diapositiva: cuestionario, encuesta, nube de palabras, preguntas y respuestas, rueda giratoria, calificación, preguntas abiertas; es fácil de crear y no requiere aprendizaje. Los informes posteriores a la sesión muestran las puntuaciones individuales y las lagunas de conocimiento por pregunta, lo que permite un seguimiento más específico en lugar de basarse en conjeturas. Se integra de forma nativa con Zoom, Teams, PowerPoint y Google Slides.
Ventajas: Todas las interacciones en una sola herramienta, cada una en formato de diapositiva simple. Sin curva de aprendizaje: los instructores comienzan sin necesidad de un manual. Se adapta perfectamente a formatos presenciales, híbridos y asíncronos. Funciona en capacitaciones, reuniones, incorporación de nuevos empleados y eventos. Precios transparentes que no aumentan de forma impredecible.
Desventajas: Menor reconocimiento de marca que Kahoot o Mentimeter. Gamificación con menor componente competitivo que el formato de Kahoot.
Plantillas gratuitas de formación en ciberseguridad listas para usar:
- Lista de verificación de ciberseguridad, parte 1
- Lista de verificación de ciberseguridad, parte 2
- Capacitación en ciberseguridad 1
- Capacitación en ciberseguridad 2
- Capacitación en ciberseguridad 3
Un marco sencillo para empezar
No necesitas renovar por completo tu programa de entrenamiento. Empieza aquí:
- Reemplace un bloque de diapositivas con una encuesta de escenario en vivo. Seleccione un ejemplo real de phishing que haya recibido su equipo y plantéelo como una pregunta de opción múltiple.
- Envía un cuestionario de seguimiento de 5 preguntas en el transcurso de la semana. No esperes un mes: la curva del olvido es más pronunciada en las primeras 24 horas.
- Cambiar los temas trimestralmente. El phishing en un trimestre, el acceso físico en el siguiente, la higiene de contraseñas en el siguiente. Cada sesión se actualiza y se basa en la anterior.
- Haz un seguimiento de los errores que comete tu equipo. Utiliza esos datos para decidir dónde invertir más tiempo, no te guíes por la intuición.
La investigación de KnowBe4 sobre la evaluación comparativa del phishing, que abarca a más de 9.5 millones de usuarios en más de 30,000 organizaciones, descubrió que la formación constante y estructurada en materia de seguridad reduce la vulnerabilidad al phishing hasta en un 75%, y las mayores mejoras se observan durante los primeros 90 días de un nuevo programa.
No se trata de una mejora marginal. Se trata de un cambio estructural en el perfil de riesgo de su organización.
Fuentes
- Informe de IBM sobre el costo de una violación de datos de 2025
- Informe de investigaciones de violación de datos 2024 de Verizon
- Curva del olvido de Ebbinghaus — Hoxhunt
- Evaluación comparativa de la industria del phishing de KnowBe4 — Revista HIPAA
- Estadísticas de concienciación sobre seguridad de Keepnet Labs 2026
- Estudio de repetición espaciada — Revista de la Junta Estadounidense de Medicina Familiar
