La diferencia no radica en los conocimientos, sino en el comportamiento

La formación en concienciación sobre seguridad presenta un problema con los indicadores: no porque los indicadores sean malos, sino porque son buenos. Las tasas de finalización han aumentado. Las tasas de clics en mensajes de phishing simulados han disminuido. El informe trimestral del consejo de administración refleja un progreso constante.

Y, sin embargo, las filtraciones siguen produciéndose. Las credenciales siguen siendo objeto de robos. Los empleados siguen haciendo clic en enlaces que no deberían, subiendo datos a sitios donde no deberían y respondiendo a solicitudes que deberían haber cuestionado.

No se trata de una falta de concienciación. Se trata de un fallo del modelo. El problema nunca ha sido que la gente no conozca el phishing, sino que, bajo presión, mientras gestionan docenas de aplicaciones y responden a un correo electrónico que parece proceder exactamente de su director financiero, hacen clic de todos modos. La diferencia no radica en el conocimiento. Es acción.

El panorama de las amenazas ha evolucionado

Los atacantes utilizan ahora la inteligencia artificial para generar correos electrónicos de phishing altamente personalizados en cuestión de segundos, imitar las voces de los directivos y adaptar los señuelos en tiempo real. Según el informe «Panorama de amenazas para 2025» de la ENISA, el phishing asistido por IA representa más del 80% de la actividad de ingeniería social observada en todo el mundo. Según el Informe global de inteligencia sobre amenazas de Mimecast de 2025, el 77% de todos los ciberataques comienzan actualmente con el phishing, lo que supone un aumento respecto al 60% registrado apenas un año antes.

Cuando un correo electrónico sospechoso resulta prácticamente indistinguible de uno legítimo —generado por IA, personalizado y enviado desde un dominio falsificado—, la estrategia de «detectar el error ortográfico» deja de ser válida. La respuesta no puede consistir en una mayor concienciación. Debe tratarse de una intervención más inteligente, basada en lo que los empleados hacen realmente.

El riesgo para las personas tiene una forma, y no se distribuye de manera uniforme

En Mimecast, clasificamos el riesgo humano en tres dimensiones. Acción: errores bienintencionados cometidos bajo presión. Ataque: cuando se ataca deliberadamente a los empleados mediante técnicas de phishing, BEC o señuelos generados por IA. Y el acceso: cuando se hace un uso indebido de un acceso legítimo, ya sea cargando datos confidenciales en una herramienta de IA no autorizada, abusando de privilegios o sustrayendo propiedad intelectual al abandonar la empresa.

Lo que pone de manifiesto este marco es que el riesgo para las personas no se distribuye de manera uniforme. Nuestros datos revelan que tan solo el 8 % de los empleados es responsable del 80 % de los incidentes de seguridad, una tendencia que se observa en organizaciones de cualquier tamaño y sector. Un programa de formación «único para todos» no solo no tiene en cuenta a ese 8 %, sino que los hace invisibles.

Para identificarlos es necesario relacionar las señales —incidentes de phishing, alertas de malware, anomalías en la identidad, violaciones de datos sensibles— que existen en la mayoría de las plataformas de seguridad, pero que se encuentran dispersas en herramientas inconexas y nunca se vinculan con los empleados concretos que las han generado.

Por qué la formación en sensibilización no puede por sí sola colmar esta brecha

La formación en concienciación sobre seguridad surgió como una función de cumplimiento normativo y nunca superó ese marco: impartir formación a toda la plantilla, medir el número de personas que la completan y las tasas de clics, e informar al consejo de administración. Los datos lo dejan claro: el 60% de las filtraciones de datos están relacionadas con el factor humano (DBIR de Verizon de 2025), y, sin embargo, el 72% de las organizaciones llevan a cabo programas de sensibilización sin realizar un seguimiento continuo de los riesgos (Informe «State of Human Risk» de Mimecast de 2026).

Las plataformas independientes de sensibilización pueden mostrar las tasas de finalización y las tendencias en los clics en enlaces de phishing. Sin embargo, no pueden indicarle qué empleados suponen realmente un alto riesgo en este momento, cuáles son los factores que determinan ese riesgo ni cómo intervenir antes de que ocurra algún problema. Por eso, el debate está pasando de «¿cuántos empleados han completado la formación?» a «¿cómo está cambiando realmente nuestro riesgo humano?».

¿Qué cambios supone la gestión del comportamiento en materia de seguridad?

La gestión del comportamiento en materia de seguridad es un modelo diferente, basado en lo que las personas hacen realmente, en lugar de en lo que se les dice que deben saber.

Visibilidad. El Mimecast Human Risk Command Center integra las señales de riesgo procedentes de toda la estructura de seguridad —comportamiento del correo electrónico, incidentes reales de phishing, eventos de malware, anomalías en la identidad, gestión de datos sensibles y resultados de simulaciones y formación— y las normaliza en función de cada empleado. Diecisiete integraciones repartidas en seis categorías de riesgo conductual, que proporcionan información sobre el riesgo a nivel individual en tiempo real.

Para las organizaciones que ya utilizan la solución de seguridad del correo electrónico de Mimecast, la información sobre amenazas que ya se está procesando —cada intento de phishing, cada amenaza bloqueada, cada clic de riesgo— se convierte en la base de análisis de comportamiento. No está incorporando una nueva herramienta con su propio silo de datos. Está activando la inteligencia que ya fluye a su alrededor.

Intervención en el momento de riesgo. Mimecast Engage ofrece «recordatorios de comportamiento» —módulos de microaprendizaje de entre 20 y 40 segundos a través de correo electrónico, Slack o Teams— que se activan en el momento en que se produce un comportamiento de riesgo. Un ciclo de retroalimentación estrecho entre la acción y la consecuencia, que se aplique en su contexto, y no que se reserve para la sesión de formación del próximo martes.

Una seguridad que se adapta a sus necesidades. Los cuadros de mando personalizados ofrecen a cada empleado una visión mensual de su propia puntuación de riesgo, su estado de formación, los resultados de las pruebas de phishing y los incidentes de seguridad. Cuando las personas ven reflejado su propio riesgo, la seguridad pasa de ser un mero cumplimiento normativo a convertirse en algo que les incumbe personalmente. Es ahí donde realmente se forja la cultura de la seguridad.

La arquitectura de la plataforma es el verdadero factor diferenciador

Una herramienta de sensibilización independiente solo permite consultar los resultados de las simulaciones y los cursos de formación completados. Una plataforma de seguridad integrada lo conecta todo: no solo permite saber que un empleado ha hecho clic en un enlace de phishing simulado, sino también que recibió un correo electrónico de phishing real la semana pasada, que se produjo un incidente inusual relacionado con su identidad y que no completó tres módulos de formación consecutivos. Se trata de un perfil de riesgo individual, y es lo que hace posible la intervención adaptativa a gran escala.

Existe un método que le permite conocer el rendimiento de su programa de entrenamiento. La otra le indica cómo está evolucionando su riesgo humano y sobre quién debe actuar antes de que se produzca un problema.

Por dónde empezar

La transición hacia la gestión del comportamiento en materia de seguridad no implica tener que empezar de cero. Para la mayoría de las organizaciones, las señales y los datos ya están disponibles. Lo que falta es la plataforma que permita conectarlo.

El informe «Mimecast State of Human Risk 2026» analiza en profundidad la percepción que tienen las organizaciones sobre la situación de sus programas de gestión de riesgos humanos, en comparación con su situación real. Y si es usted cliente de Mimecast y desea conocer cómo funciona esto en la práctica, su equipo de atención al cliente podrá explicarle qué ventajas aporta Mimecast Engage además de su inversión actual en seguridad del correo electrónico. Es probable que la infraestructura ya esté instalada. Engage lo pone en práctica.