La mente como superficie de ataque

Durante años, las organizaciones han abordado el riesgo humano en ciberseguridad como si el problema principal fuera la falta de conocimiento. Sin embargo, muchos incidentes no se producen porque las personas no sepan qué hacer (o no hacer), sino porque no consiguen aplicar ese conocimiento en un momento concreto.

Los ciberdelincuentes lo han entendido bien. No necesitan que una persona sepa nada de ciberseguridad: les basta con encontrar a alguien competente en el momento psicológico adecuado. Un correo que amenaza con bloquear una cuenta en diez minutos activa miedo y urgencia; otro que promete un bonus despierta expectativa de recompensa. En ambos casos, el objetivo es reducir el tiempo disponible para analizar la situación y favorecer una respuesta automática.

Saber no siempre significa actuar correctamente

Daniel Kahneman, en su libro “Pensar rápido, pensar despacio”, explicó que nuestra toma de decisiones se apoya en dos sistemas. El sistema 1 es rápido, intuitivo y automático; el sistema 2 es lento, deliberado y requiere esfuerzo. La seguridad depende en gran medida de este segundo sistema: revisar un mensaje, detectar incoherencias, seguir un procedimiento o cuestionar una petición. El problema es que no podemos mantenerlo activado de forma permanente, especialmente cuando estamos cansados, estresados o saturados.

Los ciberataques ya no tratan a todos por igual

Además, no todas las personas reaccionan igual ante los mismos estímulos. Algunas se movilizan por ayudar, otras por evitar una consecuencia, obtener una recompensa, obedecer a una figura de autoridad o demostrar su valía. La inteligencia artificial permite que los ataques exploten estas diferencias con una personalización cada vez mayor. Frente a ello, muchas estrategias defensivas siguen tratando a toda la plantilla como un grupo homogéneo: el mismo curso, la misma simulación de phishing y el mismo mensaje para todos.

El bienestar también forma parte de la seguridad

Esta visión resulta insuficiente. La conducta no solo está condicionada por lo que se sabe, sino también por factores idiosincrásicos y por el entorno. La fatiga, el estrés o la falta de bienestar reducen la memoria de trabajo, dificultan la comparación de señales y hacen más probable una respuesta impulsiva. Por eso, el bienestar del empleado no es solo una cuestión de clima laboral o productividad: también afecta directamente a la seguridad de la información y a la continuidad del negocio.

De la concientización a la gestión del riesgo humano

Gestionar el riesgo humano exige medir mejor y segmentar. No basta con saber si una persona ha completado un curso. Es necesario identificar su nivel de concienciación, sus lagunas de conocimiento, su susceptibilidad ante determinados estímulos y el contexto en el que trabaja. A partir de ahí, la formación y las simulaciones pueden adaptarse a necesidades reales, mejorar su relevancia y generar aprendizajes más duraderos.

El objetivo no es construir personas infalibles. Es diseñar organizaciones que no dependan de cerebros agotados tomando decisiones perfectas en segundos. La clave no está en lanzar más formación, sino en comprender cómo decidimos, qué nos hace vulnerables y qué condiciones pueden reducir esa vulnerabilidad.

Seguiremos brindándote más información sobre este tema en las siguientes presentaciones físicas y digitales de Channel News Perú

Mantente conectado a nuestra plataforma de negocios y revista, haciendo clic aquí y suscribiéndote a nuestro newsletter para contenido de valor diario