¿ESTAMOS CREANDO UNA CULTURA DE CIBERSEGURIDAD O UNA CULTURA DEL MIEDO?
Sofía Tamayo
Hay errores que ocurren en menos de un segundo, pero cuyo peso puede acompañar a una persona durante mucho más tiempo.
Un clic en un enlace. Un archivo que no debía abrirse. Una contraseña compartida. Una transferencia realizada con demasiada prisa. A veces, después de ese instante, aparece una pregunta difícil de ignorar:
¿qué hice? Y detrás de ella, otra todavía más incómoda: ¿qué van a pensar de mí?
Durante años hemos escuchado que las personas son el eslabón más débil de la ciberseguridad. Una expresión que parece sencilla, pero que puede esconder una idea peligrosa: que el problema está en el usuario que se equivoca.
Sin embargo, desde la psicología, la conducta humana no puede entenderse de una manera tan simple.
Durante años hemos escuchado que las personas son el eslabón más débil de la ciberseguridad. Una expresión que parece sencilla, pero que puede esconder una idea peligrosa: que el problema está en el usuario que se equivoca.
Sin embargo, desde la psicología, la conducta humana no puede entenderse de una manera tan simple.
Las personas no toman decisiones en condiciones perfectas. Deciden mientras trabajan bajo presión, atienden llamadas, responden correos, cumplen plazos, resuelven problemas y manejan múltiples estímulos al mismo tiempo. También deciden cuando están cansadas, preocupadas o simplemente distraídas. El contexto importa, y mucho.
Un ciberdelincuente lo sabe. Por eso, muchas veces no necesita vencer una barrera tecnológica. Necesita conseguir que una persona actúe antes de pensar.
Un mensaje que dice “su cuenta será bloqueada” intenta despertar miedo. Un correo que aparenta venir del jefe y exige una respuesta inmediata utiliza la autoridad y la urgencia. Un enlace que despierta curiosidad busca aprovechar nuestra necesidad natural de conocer qué hay detrás de él.
La ingeniería social funciona precisamente porque explota algo que todos tenemos en común: somos humanos.
Tenemos emociones, hábitos, necesidades y sesgos que influyen en nuestras decisiones. La investigación sobre comportamiento y ciberseguridad ha mostrado que factores como la confianza, la presión, la fatiga y el contexto pueden influir significativamente en la manera en que las personas responden ante situaciones de riesgo (Hadlington, 2017).
Por eso, quizá deberíamos dejar de preguntarnos únicamente por qué una persona hizo clic y comenzar a preguntarnos qué estaba ocurriendo en ese momento para que ese clic pareciera una decisión razonable.
Esta diferencia es importante.
Porque una persona puede saber perfectamente que no debe abrir enlaces sospechosos y, aun así, hacerlo. Saber qué es seguro no garantiza que siempre actuemos de acuerdo con ese conocimiento. La conducta humana no funciona como un manual de instrucciones.
Y esto nos lleva a una pregunta que las organizaciones deberían hacerse con mayor frecuencia: ¿estamos construyendo una cultura de ciberseguridad o una cultura del miedo?
Cuando la capacitación se basa principalmente en advertencias, consecuencias y culpabilidad, podemos conseguir que las personas tengan cuidado. Pero también podemos conseguir algo menos evidente: que tengan miedo de reconocer sus errores.
Y ahí aparece una paradoja.
Imaginemos que un trabajador recibe un correo de phishing y, por equivocación, hace clic. Si siente que será juzgado, sancionado o señalado, puede decidir no decir nada. Quizás cierre la ventana y continúe trabajando esperando que no haya ocurrido nada.
El clic duró un segundo.
Pero el silencio puede durar horas.
Y en ciberseguridad, esas horas pueden ser determinantes.
Una cultura verdaderamente segura no debería preguntarle primero a una persona “¿por qué hiciste eso?”, sino “¿qué podemos hacer ahora?”.
Esto no significa eliminar la responsabilidad individual ni minimizar los riesgos. Significa comprender que la seguridad también depende de las condiciones que una organización crea para que sus trabajadores puedan tomar buenas decisiones.
Un empleado que se siente seguro para reportar un incidente puede convertirse en una de las primeras barreras de defensa. Puede detectar una anomalía, detener una acción, alertar a un compañero o permitir que un equipo especializado intervenga antes de que el problema escale.
Por eso, tal vez sea momento de cambiar la manera en que hablamos del factor humano.
Las personas no son únicamente una vulnerabilidad que debemos controlar. También son una capacidad de detección, respuesta y protección que podemos fortalecer.
La psicología puede aportar mucho a esta conversación porque nos recuerda algo esencial: las conductas no ocurren aisladas de las personas que las realizan.
Si queremos que alguien adopte comportamientos más seguros, no basta con decirle qué está haciendo mal. Tenemos que comprender qué facilita o dificulta esa conducta. Tenemos que considerar la carga de trabajo, la presión de tiempo, la facilidad de las herramientas, las normas del grupo, el liderazgo y, especialmente, la manera en que la organización responde cuando algo sale mal.
La cultura de seguridad comienza a construirse precisamente ahí.
No cuando todos saben responder correctamente a un cuestionario sobre phishing, sino cuando alguien recibe un mensaje extraño y sabe qué hacer.
No cuando nadie comete errores, sino cuando una persona puede reconocerlos y pedir ayuda.
No cuando los trabajadores sienten que están siendo vigilados, sino cuando entienden que la seguridad es una responsabilidad compartida.
Porque detrás de cada contraseña hay una persona. Detrás de cada correo hay una decisión. Y detrás de cada incidente hay, muchas veces, un contexto humano que vale la pena comprender.
Quizás el verdadero reto de la ciberseguridad no sea conseguir que las personas nunca se equivoquen. Eso sería poco realista.
El verdadero reto es construir organizaciones capaces de reducir la posibilidad de error, detectar rápidamente cuando ocurre y responder sin convertir a la persona en el enemigo.
Proteger sin asustar significa entender que el miedo puede hacer que alguien obedezca una regla, pero la comprensión puede hacer que esa persona tome una buena decisión incluso cuando la regla no está frente a ella. Y ahí es donde la ciberseguridad deja de ser solamente una cuestión tecnológica. Se convierte también en una cuestión humana. Porque proteger una organización no significa únicamente proteger sus sistemas.
También significa proteger a las personas que hacen posible que esos sistemas funcionen.
Y quizá la mejor cultura de ciberseguridad sea aquella en la que frente a una amenaza, nadie tenga miedo de decir: “Esto no parece correcto. Voy a detenerme y verificar.”
Ese momento, aparentemente pequeño, puede ser una de las defensas más importantes de toda una organización.
Porque detrás de cada pantalla hay una persona y comprenderla también es proteger.
Referencias
Hadlington, L. (2017). Human factors in cybersecurity; examining the link between Internet addiction, impulsivity, attitudes towards cybersecurity, and risky cybersecurity behaviours. Heliyon, 3(7), e00346 https://linkinghub.elsevier.com/retrieve/pii/S 2405844017309982 National Institute of Standards and Technology.(s. f.). Human-centered cybersecurity. U.S. Department of Commerce. European Union Agency for Cybersecurity. (2019). Cybersecurity culture guidelines: Behavioural aspects of cybersecurity. ENISA