Día de la ciberseguridad para empleados en 2026: programa y ejercicios

Cómo organizar un Día de la Ciberseguridad para empleados: programa de estaciones, ejercicios seguros, roles del equipo, manejo de datos y factores del presupuesto.

El Día de la Ciberseguridad para empleados convierte las reglas conocidas de una presentación en acciones: el participante oye hablar de correos sospechosos y decide de inmediato a quién reportarlos. En el ejercicio de mesa, los directivos encuentran los puntos donde se pierde la decisión. En Aventura organizamos este formato junto con el equipo especializado del cliente. El responsable de seguridad de la información (CISO) se encarga del contenido y de los límites seguros, y nosotros del programa, los recorridos, la técnica y la gestión del espacio.

¿Por qué una empresa necesita un Día de la Ciberseguridad específico?

En resumen: en este día la empresa comprueba cómo los empleados informan de una sospecha y los directivos toman decisiones según el escenario del incidente. El formato combina la explicación de las normas, el entrenamiento de las acciones y el análisis de los procesos. Un solo evento no elimina el riesgo ni sustituye la protección técnica. Después queda una lista de mejoras con los empleados responsables.

El Instituto Nacional de Estándares y Tecnología de EE. UU. (NIST) describe la formación en ciberseguridad y privacidad como un programa continuo con un ciclo repetido de evaluación y mejora, por lo que es mejor situar el Día de la Ciberseguridad entre otras comunicaciones. Antes del evento, recoja las dificultades típicas de los empleados. Después, envíe recordatorios breves. Por separado, compruebe si se han cerrado las brechas encontradas.

El formato es especialmente útil si el curso habitual termina con un test, pero no muestra cómo actúa una persona en una situación laboral. Un empleado puede conocer el término «phishing» y no entender a dónde enviar un correo sospechoso. Un directivo puede recordar el plan de respuesta y, aun así, no saber quién toma la decisión de detener la operación. El Día ofrece un lugar seguro para estas preguntas.

Antes de la preparación, defina la tarea de gestión. Las formulaciones adecuadas son las siguientes:

1. Comprobar si los empleados conocen el canal oficial para informar de una solicitud sospechosa.
2. Ver si la cadena de escalado es clara para los directivos y el soporte.
3. Practicar la verificación de una solicitud de pago o de personal mediante un canal independiente.
4. Encontrar brechas en la comunicación, los accesos y las instrucciones.
5. Elaborar un plan de acciones correctivas después del ejercicio.

El objetivo de «aumentar la ciberconcienciación» es demasiado amplio. No sugiere qué debe hacer el participante ni qué resultado obtendrá el cliente. Empezamos el briefing con una acción observable, y solo después elegimos las estaciones, el escenario y el diseño.

Límites del formato seguro

Un Día de Ciberseguridad Seguro no requiere código malicioso, datos de producción ni una lista pública de errores. El entorno de aprendizaje está separado del entorno de trabajo. Los escenarios evalúan mensajes, decisiones y roles. El equipo especializado aprueba de antemano los criterios de parada, prueba las demostraciones y puede detener el ejercicio sin presionar al participante.

La Agencia de Ciberseguridad y Seguridad de la Infraestructura de EE. UU. (CISA) estructura los ejercicios de mesa en torno a objetivos, escenario, preguntas de debate e informe final. Los participantes discuten qué hacer antes, durante y después del incidente. Este formato permite evaluar el proceso sin reproducir el ataque. Puede aparecer un mensaje educativo en la pantalla, pero el equipo no ejecuta un archivo peligroso ni investiga la infraestructura real.

Separamos las mecánicas permitidas y prohibidas desde la fase de concepción.

Para cada demostración se necesita un responsable del contenido. Normalmente es el CISO, un empleado del servicio de seguridad de la información o un experto invitado por parte del cliente. El equipo organizador no se hace pasar por especialista en ciberdefensa y no modifica el escenario acordado por espectacularidad.

Los criterios de parada también se registran de antemano. Incluyen la salida inesperada de datos reales, el acceso al sistema de trabajo, la pérdida de control de acceso y cualquier desviación del entorno de aprendizaje aprobado. Ante tal señal, el presentador pone el bloque en pausa, el equipo técnico lo desactiva y se informa a los participantes de una razón neutral y del siguiente paso.

Programa de estaciones y ejercicio general

El programa de trabajo combina un arranque general breve, varias estaciones con tareas concretas y un análisis final. Los grupos comienzan desde diferentes puntos para no crear colas. El tamaño de la ola lo determina la estación más ajustada. Para los directivos se puede añadir un ejercicio de mesa separado mientras los empleados pasan por los módulos prácticos.

Una estación se diferencia de una mini-conferencia. El participante reporta una sospecha, verifica una solicitud o toma una decisión según el escenario. La tarjeta registra el objetivo, la capacidad y el facilitador. La técnica, el criterio de parada y la reserva se anotan por separado.

Ejemplo de programa se puede montar así:

El conjunto exacto depende de la audiencia: al departamento financiero le resulta más cercana la verificación de solicitudes de pago, mientras que el equipo de recursos humanos (RR. HH.) analiza la protección de datos de personal. Los directivos toman decisiones sobre escalamiento y prioridades. Los especialistas en tecnologías de la información (TI) junto con el servicio de soporte comprueban la recepción de señales de entrenamiento. Una única conferencia para todos estos roles rara vez produce un resultado igualmente útil.

Los flujos se diseñan desde el punto más estrecho. Si en una estación trabajan con seguridad ocho personas, un grupo de veinticinco creará una cola y perderá atención. Es mejor dividir a la audiencia en oleadas, asignarles números de inicio diferentes y repetir el color de la ruta en la credencial, la navegación y la pantalla.

El principio detallado de rotación lo analizamos en el artículo sobre Día de la Seguridad Laboral. Para la ciberseguridad cambia el contenido, pero la lógica de producción sigue siendo la misma: un módulo, una acción, capacidad conocida, tiempo de transición y reserva.

Podemos conectar el contenido experto, las estaciones, el lugar y las rutas en un solo esquema. Solicítenos un presupuesto. Comenzaremos con el objetivo y las limitaciones, y luego mostraremos soluciones para el programa y la organización del evento.

Suscríbase al canal de Telegram de «Aventura», para recibir nuevos materiales prácticos sobre eventos corporativos.

¿Cómo preparar una simulación de phishing sin una trampa para los empleados?

En resumen: la simulación comprueba el funcionamiento del sistema sin buscar culpables, por lo que el responsable de seguridad de la información, RR. HH., TI y el departamento jurídico acuerdan de antemano el objetivo y la audiencia. También determinan la base legal para el tratamiento y el plazo de conservación de los resultados. El correo de formación no recopila contraseñas reales y el equipo lo prueba en un grupo de control. Tras el ejercicio se realiza un análisis tranquilo.

El National Cyber Security Centre británico advierte claramente que ningún paquete de formación enseñará a reconocer cada intento de phishing. El castigo por hacer clic puede reducir la disposición a informar de un error. Por lo tanto, una métrica útil tiene en cuenta no solo la acción con el correo, sino también los informes a través del canal oficial.

El conjunto mínimo de comprobaciones antes del lanzamiento incluye:

1. Describir el objetivo y los límites de la simulación en un solo documento.
2. Acordar la audiencia, el escenario y el tratamiento de datos con el CISO, RR. HH., TI y el departamento jurídico.
3. Excluir temas de enfermedad, muerte, despido, deudas y otros cebos traumáticos.
4. No guardar las contraseñas introducidas y no utilizar código malicioso funcional.
5. Probar el correo, la página, la notificación y el informe en un grupo de prueba.
6. Asegurarse de que el servicio de soporte está listo para recibir los mensajes de formación.
7. Designar a una persona que pueda detener el envío.
8. Preparar un análisis de apoyo y una instrucción clara.
9. Limitar el acceso a los resultados y determinar de antemano el plazo de eliminación.
10. No vincular un resultado individual con una decisión disciplinaria automática.

El nivel de notificación previa depende de la metodología y de los documentos locales. No se puede prometer universalmente un secreto total ni exigir el mismo tipo de consentimiento en todas las organizaciones. La decisión la toma el equipo jurídico y especializado del cliente. En el artículo planteamos cuestiones operativas y éticas, pero no sustituimos una opinión legal.

La simulación solo es útil junto con barreras técnicas y procedimientos claros. En el programa conviene incluir la verificación de solicitudes importantes a través de otro canal conocido, la autenticación multifactor, las actualizaciones, las copias de seguridad y las restricciones de acceso. El empleado no debe ser la última y única línea de defensa.

Roles del equipo y zona de responsabilidad

El responsable de seguridad de la información aprueba el contenido y puede detener el ejercicio, y RR. HH. vela por las normas laborales y un tono no punitivo. IT prepara el entorno de pruebas junto con el centro de operaciones de seguridad (SOC). El servicio jurídico revisa el tratamiento de datos. En Aventura integramos estas decisiones con el programa, el espacio, los flujos y la tecnología.

La separación protege el proyecto de dos extremos. En el primero, el equipo organizador recibe un escenario técnico que no sabe evaluar. En el segundo, el responsable de seguridad de la información se ve obligado a encargarse personalmente del registro, el mobiliario, la señalización y los flujos. Un grupo de trabajo conjunto deja cada decisión en manos del propietario competente.

Una persona puede desempeñar varias funciones, pero conviene mantener los nombres de los roles. Así el equipo entiende quién observa la señal, quién toma la decisión, quién la ejecuta, quién informa a los participantes y quién registra el resultado. Este esquema también lo utilizamos en el plan anticrisis del evento.

Preparación paso a paso

La preparación comienza con el objetivo, la audiencia y los límites de los datos. Después, el equipo reúne la ruta, el entorno de prueba y las comunicaciones. Cada acción compleja pasa por un ensayo técnico con los mismos dispositivos y archivos que se utilizarán en el lugar. El ensayo final cierra las observaciones con una prueba repetida en lugar de marcarlas como «corregido».

La secuencia de trabajo es la siguiente:

1. Designar al responsable del resultado y formular la acción observable del participante.
2. Dividir a las audiencias por roles, departamentos, turnos y formas de participación.
3. Aprobar los escenarios de formación permitidos, los datos y los criterios de parada.
4. Seleccionar las estaciones y el simulacro general según las tareas de cada audiencia.
5. Elaborar un mapa de flujos, la capacidad de los módulos y los intervalos de transición.
6. Definir el registro, los accesos y el conjunto mínimo de campos.
7. Preparar cuentas de prueba, maquetas y materiales de respaldo.
8. Acordar las invitaciones, las reglas y el mensaje para los directivos.
9. Realizar un ensayo técnico desde la entrada del participante hasta el informe final.
10. Actualizar el guion después de la prueba y repetir los puntos problemáticos.
11. Preparar el formulario del informe final y el plan de acciones correctivas.

En el ensayo se necesitan los mismos enlaces, dispositivos, pantallas y versiones de archivos que se utilizarán en el lugar. El equipo recorre la invitación, el registro, el acceso, la estación, el registro del resultado y la transición. Por separado se simulan fallos de red, fallos del dispositivo, archivos incorrectos y sobrecarga de la zona estrecha.

Cada observación recibe condiciones de reproducción, responsable y plazo. Tras la corrección, el equipo repite el mismo paso. El esquema detallado se encuentra en el material sobre el ensayo técnico del evento.

Si los participantes trabajan por turnos, no es necesario comprimir el programa en una única ventana común. Se pueden repetir los mismos módulos en varias oleadas, y grabar el inicio común o realizarlo para cada turno. Las instrucciones clave y el acceso al experto deben seguir siendo equivalentes.

¿Qué datos recopilar y cómo almacenarlos?

Recopile solo los datos que conlleven una acción clara: para el registro suelen ser suficientes el nombre, el departamento, el estado de participación y la solicitud de ayuda. Los resultados de los ejercicios es mejor analizarlos de forma agregada. Antes del evento, el equipo aprueba la composición de los campos, el acceso y el plazo de conservación. También establece las normas de anonimización y eliminación.

El artículo 5 de la Ley Federal N.º 152-FZ exige vincular el tratamiento de datos con un fin concreto. No debe haber más datos de los necesarios para ese fin. La información identificativa no puede conservarse más tiempo del necesario, salvo que la ley o el contrato establezcan lo contrario. La aplicación de la norma a un proyecto concreto la verifica el abogado del cliente.

Para cada campo, plantee cuatro preguntas:

1. ¿Qué decisión tomaremos con este valor?
2. ¿Quién lo verá y para qué?
3. ¿Cuándo dejará de ser necesario?
4. ¿Se puede obtener el mismo resultado sin identificar a la persona?

Para el informe a la dirección, a menudo basta con el número de estaciones completadas, un agregado por audiencia y una lista de deficiencias del proceso. Una tabla personal de «quién se equivocó» crea un riesgo adicional y rara vez ayuda a corregir el procedimiento. Si se necesitan resultados individuales, esa decisión debe tener una justificación aparte y un acceso restringido.

El registro se lleva en una lista principal única. La copia de seguridad se guarda con un empleado designado y se utiliza solo en caso de fallo. La solicitud de accesibilidad se formula como una ayuda necesaria, no como una petición de revelar un diagnóstico. Encontrará más detalles prácticos en el artículo sobre el registro de participantes en eventos.

Accesibilidad del programa presencial e híbrido

El participante debe completar el recorrido de una manera accesible: realizar una acción, observar, escuchar, leer o hacer una pregunta. El lugar, la transmisión, los materiales y el plan de contingencia se revisan en conjunto. El registro permite solicitar ayuda de forma confidencial. Los subtítulos, los micrófonos, la navegación legible y las alternativas textuales se mantienen también al pasar al escenario de respaldo.

El Consorcio World Wide Web (W3C) recomienda tener en cuenta tanto el espacio físico como la plataforma remota, verbalizar la información visual relevante y utilizar un micrófono de calidad. El programa debe comenzar con un resumen claro, y es útil repetir las conclusiones principales en un formato de texto accesible.

Incluya en el plan de producción:

• una ruta accesible desde la entrada hasta todas las zonas obligatorias;
• asientos para participantes que necesiten sentarse o usar silla de ruedas;
• señalización grande con suficiente contraste;
• un micrófono para preguntas del público;
• subtítulos o alternativa textual para los videos clave;
• materiales previos al evento en formato accesible;
• una estación que no requiera un smartphone personal;
• una forma silenciosa de hacer preguntas;
• pausas entre bloques intensos;
• mantener la accesibilidad en el plan de contingencia.

El participante híbrido no debe recibir una versión reducida sin posibilidad de actuar. Si una estación requiere enviar un mensaje de práctica, prepare un canal remoto de prueba. Si esto no es posible, ofrezca un escenario equivalente de observación y toma de decisiones. Las pautas técnicas se recopilan en el artículo sobre transmisión accesible de eventos.

Métricas sin promesas sobre la ausencia de incidentes

Mida las acciones y las correcciones en lugar de la abstracta «seguridad». Son útiles el uso del canal estándar, la corrección de la escalación, el tiempo hasta el primer mensaje, la carga sobre el soporte y el cumplimiento del plan de mejoras. Un solo Día de la ciberseguridad no demuestra el cumplimiento de un estándar ni promete la ausencia de incidentes. La dinámica se compara solo entre ejercicios comparables.

El documento final vincula los objetivos del ejercicio con las acciones que el equipo pudo observar. En él se incluyen los puntos fuertes, las áreas de mejora, las acciones correctivas, los responsables y los plazos. Esto es más útil que una puntuación media de un cuestionario y ayuda a retomar las decisiones después del evento.

Un conjunto práctico de métricas puede incluir:

No conviene prometer «eliminar el factor humano» ni reducir el riesgo en un porcentaje arbitrario. Las personas trabajan dentro del sistema: en sus acciones influyen las interfaces, los accesos, la carga, las barreras técnicas y la calidad del soporte. La Agencia de la Unión Europea para la Ciberseguridad (ENISA) también diseña programas de formación por audiencias, canales e indicadores, y no en torno a un único evento universal.

Después del Día, programe una breve revisión con los responsables. Ellos cierran las correcciones rápidas, trasladan las cuestiones complejas al plan de trabajo y devuelven a los empleados una respuesta clara: qué ha cambiado la empresa después del ejercicio. Sin esto, el formato corre el riesgo de quedar como un episodio llamativo pero aislado.

Presupuesto del Día de la Ciberseguridad

El presupuesto depende del número de estaciones, flujos y repeticiones. Los expertos, el equipo de pruebas, la sede, la accesibilidad y el ensayo se calculan por separado. Primero se aprueban la estructura y los límites, después se calcula la producción. No damos un precio universal por participante: el mismo número de invitados puede requerir una sola sala o un programa complejo de varias zonas para varios turnos.

Es conveniente elaborar el presupuesto por bloques:

Es mejor recortar lo que no afecta a la acción formativa. A veces se puede simplificar la decoración, pero conservar el entorno de pruebas, la accesibilidad, la coordinación y el tiempo de ensayo. Un escenario caro no arreglará un botón de mensaje que no funciona ni sustituirá a un especialista con autoridad para tomar decisiones.

La lógica general de las partidas presupuestarias se explica en el artículo sobre el presupuesto del evento corporativo. Para un cálculo preliminar necesitamos la ciudad, el público, el formato, el número de estaciones, los turnos, los requisitos de datos, sede y participación híbrida.

Brief para la agencia: qué preparar

Un buen brief separa el contenido especializado de la organización del evento: el cliente aporta el objetivo, la audiencia, el responsable de seguridad y las limitaciones. En «Aventura» precisamos el espacio, los flujos, la técnica, la accesibilidad, la composición del equipo y el calendario de decisiones. Si los datos iniciales son todavía escasos, celebramos una reunión de arranque y recopilamos preguntas. La política de seguridad de la información la define el equipo especializado del cliente.

Antes de contactar, es útil preparar:

1. El objetivo del Día y la acción que los empleados deben practicar.
2. La composición de las audiencias, ciudades, departamentos, turnos y participantes remotos.
3. El responsable del contenido y la lista de aprobadores por parte de CISO, RRHH, IT y el servicio jurídico.
4. Los escenarios permitidos, datos, dispositivos y criterios de parada.
5. Las estaciones deseadas y los procedimientos internos obligatorios.
6. Los requisitos de registro, acceso, fotografía, grabación e informe.
7. Las necesidades de accesibilidad e idiomas.
8. El espacio o las limitaciones para su elección.
9. El rango de presupuesto y las partidas que no se pueden recortar.
10. La decisión que la dirección tomará después del análisis final.

En «Aventura» podemos encargarnos de la parte organizativa: concepto, plan de guion, espacio, rutas, técnica, decoración, coordinadores, ensayo y trabajo el día del evento. El experto especializado del cliente aprueba el contenido de las estaciones y el ciberejercicio. Esta división da al equipo límites claros y ayuda a no convertir un tema serio en un concurso de entretenimiento.

Si está preparando un Día de la Ciberseguridad para sus empleados, consulte nuestro portafolio. Para obtener un presupuesto preliminar, solicite un presupuesto. Aclararemos la tarea, los roles y las limitaciones. Luego propondremos un programa y un plan de preparación del evento.

Fuentes

• NIST: Creación de un programa de aprendizaje sobre ciberseguridad y privacidad
• CISA: Paquetes de ejercicios de simulación

• NCSC: Ataques de phishing, cómo defender su organización
• ICO: Listas de verificación para la supervisión de trabajadores
• W3C WAI: Cómo hacer eventos accesibles
• ConsultantPlus: Ley Federal N.º 152-FZ «Sobre datos personales»
• Microsoft Learn: Entrenamiento de simulación de ataques
• ENISA: Kit de sensibilización