Formación personalizada en ciberseguridad
La mayoría de los cursos de sensibilización en materia de seguridad resultan olvidables porque son genéricos: diapositivas estándar sobre el phishing que podrían aplicarse a cualquier empresa, impartidas por alguien que nunca ha visto su entorno y que no estará presente cuando llegue la prueba de fuego. Yo diseño la formación de manera diferente: en torno a sus riesgos reales, a los incidentes reales que haya habido, si los ha habido, y a las decisiones reales que su personal debe tomar correctamente, no a una simple casilla de cumplimiento normativo.
Qué significa realmente «personalizado»
Esto significa que tengo en cuenta quiénes están presentes en la sala antes de decidir qué enseñar. Los ingenieros necesitan algo distinto al personal de finanzas que aprueba las transferencias bancarias, quienes a su vez necesitan algo distinto a los ejecutivos que son blanco personal de ataques de spear phishing y de compromiso del correo electrónico empresarial (BEC). Significa utilizar ejemplos reales relevantes para su sector en lugar de ejemplos genéricos de phishing del tipo «un príncipe le envía un correo electrónico», que todo el mundo ha visto cientos de veces. Y significa vincular la formación a lo que realmente ha ocurrido o a lo que, de forma realista, podría ocurrir en su organización, de modo que los participantes salgan de la sesión comprendiendo por qué esto les afecta específicamente a ellos, y no solo porque se les exige asistir a ella.
Cómo preparo una sesión
Empiezo por comprender su perfil de riesgo real y, cuando sea pertinente, qué es lo que ya ha salido mal: un incidente de phishing anterior, un intento de ingeniería social, un susto con una solicitud de pago fraudulenta. A partir de ahí, elaboro contenidos en torno a situaciones realistas a las que su equipo se enfrentaría realmente: cómo es un correo electrónico de phishing convincente dirigido a su sector, cómo suena una llamada con pretexto a su servicio de asistencia técnica, cómo se desarrolla el compromiso del correo electrónico empresarial (BEC) en empresas que procesan pagos de la misma forma que usted. Prefiero someter a las personas a un escenario del que tengan que encontrar la salida por sí mismas, en lugar de darles una charla magistral de una hora.
Para equipos con responsabilidades técnicas específicas —desarrolladores, personal de TI, personal de respuesta a incidentes—, profundizo en las habilidades que realmente necesitan: patrones de programación segura relevantes para lo que desarrollan, o cómo reconocer y escalar un incidente real en lugar de ocultarlo. Esto puede impartirse como una sesión única o como un programa continuo, en función de las necesidades de su equipo y de la rapidez con la que esté cambiando su perfil de riesgo.
A quién va dirigido
Organizaciones cuya última formación consistió en un módulo genérico en línea del que nadie se acuerda, empresas que han sufrido un incidente real y desean que su próxima formación aborde realmente ese tema, y equipos que necesitan formación específica para cada puesto en lugar de contenidos genéricos.
Dígame quién necesita formación y qué le preocupa, y creemos juntos algo que realmente dé resultados.