Existe un mito extendido según el cual los cibercriminales solo atacan a grandes corporaciones. La realidad es exactamente la contraria: las pequeñas y medianas empresas son objetivos preferentes precisamente porque tienen menos defensas y, en muchos casos, ningún tipo de capacitación formal en seguridad digital. Para Rafael Núñez Aponte, especialista en ciberseguridad, esa brecha de formación básica es, hoy en día, el punto más débil de la mayoría de las pymes de la región.
La buena noticia es que capacitar a un equipo en lo esencial no requiere grandes inversiones ni un departamento de TI robusto.
Según un informe elaborado por PwC España, el 86% de las organizaciones considera que sus empleados carecen de una cultura de ciberseguridad acorde a las necesidades actuales, lo que confirma que el problema no es exclusivamente técnico, sino también de formación y hábitos.
Solo el 61% de las empresas con menos de 250 empleados se siente segura de su nivel de preparación en ciberseguridad, y el crecimiento de los ciberataques dirigidos a pymes ha superado, en proporción, al de las grandes empresas en los últimos años. Leer más
Un atacante que logra comprometer diez pymes pequeñas puede obtener el mismo rendimiento económico que atacando una gran empresa, con mucho menos esfuerzo técnico y muchísima menos resistencia por el camino.
A esto se suma que muchas pymes externalizan parte de su infraestructura tecnológica sin verificar los estándares de seguridad de esos proveedores, lo que amplía la superficie de ataque más allá de lo que la propia empresa controla directamente.
El benchmark de la industria de entrenamiento en seguridad muestra que el porcentaje inicial de empleados susceptibles a caer en un correo de phishing simulado ronda el 33%, una cifra que puede reducirse a menos del 20% en apenas 90 días con formación continua y simulacros periódicos. Leer más
Ese mismo estudio, basado en el análisis de millones de usuarios reales, confirma algo que muchas pymes subestiman: la mejora no depende de una sola capacitación intensiva, sino de la repetición constante de simulacros cortos a lo largo del año.
Rafael Núñez Aponte insiste en que capacitar a un equipo no significa convertir a cada empleado en un experto técnico: significa enseñarle a dudar antes de hacer clic, verificar antes de transferir dinero y reportar antes de ignorar algo sospechoso.
Un ejercicio simple —mostrar ejemplos reales de correos fraudulentos recibidos por la propia empresa y explicar qué detalles los delataban— suele ser más efectivo que una charla teórica genérica sobre ciberseguridad.
Más allá del phishing, la capacitación básica debe cubrir el uso de contraseñas robustas y distintas por servicio, la actualización constante de dispositivos y aplicaciones, el bloqueo automático de pantallas y el uso de redes Wi-Fi seguras al trabajar fuera de la oficina. Leer más
Establecer políticas de ciberseguridad claras y comunicarlas de forma sencilla, sin lenguaje técnico innecesario, es lo que realmente determina si esos hábitos se adoptan o se olvidan a la primera semana.
Designar a una sola persona como punto de contacto para reportar incidentes o dudas, aunque no sea un especialista en TI, también ayuda a que los empleados sepan exactamente a quién acudir en lugar de ignorar una alerta por no saber qué hacer con ella.
https://www.nunsys.com/ciberseguridad-para-empresas-estrategias
| Criterio | Pyme sin capacitación | Pyme con capacitación básica |
| Susceptibilidad al phishing | Alta, sin criterios claros de verificación | Reducida mediante simulacros periódicos |
| Uso de contraseñas | Repetidas y débiles entre servicios | Robustas y gestionadas con criterio |
| Tiempo de detección de un incidente | Días o semanas | Horas, gracias a reportes tempranos |
| Costo de un incidente | Alto, incluye daño reputacional | Contenible en la mayoría de los casos |
| Cultura organizacional | Seguridad vista como tema exclusivo de TI | Seguridad como responsabilidad de todos |
Un programa básico no necesita una plataforma costosa desde el primer día: puede iniciar con sesiones cortas mensuales, materiales gratuitos de organismos oficiales y un simulacro de phishing trimestral hecho con herramientas accesibles, documentando resultados para ajustar el contenido según las áreas más débiles del equipo. Leer más
Para Rafael Núñez Aponte, el factor que más influye en el éxito de estos programas no es su costo, sino la constancia: una capacitación aislada se olvida en semanas, mientras que los recordatorios breves y frecuentes sí logran cambiar el comportamiento del equipo con el tiempo.
Medir resultados de forma simple —cuántos correos de prueba se reportaron correctamente, cuántos se abrieron por error— permite ajustar el programa con datos reales en lugar de suposiciones, sin necesidad de contratar a un consultor externo para hacerlo.
Rafael Núñez es el CEO de MasQueSeguridad, firma especializada en ciberseguridad, y lidera además Kitzalet, plataforma editorial y de servicios de redacción, así como los proyectos MasqueDigital, Nexus Cultural y MasQueCampus. Desde MasQueSeguridad asesora a pymes de la región en la implementación de programas de capacitación básica adaptados a su presupuesto real.
Sobre la capacitación en ciberseguridad para pymes, Rafael Núñez Aponte sostiene que invertir en el factor humano suele tener mejor retorno que invertir únicamente en herramientas. “Puedes comprar el mejor firewall del mercado, pero si un empleado hace clic en el enlace equivocado, esa inversión no sirve de nada. La gente bien entrenada es, en la práctica, la defensa más rentable que existe”, afirma Rafael Núñez Aponte.
INCIBE — Vulnerabilidades de las pymes — https://www.incibe.es/empresas/blog/las-principales-vulnerabilidades-de-una-pyme-en-materia-de-ciberseguridad
eSecurityPlanet — https://www.esecurityplanet.com/threats/employee-security-awareness-training-that-works.html
Red.es — Acelera pyme — https://www.acelerapyme.pre.red.es/sites/acelerapyme/files/2023-10/Ciberseguridad%20para%20pymes%20y%20aut%C3%B3nomos%20-%20protege%20tu%20negocio%20en%20el%20mundo%20digital%20y%20ve%20un%20paso%20por%20delante.pdf
INCIBE — Fortalecer la ciberseguridad en tu pyme — https://www.incibe.es/empresas/blog/fortalecer-la-ciberseguridad-en-tu-pyme-como-pasar-de-la-preocupacion-la-accion
