La protección del negocio también se construye con las decisiones y los hábitos de las personas. Para que eso ocurra, la Alta Dirección debe hacer de la ciberseguridad una responsabilidad compartida, integrada en la operación y respaldada por acciones que puedan comprobarse.
Una organización puede invertir en tecnología, definir políticas y capacitar a sus colaboradores y, aun así, mantener brechas importantes de seguridad. No necesariamente porque las personas desconozcan los riesgos, sino porque las condiciones para actuar de manera segura no siempre están incorporadas en su trabajo cotidiano.
Las personas utilizan aplicaciones, comparten información, interactúan con proveedores, trabajan de forma remota y toman decisiones que pueden afectar la seguridad del negocio. Por eso, proteger una organización no depende únicamente del equipo de ciberseguridad.
Sin embargo, declarar que la seguridad es responsabilidad de todos no significa que todos sepan qué deben hacer.
La cultura de ciberseguridad comienza a fortalecerse cuando la Alta Dirección convierte esa responsabilidad compartida en comportamientos concretos, condiciones de trabajo adecuadas y decisiones sostenidas en el tiempo.
1. Hacer de la ciberseguridad una prioridad visible del liderazgo
Las personas observan qué valora realmente una organización a través de las decisiones de sus líderes.
Si la seguridad aparece únicamente durante una auditoría, después de un incidente o cuando se exige completar una capacitación, difícilmente se incorporará como una práctica permanente.
La Alta Dirección debe demostrar que proteger el negocio forma parte de la manera de operar, del mismo modo que se gestionan la calidad, la continuidad, los resultados financieros y la experiencia del cliente.
Esto implica incorporar la ciberseguridad en las conversaciones de gestión, asignar responsables, financiar las capacidades necesarias y revisar periódicamente los avances.
Qué puede hacer la Alta Dirección:
- Incorporar riesgos y decisiones de ciberseguridad en las reuniones de gestión relevantes.
- Identificar qué procesos del negocio requieren mayor protección.
- Asignar responsables de negocio, no únicamente responsables técnicos.
- Respaldar las mejoras que requieren recursos, cambios operacionales o coordinación entre áreas.
Pregunta para el equipo directivo: ¿Nuestras decisiones muestran que la ciberseguridad es una prioridad, o solo lo declaramos en nuestras políticas?
2. Traducir las políticas en prácticas que las personas puedan aplicar
Una política de seguridad no produce valor por el hecho de estar documentada. Debe ser comprensible, accesible y aplicable a las situaciones que enfrentan las personas.
Un colaborador que recibe un mensaje sospechoso necesita saber cómo reconocerlo y dónde reportarlo. Un responsable de área debe entender qué información puede compartir con un tercero. Un equipo de operaciones necesita procedimientos que le permitan actuar sin comprometer la continuidad del servicio.
Cuando las reglas son demasiado complejas, desconocidas o incompatibles con el trabajo real, las personas terminan buscando alternativas para cumplir sus tareas.
Qué puede hacer la Alta Dirección:
- Pedir que las políticas se expliquen con ejemplos propios de la organización.
- Adecuar las orientaciones a los distintos roles y responsabilidades.
- Facilitar canales de consulta frente a situaciones inciertas.
- Revisar los procesos en que los controles de seguridad producen fricciones innecesarias.
Pregunta para el equipo directivo: ¿Las personas saben cómo actuar de manera segura en su trabajo cotidiano, o solo saben que existe una política?
3. Construir confianza para detectar y comunicar los problemas a tiempo
Una cultura sólida no es aquella en la que nadie comete errores. Es aquella en la que las situaciones de riesgo pueden identificarse, comunicarse y corregirse antes de que sus consecuencias aumenten.
Si una persona teme ser sancionada por informar que abrió un archivo sospechoso o compartió información incorrectamente, probablemente demorará en reportarlo. Ese retraso puede dificultar la contención.
La organización necesita canales claros, respuestas oportunas y un entorno que favorezca la comunicación temprana de errores e incidentes.
Esto no elimina la responsabilidad individual ni los procedimientos disciplinarios cuando corresponda. Significa distinguir entre un error reportado de buena fe, una necesidad de formación y una conducta deliberadamente contraria a las políticas.
Qué puede hacer la Alta Dirección:
- Establecer mecanismos simples y conocidos para reportar situaciones sospechosas.
- Promover la comunicación temprana sin represalias por errores de buena fe.
- Reconocer los reportes que permiten prevenir o contener problemas.
- Revisar las causas de los incidentes para mejorar procesos y controles, no solo para identificar responsables.
Pregunta para el equipo directivo: ¿Qué ocurriría hoy si una persona detectara que cometió un error que podría comprometer información o interrumpir una operación?
4. Integrar la seguridad en los procesos que sostienen el negocio
La ciberseguridad no puede depender de que las personas recuerden constantemente instrucciones adicionales a su trabajo.
Debe estar incorporada en las actividades donde se toman decisiones y se producen riesgos: contratación de proveedores, incorporación de colaboradores, acceso a sistemas, desarrollo de aplicaciones, manejo de información, continuidad operacional y respuesta a incidentes.
Esto requiere coordinación entre tecnología, seguridad, personas, operaciones, áreas comerciales y responsables de procesos críticos.
Por ejemplo, incorporar a un nuevo proveedor no debería consistir únicamente en verificar condiciones comerciales. También corresponde comprender qué información utilizará, a qué sistemas tendrá acceso, qué dependencias generará y qué ocurrirá si deja de prestar el servicio.
Qué puede hacer la Alta Dirección:
- Identificar los procesos que podrían afectar materialmente la continuidad del negocio.
- Incorporar requisitos de seguridad desde el diseño de las iniciativas, no al final.
- Definir responsabilidades compartidas entre las áreas involucradas.
- Revisar si los controles siguen funcionando cuando cambian las personas, las tecnologías o las condiciones operacionales.
Pregunta para el equipo directivo: ¿En qué procesos importantes la seguridad depende todavía de que alguien recuerde hacer algo, en lugar de formar parte del procedimiento habitual?
5. Medir comportamientos y resultados, no solamente actividades
Uno de los errores más frecuentes al gestionar la cultura de ciberseguridad es confundir las acciones realizadas con los resultados obtenidos.
Completar una capacitación, distribuir una política o ejecutar una campaña de concientización demuestra que hubo actividad. No necesariamente demuestra que la organización se encuentra mejor preparada.
La Alta Dirección necesita observar si esas iniciativas están cambiando comportamientos y fortaleciendo capacidades.
Algunas señales útiles son:
- Si las personas identifican y reportan oportunamente situaciones sospechosas.
- Si los responsables conocen y cumplen sus obligaciones de seguridad.
- Si disminuye la repetición de errores o prácticas inseguras.
- Si los controles críticos funcionan como se espera.
- Si los ejercicios de respuesta muestran mejoras en coordinación y tiempos.
- Si las brechas identificadas se corrigen y su resolución puede demostrarse.
Estas señales deben interpretarse en su contexto. Por ejemplo, un aumento inicial de reportes de actividad sospechosa puede indicar una mayor confianza y capacidad de detección, no necesariamente un deterioro de la seguridad.
Pregunta para el equipo directivo: ¿Podemos demostrar que nuestras iniciativas están mejorando la capacidad de la organización para prevenir, detectar y responder?
Cómo empezar: cinco decisiones para los próximos 90 días
Fortalecer una cultura de ciberseguridad es un proceso continuo, pero no requiere esperar a contar con un programa perfecto.
La Alta Dirección puede comenzar con una secuencia práctica.
Primeros 30 días: entender y comprometer
Identificar los procesos críticos, conversar con sus responsables, revisar los comportamientos de riesgo más relevantes y conocer las principales barreras que enfrentan las personas para trabajar de manera segura.
El resultado esperado es una primera lista de prioridades, con responsables identificados.
Días 31 a 60: actuar sobre las barreras
Seleccionar acciones concretas: simplificar políticas, mejorar canales de reporte, incorporar requisitos de seguridad a procesos existentes o adaptar la formación a los riesgos de cada función.
Cada acción debe contar con un responsable, un plazo y una forma de comprobar su implementación.
Días 61 a 90: comprobar y ajustar
Revisar qué cambió, qué dificultades persisten y qué medidas requieren ajustes. Utilizar incidentes, ejercicios, reportes y verificaciones operativas para obtener evidencia.
El resultado no debería ser solamente un informe de actividades, sino una decisión sobre qué mantener, corregir o priorizar durante el siguiente período.
Esta secuencia es una orientación de gestión, no un plazo garantizado para lograr una cultura madura.
La cultura se demuestra en la manera de operar
Una cultura de ciberseguridad no se establece mediante una declaración institucional ni depende exclusivamente de una campaña de formación.
Se construye cuando las personas entienden su responsabilidad, cuentan con condiciones adecuadas para actuar, pueden comunicar problemas y reciben respaldo para corregirlos.
Pero también se construye cuando la Alta Dirección exige que las decisiones de seguridad estén conectadas con lo que realmente importa: los procesos críticos, la continuidad operacional, la confianza de los clientes y la capacidad de responder ante situaciones adversas.
El desafío no es lograr que todas las personas se conviertan en especialistas en ciberseguridad. Es conseguir que cada una comprenda cómo contribuye a proteger el negocio y que la organización pueda demostrar que sus capacidades mejoran.
Porque una cultura sólida no solo cambia lo que las personas saben. Cambia lo que la organización hace y su capacidad para seguir operando cuando algo falla.
Conoce tu Nivel de CiberResiliencia
Descubre cómo conectar riesgos, protección y capacidad de respuesta con las decisiones que sostienen la continuidad de tu negocio.