Saber no es hacer, la línea de base

Un programa de concientización busca que las personas hagan algo distinto: reportar, verificar, no compartir una clave. Pero casi todo lo que se mide por costumbre es conocimiento: quién vio el video, quién aprobó el examen, quién dice saber reconocer un correo falso. Que una persona sepa algo y que lo haga bajo presión, un martes a las cinco de la tarde, son hechos distintos, y el segundo es el único que protege a la empresa.

Por eso en la línea de base conviene separar tres cosas: lo que se sabe (curso, examen), lo que se dice (encuesta) y lo que se hace (una campaña de simulacro, los reportes reales). Abre linea_de_base con SELECT * FROM linea_de_base y compara las filas.

Una tabla de incidentes dice qué pasó, pero también cuánto tardó la empresa en enterarse. Esa demora es una medida de cultura: cuando alguien comete un error y tarda días en avisar, casi nunca es por no saber que debía hacerlo; suele ser por temor a lo que vendrá. Con SELECT * FROM incidentes_2026 tienes la tabla con su columna de horas hasta el aviso.

No todos los incidentes se evitan con formación: un servidor sin parche o una carpeta mal configurada son fallas de proceso o de configuración. Un programa de concientización se justifica por la parte que sí depende de decisiones y hábitos de las personas. El equipo de seguridad marcó esa parte en la columna depende_de_la_conducta. Con ese dato se mide la parte del problema que el programa puede mover, y eso fija hasta dónde prometer.

El control 6.3 del Anexo A de ISO/IEC 27001:2022 trata de la concientización, la educación y la formación en seguridad de la información: el personal y las partes interesadas pertinentes deben recibirlas de forma adecuada a su puesto, con actualizaciones periódicas de la política y de los procedimientos. La cláusula 7.3 pide además que todos conozcan la política de seguridad y su aporte a ella. La guía NIST SP 800-50 Rev. 1 (septiembre de 2024), sobre cómo construir un programa de aprendizaje en ciberseguridad y privacidad, propone un ciclo que se repite y se mejora, y ata el programa a los objetivos de riesgo de la organización.

Ninguno de los dos fija cuántas horas ni qué formato. Eso lo decide la organización con su riesgo, y es lo que un auditor le va a pedir que justifique. (Estas descripciones salen de fuentes de la comunidad de ISO 27001 y de la publicación de NIST; el texto de la norma ISO es de pago y conviene leerlo directamente antes de citarlo en un informe.)