Factor humano en ciberseguridad para pymes y autónomos
Factor humano en ciberseguridad: qué puede pasar y cómo proteger tu negocio
Una política de seguridad continúa siendo imprescindible, pero ya no basta con escribir unas normas y pedir a la plantilla que las recuerde. Los engaños son más creíbles, llegan por más canales y aprovechan las prisas del trabajo diario. En 2026, proteger una pyme significa facilitar las decisiones seguras, reforzar los accesos, comprobar las operaciones delicadas y convertir a cada persona en parte activa de la defensa.
En 2018, en INCIBE publicamos «El factor humano bajo control con una política de seguridad» . Esta propuesta sigue teniendo una base acertada: toda empresa necesita definir cómo se usa la información, quién puede acceder a ella y qué ocurre cuando una persona entra, cambia de puesto o deja la organización.
Ocho años después, esa política continúa siendo necesaria, pero no puede "controlar" por sí sola el riesgo humano. Hoy trabajamos desde el móvil, compartimos documentos en la nube y utilizamos inteligencia artificial. Además, los delincuentes aprovechan información pública para crear peticiones urgentes convincentes.
Y los engaños también han evolucionado. Antes era habitual recibir correos genéricos y fáciles de reconocer; ahora, la inteligencia artificial y la información publicada en internet permiten crear mensajes, llamadas e historias mucho más creíbles. Pueden imitar a un directivo, un proveedor o un servicio técnico. Los engaños pueden llegar por WhatsApp, una llamada con una voz conocida, una videoconferencia manipulada o una petición adaptada al negocio y llegar justo cuando una persona está gestionando un pago o resolviendo una urgencia. Por tanto, la seguridad de la información está en constante evolución, los vectores de ciberataque son cada vez más sofisticados y complejos, haciendo un mayor uso de la ingeniería social para conseguir llegar a sus víctimas potenciales. Por este motivo, de cara a reducir riesgos y garantizar un mayor grado de protección, se hace necesario ir siempre un paso por delante.
Una persona decide dentro de un proceso y bajo presión. Si el procedimiento es confuso o dificulta el trabajo, aumentan los atajos y los errores. El problema también puede estar en cómo la empresa ha organizado la tarea. Y pretender que nadie se equivoque es imposible. Seguimos equivocándonos y no siempre es por falta de formación. Influyen la sobrecarga de mensajes, el cansancio, las interrupciones, la presión y una cultura en la que preguntar o reconocer un error parece peligroso.
El impacto tampoco es solo informático: puede haber fraude, interrupciones, exposición de datos, costes, obligaciones legales y pérdida de confianza. Hay que prevenir el incidente y, si ocurre, limitarlo y recuperar la actividad. Por tanto, el objetivo debe ser hacer fácil la opción segura, comprobar dos veces las operaciones delicadas y comunicar cualquier sospecha antes de que cause daño.
Del "firewall humano" a la gestión del riesgo humano
En 2020, en INCIBE utilizamos el término “firewall humano” para describir el compromiso de las personas con las medidas preventivas y reactivas de ciberseguridad. La idea sigue siendo importante: quien conoce su trabajo puede detectar una factura extraña, cuestionar una petición urgente o avisar de un comportamiento que una herramienta no reconoce.
Sin embargo, una persona no debe sustituir a los controles ni convertirse en la última barrera. La evolución es la gestión del riesgo humano (Human Cyber-Risk Management): combinar formación contextual, procesos sencillos, controles tecnológicos y medición continua. En lugar de limitarse a preguntar quién se equivocó, analiza por qué el proceso permitió que ese error avanzara y qué debe cambiar. Así se reduce el riesgo sin convertir a la plantilla en culpable y se refuerza su papel como sensor y participante activo de la defensa.
El riesgo está en situaciones cotidianas
Muchos incidentes empiezan con una factura aparentemente normal, una llamada del supuesto banco o un enlace en el móvil. También con cuentas antiguas, permisos excesivos o información reservada copiada en una IA gratuita.
El riesgo humano no siempre empieza con un engaño. Más allá de las trampas de los ciberdelincuentes, el factor humano no intencionado sigue causando estragos y puede aparecer con errores comunes como enviar información al destinatario equivocado, perder un dispositivo o dejar una cuenta, una base de datos o un servicio en la nube mal configurado.
95.064 consultas al 017 entre enero y junio de 2026
Según el balance del primer semestre de 2026 del servicio 017 de INCIBE, las consultas al 017 casi se duplicaron respecto al mismo periodo del año anterior. Entre las empresas, el motivo más frecuente (el 30,6%) fueron los engaños en los que alguien suplanta a una entidad o persona de confianza por teléfono, SMS o correo. También destacaron la suplantación de la propia empresa y el fraude del CEO. Debemos tener en cuenta que son consultas atendidas en 'Tu Ayuda en Ciberseguridad', no incidentes confirmados. Pero estos datos nos muestran dónde se concentran muchas dudas y riesgos cotidianos.
El elemento humano sigue presente en buena parte de las brechas de seguridad, pero eso no convierte automáticamente al empleado en el 'eslabón débil'. El riesgo surge de la combinación entre engaños, credenciales, errores, herramientas y procesos mal diseñados, como refleja el DBIR 2026 de Verizon. Por tanto, no es solo "culpa" del empleado, una persona actúa dentro de un sistema de plazos, herramientas y procedimientos. Si para trabajar tiene que saltarse una norma complicada, el problema también está en el diseño de esa norma.
El enfoque de NIST sobre ciberseguridad centrada en las personas recuerda que las personas también detectan señales que ninguna herramienta conoce. Este enfoque de gestión del riesgo humano implica una formación adaptativa en la que en lugar de cursos generales, se imparta formación dinámica y basada en los comportamientos específicos de cada departamento; así como controles centrados en el humano, rediseñando los procesos y controles tecnológicos haciéndolos más sencillos para que "equivocarse" sea más difícil (por ejemplo, automatizar la prevención de fugas de datos y aplicar el principio de mínimo privilegio) y una medición continua para reducir el riesgo sin convertir a la plantilla en culpable.
Una política útil debe ser breve y realista: qué información es delicada, quién autoriza accesos, cómo se comprueba un pago, qué IA puede usarse y dónde se comunica una sospecha. Debe asignar responsabilidades y revisarse cuando cambie el trabajo.
Escribir "verifique siempre al remitente" sirve de poco si nadie explica cómo. La norma debe convertirse en una acción: llamar a un número guardado, pedir otra aprobación o usar un botón para avisar. La seguridad funciona cuando acompaña al trabajo, no cuando vive en un documento de auditoría.
Prioridades para una pyme
1. Proteger bien las cuentas
La empresa debería facilitar un gestor de contraseñas y activar un segundo paso de acceso. En correo, banca, administración y nube conviene avanzar hacia llaves de seguridad o passkeys, más difíciles de entregar por error en una página falsa. Cuando alguien cambia de función o termina su relación con la empresa, sus permisos deben revisarse o retirarse de inmediato. Lo mismo se aplica a asesorías, colaboradores y proveedores.
2. Comprobar pagos y cambios importantes
Un correo o una voz conocida ya no son prueba suficiente. Una petición para cambiar una cuenta bancaria, enviar datos o pagar debe confirmarse por otra vía, llamando al contacto habitual con un número ya registrado. Las operaciones de mayor impacto deberían requerir dos personas. Esta doble comprobación protege a quien toma la decisión frente a las prisas, la suplantación y la presión de un supuesto superior. Por tanto, un usuario no debe ser la última barrera antes de una transferencia importante. Pagos, cambios de cuenta y entregas de información sensible necesitan límites, doble aprobación y registro. La formación ayuda a detectar; el proceso debe frenar el error.
3. Formar según el trabajo de cada persona
Un curso genérico anual rara vez prepara para una situación real. Son más útiles recordatorios breves: facturas falsas para administración, datos personales para recursos humanos, accesos para soporte y crisis para la dirección. Una pauta clara sería formar al incorporarse y cambiar de función, y continuar con contenidos breves. Deben incluirse dirección, empleados, temporales y colaboradores. Los ejercicios deben cubrir correo, SMS, llamadas, permisos de aplicaciones y suplantaciones de voz o imagen. Las simulaciones pueden ayudar si sirven para aprender. No deberían utilizarse para avergonzar, publicar clasificaciones ni castigar el primer fallo. Si las personas temen las consecuencias, ocultarán los errores y la empresa perderá un tiempo valioso.
4. Poner reglas sencillas al uso de la IA
Prohibir toda IA suele ocultar su uso. Es más práctico aprobar algunas herramientas, explicar qué datos no deben introducirse y exigir revisión humana de sus resultados. Una IA nunca debería autorizar por sí sola un pago, borrar información, conceder permisos o comunicarse con clientes en un asunto sensible. La guía de CCN-CERT sobre IA ofensiva insiste en combinar tecnología, procesos y supervisión y la norma UNE-ISO/IEC 42001:2026 se erige como la versión oficial, en español, de la Norma Europea que establece un Sistema de Gestión de Inteligencia Artificial (SGIA) con el objetivo de dar forma a un futuro donde la IA sea segura, ética y transparente.
Y es que la IA entra en el negocio por tres caminos:
- La IA utilizada por el atacante permite personalizar mensajes, traducirlos, crear perfiles con información pública e imitar voces o imágenes.
- La IA utilizada por los empleados puede recibir datos sensibles en un servicio público, llegar mediante extensiones no autorizadas o generar respuestas inventadas, documentos falsos y código inseguro.
- La IA que actúa como un agente puede estar conectada al correo, los archivos o una base de datos. Una instrucción maliciosa, incluso escondida en un documento, podría intentar que revele información o ejecute una acción no prevista.
La diferencia es importante. Consultar un asistente para mejorar un texto no tiene el mismo riesgo que conectarlo al correo, permitirle consultar facturas o encargarle que envíe respuestas. Es parecido a dar acceso a un trabajador: cuanto más pueda ver y hacer, mayores deben ser los controles.
Y para esto, la empresa debe poder responder a cuatro preguntas: qué IA se utiliza, qué datos recibe, a qué aplicaciones está conectada y quién revisa sus acciones. Conviene aprobar servicios concretos y explicar con ejemplos qué información no puede introducirse: datos de clientes, contratos, credenciales, información médica o documentación interna, según el negocio.
Una IA conectada debe tener acceso solo a lo imprescindible, conservar un registro de lo que hace, probarse antes de usarla y disponer de una forma rápida de detenerla. Nunca debería pagar, borrar, conceder permisos o enviar datos sensibles por sí sola. En esas acciones, la aprobación humana debe ser real y no un simple clic automático.
El perfil de IA generativa de NIST recoge riesgos como las instrucciones maliciosas, las respuestas inventadas y el exceso de confianza. La alfabetización en IA europea debe integrarse en la formación de ciberseguridad.
5. Facilitar el aviso temprano
Toda persona debe saber dónde comunicar un correo extraño, la pérdida de un móvil, un envío equivocado o una cuenta comprometida. Puede ser un botón, un teléfono o una dirección fácil de recordar; debe atenderse con rapidez. La dirección debe dar ejemplo, utilizar los mismos controles y agradecer los avisos de buena fe. Una cultura de seguridad madura no se mide por la ausencia de errores, sino por la rapidez con la que se detectan, se comunican y se corrigen. La empresa necesita saber quién decide, a quién se llama, cómo se aíslan los equipos y cómo se recupera la actividad.
6. La ciberseguridad pasa de informática a la dirección
Sin apoyo de la dirección, las normas se convierten en documentos que nadie utiliza. El riesgo humano afecta a pagos, clientes, personal, proveedores y continuidad, por lo que debe gestionarse como un riesgo de negocio. Por tanto, la dirección debe aprobar las medidas, asignar responsables y revisar resultados comprensibles. No basta con firmar una política y dejar el asunto en manos del proveedor informático.
Explicado de forma sencilla, la Directiva NIS2 pide que las entidades incluidas en su ámbito gestionen la ciberseguridad como cualquier otro riesgo importante del negocio. La dirección debe conocer los riesgos, aprobar las medidas y supervisar que se apliquen. También contempla formación para la propia dirección y para los empleados, control de accesos, autenticación reforzada, respuesta ante incidentes, continuidad y seguridad de los proveedores.
NIS2 no afecta directamente del mismo modo a todos los autónomos y pequeñas empresas. Depende, entre otros factores, de la actividad, el tamaño y el papel que desempeñe la organización. Sin embargo, una pyme que trabaje para una entidad obligada puede recibir requisitos de seguridad porque NIS2 también presta atención a la cadena de suministro. Aunque no exista obligación directa, sus medidas ofrecen una referencia práctica para proteger el negocio.
En organizaciones sujetas al ENS (Esquema Nacional de Seguridad), la CCN-STIC 808 pide evidencias de campañas, formación por perfiles, canales de comunicación y evaluación de la eficacia. La cuestión ya no es solo si se impartió un curso, sino si puede demostrarse que el riesgo está disminuyendo.
Qué hacer en cada situación: parar, comprobar y avisar
Una pyme no necesita comprar todas las herramientas del mercado. Puede empezar con las funciones que ya incluyen su correo, programa de gestión, banca o servicio en la nube. Si no dispone de personal especializado, puede apoyarse en un proveedor, pero debe saber qué controla, quién atiende las alertas y cómo se comprobará que funciona. En el área de empresas de INCIBE se encuentran multitud de herramientas y recursos que pueden ayudarte a proteger tu empresa.
Ejemplo de un plan asumible para empezar:
- Primer mes: Identificar las cinco operaciones más delicadas y anotar quién interviene, qué puede fallar y qué comprobación falta.
- Segundo mes: Reforzar cuentas críticas, revisar permisos, implantar la doble aprobación, crear un canal de aviso y acordar normas sobre IA y proveedores.
- Tercer mes: Formar por funciones y practicar simulacros como una petición de pago falsa y la pérdida de una cuenta o dispositivo. Cerrar con mejoras, responsables y fechas.
Para medir el avance bastan indicadores comprensibles: cuánto se tarda en retirar un acceso o recibir un aviso, cuántas cuentas importantes tienen protección reforzada, cuántos pagos se verifican y si las copias permiten recuperar la actividad. Completar un curso no demuestra por sí solo que el riesgo haya disminuido.
De la norma a la defensa diaria
Esta actualización del artículo de 2018 no significa que el mensaje fuese incorrecto. La política de seguridad sigue siendo necesaria porque fija responsabilidades, límites y una forma común de actuar. Lo que ha cambiado es lo que debemos esperar de ella.
Pero actualmente el riesgo humano no se controla solo con normas. Se reduce cuando esas normas se convierten en accesos robustos, comprobaciones simples, herramientas fáciles de utilizar, formación cercana al trabajo y procesos que dejan rastro. También cuando informar de una duda o un error resulta más sencillo que ocultarlo. Y por supuesto, ninguna persona debería ser la única barrera frente a una operación capaz de causar un daño grave.
Una pyme no necesita que todas las personas acierten siempre. Necesita diseñar el trabajo para prevenir errores evitables, limitar su impacto y detectarlos pronto. El “firewall humano” cobra verdadero sentido cuando cada empleado, autónomo, directivo y colaborador puede detectar y avisar, respaldado por procesos y controles que no le dejan solo y deja de ser visto como el "eslabón débil" para convertirse en sensor y participante activo de la defensa.
Y recuerda que ante cualquier duda o problema de seguridad digital puedes contactar con nosotros a través de la Línea de Ayuda en Ciberseguridad de INCIBE (017), los canales de mensajería instantánea de WhatsApp (900 116 117) y Telegram (@INCIBE017), o el formulario de contacto (seleccionando la opción de usuario de empresa o profesional) que encontrarás en nuestra web. Expertos en la materia resolverán cualquier conflicto online relacionado con el uso de la tecnología y los dispositivos conectados.
