El incremento sostenido de los ciberataques ha transformado la ciberseguridad en un vector estratégico para la continuidad del negocio, la reputación corporativa y el cumplimiento normativo. En 2024, el Instituto Nacional de Ciberseguridad (INCIBE) gestionó casi 100.000 incidentes en España. Este contexto exige una respuesta integral que combine tecnología, procesos y, de forma muy destacada, personas. Desde la perspectiva de recursos humanos y formación, la ciberseguridad es, hoy, una competencia transversal crítica que puede y debe impulsarse mediante la formación programada por las empresas (bonificada).
Los ataques actuales abarcan desde campañas de phishing hiperpersonalizadas y uso ofensivo de IA generativa (deepfakes, automatización de señuelos) hasta intrusiones en la cadena de suministro, cifrado de datos y extorsión, con efectos operativos y reputacionales severos.
La respuesta empresarial necesita una inversión estratégica y enfoque 360, basada en:
1) Tecnología. Refuerzo de perímetros y entornos cloud, segmentación de redes, gestión de identidades y accesos, cifrado de datos y copias inmutables.
2) Procesos. Gobierno del dato, gestión de vulnerabilidades, continuidad de negocio y planes de respuesta a incidentes con ejercicios periódicos.
3) Personas. Cultura de seguridad, concienciación continua, y capacitación específica por rol (usuarios, mandos intermedios, TI/OT, comité de crisis).
Cómo diseñar un plan formativo de ciberseguridad bonificable (orientado a RR. HH.)
1) Diagnóstico inicial.
- Identifique riesgos por procesos (p. ej., facturación, RR. HH., ventas), tecnologías (correo, M365/Google Workspace, ERP/CRM), datos sensibles (RGPD) y exposición externa (web, proveedores).
2) Itinerarios por colectivos (propuesta orientativa).
- Concienciación general (8–12 h, teleformación): higiene digital, phishing/smishing, contraseñas/gestores de credenciales, MFA, trabajo remoto seguro, uso responsable de IA generativa.
- Mandos intermedios (6–10 h): responsabilidades, reporting, gestión del cambio, coordinación con TI/Compliance.
- Personal TI/Dev/OT (20–40 h, mixto): hardening, vulnerabilidades, Zero Trust, backup inmutable, respuesta a incidentes y table-top exercises.
- Comité de crisis (4–6 h, taller): cadena de decisiones, comunicación interna/externa, relación con AEPD y fuerzas de seguridad.
3) Modalidad y requisitos.
- Combine teleformación (escala, medición) con sesiones síncronas/talleres para simulacros y ejercicios. Verifique los límites de grupo y duración y que el LMS cumple la trazabilidad exigida.
4) Gestión económica y documental.
- Calcule el crédito disponible y presupueste conforme a costes directos/indirectos/organización; respete los topes y conserve evidencias (matrículas, participación, evaluaciones, facturas, pagos).
Un catálogo orientativo de acciones formativas (ejemplos).
- Ciberseguridad para usuarios y mandos (teleformación 10 h). Buenas prácticas, gestión de identidades, ingeniería social y IA responsable.
- Respuesta a incidentes para equipos técnicos (mixto 30 h). Preparación, detección, contención, erradicación y recuperación; ejercicios de mesa.
- Protección de datos y continuidad de negocio (teleformación 12 h). RGPD aplicado al puesto, clasificación de la información, copias inmutables y restauración.
- Simulaciones de phishing y talleres de crisis (presencial 4–6 h). Métricas, lecciones aprendidas y plan de mejora.
Checklist de cumplimiento para RR. HH. y Formación.
- Prepare cada curso con un riesgo/objetivo del negocio.
- Comunique el inicio a FUNDAE dentro de los plazos y con los datos requeridos.
- Verifique límites de duración y aforos; asegure LMS con trazabilidad y acceso de inspección.
- Documente participación y evaluación; justifique costes respetando topes y criterios.
- Mida el impacto (KPIs) y actualice contenidos ante cambios de amenaza.
Por todo ello, debido al aumento de la frecuencia y el coste de los incidentes —acentuado por el uso ofensivo y el mal gobierno de la IA— obliga a las organizaciones a profesionalizar su capacitación en ciberseguridad. La formación bonificada ofrece un mecanismo para desarrollar competencias críticas en toda la plantilla, siempre que se planifique con rigor, se ejecute con trazabilidad y se conecte con objetivos de negocio y métricas de riesgo.
