Puedes tener el servidor con todos los parches al día y los privilegios mínimos bien recortados, y aun así perderlo todo por un correo que dice ser del SII, un mensaje de WhatsApp que parece de tu banco, o un “actualiza tu clave” que en realidad te la está robando. Los básicos anteriores blindan la tecnología. Este blinda a las personas, que siguen siendo la puerta más fácil de abrir.
Es el segundo de los 9 básicos de la ANCI: capacitar periódicamente. Y la razón por la que va tan arriba en la lista es simple: una cadena es tan fuerte como su eslabón más débil, y ese eslabón casi siempre es humano, no técnico.
Lo que dice la ANCI
La guía oficial es clara: los trabajadores de una institución deben recibir capacitación periódica para detectar phishing y manejar la información de forma segura, desde el primer día y con refuerzos constantes, no como un trámite de bienvenida que se hace una vez y se olvida. La ANCI insiste en dos ideas prácticas: preparar ambientes de práctica (simulacros) y evaluar después de cada instancia, para saber si realmente quedó algo o solo se pasó lista.
Si tu organización es un operador de importancia vital o un servicio esencial bajo la Ley 21.663, esto deja de ser una buena idea: la ley exige un plan de concientización continuo con trazabilidad por colaborador. Traducido: no alcanza con haber dictado la charla, hay que poder demostrar quién la tomó y cuándo.
Capacitar, según tu tamaño
Nivel 1 · Personas
Si nadie más depende de tus decisiones, tu tarea es mantener el criterio afilado. No necesitas un programa: necesitas el hábito de desconfiar un poco de todo lo que llega con urgencia.
- Sospecha de la urgencia. “Tu cuenta será bloqueada en 24 horas”, “paga ahora o pierdes el paquete”: el apuro es la herramienta favorita del fraude, porque no te deja pensar.
- Verifica por un canal distinto. Si tu banco te escribe, entra a la app o llama al número oficial, nunca al que viene en el mensaje.
- Toma un curso gratuito, una vez al año. Refresca lo que ya sabes y te muestra las técnicas nuevas, porque el fraude también se actualiza.
Nivel 2 · Pequeños emprendimientos: cómo lo hacemos nosotros
Asentic es exactamente este tamaño: sin un equipo grande que capacitar todavía, así que el básico se aplica distinto a como lo aplicaría una empresa de cien personas, pero se aplica igual.
- El criterio se mantiene activo, no se asume. No basta con “saber de esto”: tomamos cursos de refuerzo igual que le pediríamos a cualquier colaborador, porque las técnicas de fraude cambian y la certeza de ayer envejece rápido.
- El proceso de onboarding ya está escrito, antes de necesitarlo. El día que se sume la primera persona al equipo, la capacitación en phishing y manejo seguro de información no se improvisa: ya existe como paso obligatorio de entrada, no como algo que “se ve después”.
- Reforzamos con lo que exponemos en el propio blog. Cada post sobre phishing, fraude o una ley nueva es, de paso, nuestro propio repaso. Escribirlo para otros obliga a tenerlo fresco uno mismo.
¿El resultado? Un básico que en apariencia “no aplica” a un equipo de una persona en realidad se cumple igual, con la vara puesta en la propia capacitación permanente y un proceso listo para cuando el equipo crezca. Eso es justo lo que evita el problema más común: llegar tarde a capacitar cuando ya hay alguien que capacitar.
Nivel 3 · PYME de mediana complejidad
Con varias personas en distintos roles, capacitar deja de ser un gesto individual y necesita trazabilidad: saber quién tomó qué, cuándo, y si aprendió algo.
- Onboarding obligatorio, no opcional ni “cuando haya tiempo”: todo el que entra pasa por la capacitación básica antes de tocar sistemas o datos.
- Refuerzo periódico, no una vez y listo. El ciclo del CSIRT de Gobierno para el sector público es un buen modelo a copiar: charlas cortas y recurrentes, mejor que una sola jornada larga al año.
- Simulacros de phishing con evaluación después, tal como recomienda la ANCI: envía un correo de prueba, mide quién hace clic, y usa el resultado para reforzar, no para castigar.
- Registro por persona. Quién tomó cada capacitación y cuándo, con fecha. Si tu organización cae bajo la Ley 21.663, este registro no es opcional: es la evidencia que te van a pedir.
- Un responsable, normalmente recursos humanos en conjunto con quien lleva la seguridad, para que el programa no dependa de la buena voluntad de alguien.
Cursos gratuitos, reales, con certificado
No hace falta presupuesto para partir. Dos opciones que existen hoy, verificadas:
- “Ciberseguridad: Phishing y fraude digital”, de la ANCI junto a la Contraloría General de la República y la Alianza Chilena de Ciberseguridad. Se accede con ClaveÚnica o cuenta CEA, es gratis, abierto a cualquier persona interesada, y entrega certificado al aprobar.
- “Introduction to Cybersecurity”, de Cisco Networking Academy, en español. Curso introductorio de 6 a 15 horas con insignia de finalización al terminar: no es una certificación profesional, pero es un buen primer paso gratuito para quien nunca ha visto el tema.
Combínalos con lo que ya tienes a mano: un simulacro de phishing casero (mandarte a ti mismo, o a tu equipo, un correo de prueba) cuesta cero pesos y enseña más que una hora de video.
El hilo conductor: el hábito, no el evento
Capacitar una vez es casi lo mismo que no capacitar. El fraude cambia de forma constantemente y la memoria de una charla se diluye en semanas. Lo que funciona es lo aburrido: repetir, reforzar, medir si quedó algo, y volver a repetir. Ese ritmo es el básico completo, no un curso aislado marcado como tarea cumplida.
En resumen
La tecnología más blindada sigue teniendo una puerta abierta si nadie entrenó a quien la usa. Capacitar no exige presupuesto grande, exige constancia: elige tu nivel, parte con un curso gratuito y real, y conviértelo en hábito antes que en trámite.
¿Quieres saber qué tan expuesta está tu organización a un ataque que empieza con un clic? FreeScan revisa tu postura externa en minutos, sin registro y sin costo.
