Más del 80% de los incidentes de ciberseguridad en empresas chilenas comienzan con una acción humana: un clic en un correo falso, una contraseña reutilizada, un pendrive de origen desconocido conectado al computador corporativo. Mientras las organizaciones invierten fuertemente en firewalls, antivirus y arquitecturas Zero Trust, el eslabón más vulnerable sigue siendo el usuario final. La respuesta a ese problema no es técnica: es cultural. Se llama ciberhigiene.
¿Qué es la ciberhigiene?
La ciberhigiene es el conjunto de hábitos cotidianos que una persona debe incorporar para reducir los riesgos digitales en su vida laboral y personal. Así como la higiene personal protege de enfermedades físicas, la ciberhigiene protege de amenazas digitales como phishing, ransomware, robo de identidad y filtración de datos personales.
A diferencia de la ciberseguridad técnica, que opera en servidores y configuraciones, la ciberhigiene vive en el computador, el teléfono y el escritorio de cada trabajador. Es la primera barrera de defensa y, hoy, la menos trabajada por la mayoría de las organizaciones chilenas.
¿Qué exige la Ley 21.663 en materia de capacitación?
La Ley 21.663 establece el Marco de Ciberseguridad de Chile y creó la ANCI (Agencia Nacional de Ciberseguridad). Su propósito es fortalecer la resiliencia digital del país, con foco en los operadores de importancia vital y los servicios esenciales.
En materia de personas, la ley contempla tres obligaciones concretas para las empresas obligadas:
- Capacitación permanente: formar a directivos, trabajadores y terceros relevantes en buenas prácticas de ciberseguridad y ciberhigiene.
- Políticas y procedimientos de uso aceptable: definir reglas claras de uso de activos digitales, contraseñas, acceso remoto, dispositivos personales y respuesta ante incidentes.
- Cultura y sensibilización: promover activamente hábitos seguros a través de campañas internas, simulacros de phishing y recordatorios periódicos.
Aunque tu empresa no esté calificada como operador de importancia vital, el deber de cuidado y la Ley 21.719 (protección de datos) ya obligan a capacitar al personal que trata datos personales. La ciberhigiene deja de ser voluntaria en cuanto manejas información regulada.
Los 6 módulos que toda capacitación efectiva debe cubrir
La experiencia práctica muestra que los programas masivos de ciberseguridad técnica no funcionan para usuarios finales: son densos, abstractos y se olvidan en semanas. Una capacitación efectiva debe trabajar las capas 6 y 7 del modelo OSI, es decir, lo que el usuario ve y toca: correo, navegador, redes sociales, dispositivos.
Contraseñas y autenticación
Contraseñas fuertes, gestores (Bitwarden, 1Password), autenticación en dos pasos (MFA) y qué hacer si una clave se filtra.
Phishing e ingeniería social
Reconocer correos falsos por remitente y URL, SMS y WhatsApp fraudulentos (smishing) y llamadas de soporte falso (vishing).
Malware y ransomware
Virus, troyanos, spyware, señales de equipo infectado y qué hacer (y qué no hacer) si aparece un rescate en pantalla.
Pendrives y dispositivos
Riesgos de los USB desconocidos, carga segura de teléfonos, respaldos y políticas internas de dispositivos personales.
Navegación y Wi-Fi
Identificar sitios falsos (HTTPS), descargas seguras, Wi-Fi público, VPN básica y buenas prácticas en home office.
Redes sociales y huella digital
Información que nunca se comparte, suplantación de identidad, privacidad en WhatsApp, Instagram y LinkedIn.
Errores frecuentes en las capacitaciones chilenas
Muchas empresas intentan cumplir el requisito con un curso genérico descargado de internet o con una charla anual que nadie recuerda. Los errores más comunes que detectamos son:
- Contenido demasiado técnico. Hablar de criptografía asimétrica o segmentación de red a un contador o vendedor desperdicia tiempo y esfuerzo.
- Única instancia sin refuerzo. El cerebro olvida el 80% de lo aprendido en un mes si no hay repetición espaciada.
- Sin evaluación real. Sin métricas de comprensión, no se puede acreditar el deber de capacitación ante fiscalización.
- Sin simulacros. La mejor prueba es una campaña controlada de phishing: muestra quiénes están preparados y quiénes necesitan refuerzo.
- Material no localizado. Ejemplos en inglés o con entidades extranjeras reducen la conexión del usuario con el contenido.
Cómo estructurar un programa anual efectivo
Un programa de ciberhigiene que funciona combina formación, simulación y métricas. La propuesta mínima que recomendamos a nuestros clientes es:
- Curso base obligatorio (primer trimestre): seis módulos en línea con evaluaciones cortas y certificación al aprobar. Duración estimada de 2 a 3 horas por usuario.
- Simulacros de phishing trimestrales: envíos controlados desde una plataforma segura. Los usuarios que caen reciben micro-capacitación automática.
- Micro-píldoras mensuales: videos cortos (2 a 3 minutos) sobre amenazas de actualidad, estafas locales y buenas prácticas.
- Recertificación anual: examen final con certificado digital firmado electrónicamente, válido como evidencia ante fiscalización.
- Informe ejecutivo semestral: tasa de aprobación, alumnos pendientes, tasa de clic en simulacros y comparativa con benchmarks de industria.
Diagnóstico rápido: si no puedes responder en 30 segundos cuántas personas de tu empresa aprobaron la última capacitación en ciberhigiene, en qué mes fue y qué tasa de clic tuviste en el último simulacro, la capacitación no está funcionando. Lo que no se mide, no se puede acreditar.
Relación con las demás obligaciones de compliance
La ciberhigiene no vive aislada. Se cruza con tres marcos normativos críticos en Chile:
- Ley 21.719 (Protección de Datos Personales): el artículo sobre medidas de seguridad organizativas exige capacitar al personal que trata datos. La ciberhigiene es la medida preventiva más costo-eficiente.
- Ley 21.643 (Ley Karin): la gestión de canales de denuncia y el manejo de información sensible del denunciante requieren personal capacitado en ciberhigiene básica.
- Ley 21.595 (Delitos Económicos): muchos delitos económicos se habilitan por malas prácticas digitales. Un Modelo de Prevención de Delitos robusto incluye capacitación en ciberhigiene.
Capacita a toda tu organización con SISCAP
Seis módulos de ciberhigiene para el usuario final, con respaldo académico, evaluaciones y certificación digital.
Conocer SISCAP →