--- id: CP-388 slug: curva-olvido-ebbinghaus-formacion-anual lang: es title: La curva del olvido de Ebbinghaus description: "Por qué una única formación anual no basta: lo que dicen ENISA, NIST, el NCSC y la CISA sobre el diseño y la medición de los programas." canonical_url: https://startbrain.io/cyberpedia/es/articles/curva-olvido-ebbinghaus-formacion-anual/ markdown_url: https://startbrain.io/cyberpedia/es/articles/curva-olvido-ebbinghaus-formacion-anual.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, «La curva del olvido de Ebbinghaus», Cyberpedia, 2026. https://startbrain.io/cyberpedia/es/articles/curva-olvido-ebbinghaus-formacion-anual/ (CC BY 4.0) wing: 6 theme: learn_with_brain reflex: cr-015 schema: G2 updated: "2026-11-03" translations: es: https://startbrain.io/cyberpedia/es/articles/curva-olvido-ebbinghaus-formacion-anual/ fr: https://startbrain.io/cyberpedia/fr/articles/courbe-oubli-ebbinghaus-formation-annuelle/ en: https://startbrain.io/cyberpedia/en/articles/ebbinghaus-forgetting-curve-annual-training/ de: https://startbrain.io/cyberpedia/de/articles/ebbinghaus-vergessenskurve-jahrliche-schulung/ it: https://startbrain.io/cyberpedia/it/articles/curva-oblio-ebbinghaus-formazione-annuale/ sources: - "n": 1 title: "Cybersecurity Culture Guidelines: Behavioural Aspects of Cybersecurity" publisher: ENISA url: https://www.enisa.europa.eu/publications/cybersecurity-culture-guidelines-behavioural-aspects-of-cybersecurity published: "2019-04-16" accessed: "2026-11-03" - "n": 2 title: Addressing Skills Shortage and Gap Through Higher Education publisher: ENISA url: https://www.enisa.europa.eu/publications/addressing-skills-shortage-and-gap-through-higher-education published: "2021-11-24" accessed: "2026-11-03" - "n": 3 title: Building a Cybersecurity and Privacy Learning Program publisher: NIST url: https://csrc.nist.gov/pubs/sp/800/50/r1/final published: "2024-09-12" accessed: "2026-11-03" - "n": 4 title: A Role-Based Model for Federal Information Technology/Cybersecurity Training publisher: NIST url: https://csrc.nist.gov/pubs/sp/800/16/r1/2pd published: "2013-10-24" accessed: "2026-11-03" - "n": 5 title: "Phishing scams: how to spot and report them" publisher: NCSC (Royaume-Uni) url: https://www.ncsc.gov.uk/collection/phishing-scams published: "2021-11-26" accessed: "2026-11-03" - "n": 6 title: Cybersecurity Awareness Month publisher: CISA url: https://www.cisa.gov/cybersecurity-awareness-month accessed: "2026-11-03" --- # La curva del olvido de Ebbinghaus ¿Deja huellas duraderas una sesión de concienciación de una hora, una vez al año? La curva del olvido de Ebbinghaus sirve a esta ficha de punto de partida para dudarlo. De ella se extrae una idea sencilla: son preferibles los recordatorios breves y repetidos a una gran sesión aislada. Una precisión previa. Las páginas consultadas para esta ficha son guías y páginas de orientación de ENISA, el NIST, el NCSC británico y la CISA. Ninguna describe la curva de Ebbinghaus ni cuantifica lo que retiene un empleado pasadas unas semanas. Por eso la ficha no ofrece ningún porcentaje de olvido. Se limita a lo que estos organismos dicen sobre el diseño y el seguimiento de los programas de concienciación. ## En 30 segundos - Dónde ocurre: en cualquier organización que limita la concienciación a una sesión anual. - Qué conviene recordar: la guía del NIST describe un enfoque de ciclo de vida, con métodos de evaluación para mejorarlo y actualizarlo con regularidad [3]. - El reflejo: avisar de inmediato de un mensaje sospechoso, sin esperar a la próxima formación. - Si ya lo ha hecho: si ha respondido a un mensaje dudoso, avise cuanto antes a su equipo de seguridad. El NCSC, el servicio británico, publica una página sobre cómo notificar un mensaje sospechoso y qué hacer tras responder a una estafa por correo electrónico [5]. ## Preguntas directas ### ¿Qué dice la curva del olvido de Ebbinghaus? Ninguna de las fuentes citadas aquí la describe. La ficha no puede, por tanto, citar sus valores. Su relación con la formación anual sigue siendo una hipótesis de trabajo de esta ficha, no un resultado establecido por las páginas consultadas. ### ¿Basta con una formación al año? Las páginas consultadas no lo plantean en esos términos. El NIST describe, en cambio, un enfoque de ciclo de vida que gestiona conjuntamente la concienciación, la formación y la educación, con métodos de evaluación para mejorar y actualizar el programa con regularidad [3]. Puede deducirse, sin que la fuente lo diga, que un programa así va más allá de una sesión al año. ### ¿Qué esperan las guías de un programa de concienciación? El NIST escribe: « The program should encourage behavior change as part of risk management and lead to developing a privacy and security culture in the organization. » [3] El objetivo declarado es, por tanto, un cambio de comportamiento. ### ¿Existe una guía europea sobre cultura de seguridad? Sí. ENISA publicó el 16 de abril de 2019 un informe dedicado a los aspectos humanos de la ciberseguridad. Abarca la psicología y la sociología, pero también la etnografía, la antropología, la biología humana y la economía del comportamiento [1]. ## Qué cambia para los empleados Para el empleado, lo importante en la práctica es no depender de un recuerdo. Una sesión seguida una sola vez no sustituye a un gesto sencillo al alcance de la mano. El NCSC da un ejemplo: notificar un mensaje de phishing. Según su página, notificarlo es gratuito y lleva solo un minuto: « Reporting a scam is free and only takes a minute. » [5] El NCSC explica que estas notificaciones permiten reducir el número de comunicaciones fraudulentas recibidas, convertirse en un objetivo más difícil y proteger a los demás [5]. El servicio dice también tener la facultad de investigar las direcciones y los sitios fraudulentos y de lograr que se retiren [5]. El NCSC añade un hábito que no requiere ninguna formación: los delincuentes usan la información disponible en línea, redes sociales incluidas, para hacer más convincentes sus mensajes. Pensar en lo que se publica y revisar la configuración de privacidad reduce el riesgo de ser elegido como objetivo [5]. La CISA resume los gestos básicos en cuatro puntos, presentados durante el mes de la ciberseguridad, en octubre: evitar y notificar el phishing, usar contraseñas robustas, activar la autenticación multifactor con un gestor de contraseñas y actualizar el software [6]. Cada recordatorio (un cartel, un mensaje interno, una breve reunión de equipo) puede retomar uno solo. ## Qué cambia para la dirección Para la dirección, las fuentes consultadas apuntan hacia la medición y no hacia el simple recuento de participantes. El NIST indica que su guía incluye indicadores y métodos de evaluación propuestos, para mejorar el programa con regularidad [3]. Precisa también que las recomendaciones son adaptables, para organizaciones grandes o pequeñas, incluidas las que construyen un programa desde cero [3]. El NIST presenta su programa como un proceso que gestiona la concienciación, la formación y la educación para un conjunto variado de públicos de empleados federales [3]. Un segundo borrador público de 2013, sustituido desde entonces, describía un modelo de formación por rol para las personas con responsabilidades importantes en informática o ciberseguridad [4]. En esta ficha se deduce que un módulo anual idéntico para todos responde mal a esa diversidad de públicos, pero ninguna fuente lo afirma. Por su parte, la CISA ofrece un kit de herramientas para el mes de la ciberseguridad de 2026, con materiales visuales y presentaciones que las organizaciones pueden usar en sus propias campañas [6]. ENISA describe las políticas de los Estados miembros de la Unión según cuatro objetivos: concienciación, formación, retos y ejercicios [2]. La concienciación es allí un objetivo entre otros, junto con la formación y los ejercicios. Ninguna de estas páginas fija un umbral de frecuencia, por ejemplo un número de recordatorios al año. La ficha tampoco lo da. ## Qué dice el texto El principal documento consultado es la publicación SP 800-50 revisión 1 del NIST, titulada « Building a Cybersecurity and Privacy Learning Program ». Ofrece a las agencias federales estadounidenses y a las organizaciones orientaciones para construir un programa de aprendizaje en ciberseguridad y protección de la privacidad según un enfoque de ciclo de vida [3]. Se apoya en normas, reglamentaciones, textos legislativos y buenas prácticas ampliamente aceptados [3]. Esta publicación sustituye a la SP 800-50 de 2003 y a la SP 800-16 de 1998 [3]. La página cita la Cybersecurity Enhancement Act y la circular OMB A-130 entre las leyes y reglamentaciones asociadas [3]. Una versión anterior de la SP 800-16 revisión 1, fechada en octubre de 2013, describe un modelo de formación por rol. Precisa que toda persona que posee, utiliza o gestiona información debe comprender bien sus responsabilidades de seguridad [4]. Esta versión es un segundo borrador público y la página indica que fue sustituida el 14 de marzo de 2014 por un tercer borrador [4]. El informe de ENISA de 2021 formula, por su parte, cinco recomendaciones sobre la escasez de competencias en ciberseguridad en la Unión. Las páginas consultadas no detallan su contenido [2]. ## En qué punto está la aplicación Los documentos consultados son guías. Las páginas no hablan de ninguna obligación legal para una empresa privada de formar a sus empleados con una frecuencia determinada, y la ficha no afirma ninguna. En el lado estadounidense, la versión final de la SP 800-50 revisión 1 es de septiembre de 2024, tras dos borradores publicados en septiembre de 2021 y en agosto de 2023 [3]. Está dirigida a las agencias federales y a las organizaciones [3]. En el lado europeo, la página de ENISA sobre la cultura de ciberseguridad clasifica su informe de 2019 entre los contenidos escritos para el sector privado [1]. Enumera también varias citas: una tercera conferencia europea sobre concienciación, prevista para el 11 de noviembre de 2026 [1]. Las páginas no dicen qué organizaciones aplican estas guías ni con qué resultados. En cuanto a la idea central de esta ficha, queda por comprobar en una fuente específica. Una medición de los comportamientos reales, por ejemplo la tasa de notificación de mensajes sospechosos, es coherente con las orientaciones del NIST. Ninguno de los documentos consultados la cuantifica. ## Fuentes 1. ENISA, «Cybersecurity Culture Guidelines: Behavioural Aspects of Cybersecurity», 16 de abril de 2019. https://www.enisa.europa.eu/publications/cybersecurity-culture-guidelines-behavioural-aspects-of-cybersecurity (consultado el 3 de noviembre de 2026) 2. ENISA, «Addressing Skills Shortage and Gap Through Higher Education», 24 de noviembre de 2021. https://www.enisa.europa.eu/publications/addressing-skills-shortage-and-gap-through-higher-education (consultado el 3 de noviembre de 2026) 3. NIST, «Building a Cybersecurity and Privacy Learning Program», 12 de septiembre de 2024. https://csrc.nist.gov/pubs/sp/800/50/r1/final (consultado el 3 de noviembre de 2026) 4. NIST, «A Role-Based Model for Federal Information Technology/Cybersecurity Training», 24 de octubre de 2013. https://csrc.nist.gov/pubs/sp/800/16/r1/2pd (consultado el 3 de noviembre de 2026) 5. NCSC (Royaume-Uni), «Phishing scams: how to spot and report them», 26 de noviembre de 2021. https://www.ncsc.gov.uk/collection/phishing-scams (consultado el 3 de noviembre de 2026) 6. CISA, «Cybersecurity Awareness Month». https://www.cisa.gov/cybersecurity-awareness-month (consultado el 3 de noviembre de 2026) --- Fuente original: Cyberpedia, la enciclopedia pública de ciberseguridad e IA publicada por Brain. Versión canónica: https://startbrain.io/cyberpedia/es/articles/curva-olvido-ebbinghaus-formacion-anual/ Puede reutilizar este texto libremente bajo la licencia CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), siempre que cite «Brain, Cyberpedia» con un enlace a la dirección anterior.