La curva del olvido de Ebbinghaus
Por qué una única formación anual no basta: lo que dicen ENISA, NIST, el NCSC y la CISA sobre el diseño y la medición de los programas.
En 30 segundos
- Dónde ocurre
- En cualquier organización que limita la concienciación a una sesión anual.
- Qué conviene recordar
- La guía del NIST describe un enfoque de ciclo de vida, con métodos de evaluación para mejorarlo y actualizarlo con regularidad3.
- El reflejo
- Avisar de inmediato de un mensaje sospechoso, sin esperar a la próxima formación.
- Si ya lo ha hecho
- Si ha respondido a un mensaje dudoso, avise cuanto antes a su equipo de seguridad. El NCSC, el servicio británico, publica una página sobre cómo notificar un mensaje sospechoso y qué hacer tras responder a una estafa por correo electrónico5.
De qué se trata
¿Deja huellas duraderas una sesión de concienciación de una hora, una vez al año? La curva del olvido de Ebbinghaus sirve a esta ficha de punto de partida para dudarlo. De ella se extrae una idea sencilla: son preferibles los recordatorios breves y repetidos a una gran sesión aislada.
Una precisión previa. Las páginas consultadas para esta ficha son guías y páginas de orientación de ENISA, el NIST, el NCSC británico y la CISA. Ninguna describe la curva de Ebbinghaus ni cuantifica lo que retiene un empleado pasadas unas semanas. Por eso la ficha no ofrece ningún porcentaje de olvido. Se limita a lo que estos organismos dicen sobre el diseño y el seguimiento de los programas de concienciación.
Preguntas directas
¿Qué dice la curva del olvido de Ebbinghaus?
Ninguna de las fuentes citadas aquí la describe. La ficha no puede, por tanto, citar sus valores. Su relación con la formación anual sigue siendo una hipótesis de trabajo de esta ficha, no un resultado establecido por las páginas consultadas.
¿Basta con una formación al año?
Las páginas consultadas no lo plantean en esos términos. El NIST describe, en cambio, un enfoque de ciclo de vida que gestiona conjuntamente la concienciación, la formación y la educación, con métodos de evaluación para mejorar y actualizar el programa con regularidad3. Puede deducirse, sin que la fuente lo diga, que un programa así va más allá de una sesión al año.
¿Qué esperan las guías de un programa de concienciación?
El NIST escribe: « The program should encourage behavior change as part of risk management and lead to developing a privacy and security culture in the organization. »3 El objetivo declarado es, por tanto, un cambio de comportamiento.
¿Existe una guía europea sobre cultura de seguridad?
Sí. ENISA publicó el 16 de abril de 2019 un informe dedicado a los aspectos humanos de la ciberseguridad. Abarca la psicología y la sociología, pero también la etnografía, la antropología, la biología humana y la economía del comportamiento1.
1Qué cambia para los empleados1 min
Para el empleado, lo importante en la práctica es no depender de un recuerdo. Una sesión seguida una sola vez no sustituye a un gesto sencillo al alcance de la mano.
El NCSC da un ejemplo: notificar un mensaje de phishing. Según su página, notificarlo es gratuito y lleva solo un minuto: « Reporting a scam is free and only takes a minute. »5 El NCSC explica que estas notificaciones permiten reducir el número de comunicaciones fraudulentas recibidas, convertirse en un objetivo más difícil y proteger a los demás5. El servicio dice también tener la facultad de investigar las direcciones y los sitios fraudulentos y de lograr que se retiren5.
El NCSC añade un hábito que no requiere ninguna formación: los delincuentes usan la información disponible en línea, redes sociales incluidas, para hacer más convincentes sus mensajes. Pensar en lo que se publica y revisar la configuración de privacidad reduce el riesgo de ser elegido como objetivo5.
La CISA resume los gestos básicos en cuatro puntos, presentados durante el mes de la ciberseguridad, en octubre: evitar y notificar el phishing, usar contraseñas robustas, activar la autenticación multifactor con un gestor de contraseñas y actualizar el software6. Cada recordatorio (un cartel, un mensaje interno, una breve reunión de equipo) puede retomar uno solo.
2Qué cambia para la direcciónDirección2 min
Para la dirección, las fuentes consultadas apuntan hacia la medición y no hacia el simple recuento de participantes. El NIST indica que su guía incluye indicadores y métodos de evaluación propuestos, para mejorar el programa con regularidad3. Precisa también que las recomendaciones son adaptables, para organizaciones grandes o pequeñas, incluidas las que construyen un programa desde cero3.
El NIST presenta su programa como un proceso que gestiona la concienciación, la formación y la educación para un conjunto variado de públicos de empleados federales3. Un segundo borrador público de 2013, sustituido desde entonces, describía un modelo de formación por rol para las personas con responsabilidades importantes en informática o ciberseguridad4. En esta ficha se deduce que un módulo anual idéntico para todos responde mal a esa diversidad de públicos, pero ninguna fuente lo afirma.
Por su parte, la CISA ofrece un kit de herramientas para el mes de la ciberseguridad de 2026, con materiales visuales y presentaciones que las organizaciones pueden usar en sus propias campañas6. ENISA describe las políticas de los Estados miembros de la Unión según cuatro objetivos: concienciación, formación, retos y ejercicios2. La concienciación es allí un objetivo entre otros, junto con la formación y los ejercicios.
Ninguna de estas páginas fija un umbral de frecuencia, por ejemplo un número de recordatorios al año. La ficha tampoco lo da.
3Qué dice el textoTexto oficial1 min
El principal documento consultado es la publicación SP 800-50 revisión 1 del NIST, titulada « Building a Cybersecurity and Privacy Learning Program ». Ofrece a las agencias federales estadounidenses y a las organizaciones orientaciones para construir un programa de aprendizaje en ciberseguridad y protección de la privacidad según un enfoque de ciclo de vida3. Se apoya en normas, reglamentaciones, textos legislativos y buenas prácticas ampliamente aceptados3.
Esta publicación sustituye a la SP 800-50 de 2003 y a la SP 800-16 de 19983. La página cita la Cybersecurity Enhancement Act y la circular OMB A-130 entre las leyes y reglamentaciones asociadas3.
Una versión anterior de la SP 800-16 revisión 1, fechada en octubre de 2013, describe un modelo de formación por rol. Precisa que toda persona que posee, utiliza o gestiona información debe comprender bien sus responsabilidades de seguridad4. Esta versión es un segundo borrador público y la página indica que fue sustituida el 14 de marzo de 2014 por un tercer borrador4.
El informe de ENISA de 2021 formula, por su parte, cinco recomendaciones sobre la escasez de competencias en ciberseguridad en la Unión. Las páginas consultadas no detallan su contenido2.
4En qué punto está la aplicación1 min
Los documentos consultados son guías. Las páginas no hablan de ninguna obligación legal para una empresa privada de formar a sus empleados con una frecuencia determinada, y la ficha no afirma ninguna.
En el lado estadounidense, la versión final de la SP 800-50 revisión 1 es de septiembre de 2024, tras dos borradores publicados en septiembre de 2021 y en agosto de 20233. Está dirigida a las agencias federales y a las organizaciones3.
En el lado europeo, la página de ENISA sobre la cultura de ciberseguridad clasifica su informe de 2019 entre los contenidos escritos para el sector privado1. Enumera también varias citas: una tercera conferencia europea sobre concienciación, prevista para el 11 de noviembre de 20261. Las páginas no dicen qué organizaciones aplican estas guías ni con qué resultados.
En cuanto a la idea central de esta ficha, queda por comprobar en una fuente específica. Una medición de los comportamientos reales, por ejemplo la tasa de notificación de mensajes sospechosos, es coherente con las orientaciones del NIST. Ninguno de los documentos consultados la cuantifica.
Ficha
- Identificador
- CP-388
- Ala
- 6. Gobernanza y GRC
- Competencia Brain
- Aprender con BRAIN (learn_with_brain)
- Reflejo Brain
- cr-015
- Esquema
- G2 · Mito frente a realidad
- Idiomas
- de, en, es, fr
- Fuentes
- 6 fuentes verificadas el 3 de noviembre de 2026
Fuentes6 fuentes
- ENISA, «Cybersecurity Culture Guidelines: Behavioural Aspects of Cybersecurity», 16 de abril de 2019. https://www.enisa.europa.eu/publications/cybersecurity-culture-guidelines-behavioural-aspects-of-cybersecurity (consultado el 3 de noviembre de 2026)
- ENISA, «Addressing Skills Shortage and Gap Through Higher Education», 24 de noviembre de 2021. https://www.enisa.europa.eu/publications/addressing-skills-shortage-and-gap-through-higher-education (consultado el 3 de noviembre de 2026)
- NIST, «Building a Cybersecurity and Privacy Learning Program», 12 de septiembre de 2024. https://csrc.nist.gov/pubs/sp/800/50/r1/final (consultado el 3 de noviembre de 2026)
- NIST, «A Role-Based Model for Federal Information Technology/Cybersecurity Training», 24 de octubre de 2013. https://csrc.nist.gov/pubs/sp/800/16/r1/2pd (consultado el 3 de noviembre de 2026)
- NCSC (Royaume-Uni), «Phishing scams: how to spot and report them», 26 de noviembre de 2021. https://www.ncsc.gov.uk/collection/phishing-scams (consultado el 3 de noviembre de 2026)
- CISA, «Cybersecurity Awareness Month». https://www.cisa.gov/cybersecurity-awareness-month (consultado el 3 de noviembre de 2026)
Citar este artículo
Brain, «La curva del olvido de Ebbinghaus», Cyberpedia, 2026. https:/
BibTeX
@misc{brain_cp388_es_2026,
author = {Brain},
title = {La curva del olvido de Ebbinghaus},
year = {2026},
howpublished = {Cyberpedia},
url = {https://startbrain.io/cyberpedia/es/articles/curva-olvido-ebbinghaus-formacion-anual/},
note = {CC BY 4.0}
}