Memoria duradera: repetición espaciada y cuestionarios
Por qué una formación recibida una sola vez no basta, y qué dicen el NIST, ENISA y el NCSC sobre la concienciación continua.
En 30 segundos
- Dónde ocurre
- En cualquier programa de concienciación, ya consista en una sesión anual o en recordatorios breves y regulares.
- Lo que dicen las agencias
- Un programa de aprendizaje se concibe como un ciclo de mejora continua1.
- El reflejo
- Atender los recordatorios breves cuando lleguen, responder a los cuestionarios sin buscar la respuesta y comunicar un mensaje sospechoso en lugar de ignorarlo.
De qué se trata
Una formación en ciberseguridad recibida una sola vez deja pocas huellas si nada se la recuerda después. Esta ficha recoge tres métodos para que los buenos reflejos perduren: recordatorios espaciados en el tiempo, preguntas que obligan a recuperar la respuesta de memoria (el cuestionario) y simulaciones cercanas al trabajo real.
Esta ficha se apoya en textos de agencias: NIST, ENISA, CISA y NCSC. Esos textos hablan de programas continuos, de cultura y de comportamientos. Ninguno de los documentos leídos describe el funcionamiento de la memoria ni mide el olvido tras una sesión única. Por eso la ficha se limita a lo que las agencias escriben y señala lo que no dicen.
Preguntas directas
¿Por qué se olvida una formación recibida una sola vez?
Las fuentes citadas aquí no responden a esta pregunta. No contienen ninguna medición del olvido ni estudio sobre la memoria. Lo que muestran es indirecto: las agencias conciben la concienciación como un proceso duradero. En su proyecto de directrices, el NIST presenta un modelo de ciclo de vida « that allows for ongoing, iterative improvements », es decir, mejoras continuas y repetidas1.
¿Qué son la repetición espaciada, el cuestionario y la simulación?
La repetición espaciada consiste en repasar una noción a intervalos, por ejemplo unos minutos cada vez. El cuestionario pide recuperar la respuesta en lugar de releerla. La simulación sitúa al empleado ante un caso cercano a su trabajo. Estos tres métodos no se nombran en las fuentes citadas aquí: sirven como esquema para leer las recomendaciones de las agencias, sin atribuirles opiniones que no expresan.
¿Qué cambia para mí respecto a una sesión anual?
Una sesión anual llega una vez, en una fecha fijada. Los recordatorios breves vuelven a lo largo del año. Las agencias organizan precisamente momentos repetidos: octubre es el mes europeo de la ciberseguridad, con ENISA y la Comisión Europea2, y octubre es también el mes de la concienciación sobre ciberseguridad en Estados Unidos, con cuatro acciones básicas al alcance de todos3.
¿Qué se dice de un empleado que no conoce sus responsabilidades?
El NIST escribe en un proyecto de 2013 que toda persona que posea, utilice, dependa de o gestione información « must fully understand their specific security responsibilities »4. Este texto es un proyecto de formación por rol, sustituido después por una versión posterior4.
1Qué cambia para los empleados1 min
Para un empleado, el cambio afecta a la frecuencia y a la forma. En lugar de un módulo largo seguido una sola vez, un programa concebido como ciclo prevé retornos regulares. El NIST describe su enfoque como un modelo que permite cambios « to accommodate cybersecurity, privacy, and organization-specific events », es decir, que se adapta a los acontecimientos propios de la organización1.
Las agencias insisten también en los hábitos. ENISA organiza campañas para promover buenas prácticas y un cambio de comportamiento, con la mejora de la higiene digital como eje central: dar a las personas « the knowledge and habits » necesarios para detectar y reducir los riesgos cotidianos2.
CISA destaca un gesto concreto: entre cuatro acciones básicas, evitar y comunicar los mensajes de phishing3. El NCSC británico indica que comunicar un mensaje fraudulento es gratuito y lleva un minuto5. Precisa que comunicarlo permite reducir el número de mensajes fraudulentos recibidos y proteger a otras personas5.
2Qué cambia para la direcciónDirección1 min
Para la dirección, los textos leídos hablan de programa, de ciclo y de medición. El proyecto del NIST fija entre sus objetivos integrar los programas de aprendizaje en los objetivos de la organización para gestionar los riesgos, proponer una cultura de ciberseguridad centrada en los empleados y abordar la dificultad de medir el efecto de los programas1. También propone indicadores y métodos de evaluación para que el programa se mejore con regularidad1.
ENISA, por su parte, aspira a un ecosistema en el que la buena higiene digital esté « embedded as a standard practice » en todos los sectores2. Publica herramientas para las organizaciones, entre ellas una versión actualizada de « Awareness Raising in a Box », aparecida el 10 de abril de 20242. CISA pone a disposición un kit de herramientas para que las organizaciones construyan sus propias campañas3.
Un informe de ENISA de 2019 trata los aspectos humanos de la ciberseguridad, desde la psicología, la sociología, la antropología y la economía del comportamiento, entre otras disciplinas6.
3Qué dice el textoTexto oficial1 min
Ninguna de las fuentes citadas aquí es un texto jurídico vinculante sobre la repetición espaciada, el cuestionario o la simulación. Son directrices, páginas de campaña e informes.
El proyecto NIST SP 800-50 Rev. 1, publicado el 28 de agosto de 2023, busca ayudar a las agencias federales estadounidenses y a otras organizaciones a construir un programa de aprendizaje en ciberseguridad y protección de la privacidad con un enfoque de ciclo de vida1. Se dirige a organizaciones grandes y pequeñas, y a públicos variados de empleados1. La versión inicial de esta guía data de 20031.
El NIST SP 800-16 Rev. 1, en su segunda versión de trabajo de octubre de 2013, describe un método de formación por rol para el personal con responsabilidades importantes en seguridad informática4.
En el ámbito europeo, ENISA explica que sus campañas buscan un cambio de comportamiento y de cultura2. Un informe de ENISA sobre las competencias en ciberseguridad, publicado el 24 de noviembre de 2021, analiza la oferta de competencias en Europa y las políticas de los Estados miembros para reforzar sus plantillas7.
4En qué punto está la aplicación1 min
El proyecto NIST SP 800-50 Rev. 1 de 2023 ha sido sustituido: la página indica que quedó obsoleto el 12 de septiembre de 2024 con la versión final1. El periodo de comentarios públicos ha concluido1. El contenido de la versión final no figura en las fuentes citadas aquí. En cuanto al NIST SP 800-16 Rev. 1, la segunda versión de trabajo está obsoleta desde el 14 de marzo de 2014, sustituida por una tercera4.
Respecto a NIS 2, las fuentes citadas aquí no dan el estado de aplicación ni las obligaciones de formación. Solo una información se acerca: la página de ENISA menciona un documento del 26 de junio de 2025, preparado en virtud de los artículos 6 y 10 del reglamento sobre ciberseguridad, sobre las competencias y los roles de los profesionales de ciberseguridad que necesitan las entidades esenciales e importantes de NIS 27. El texto de ese documento no se ha leído. No permite afirmar que NIS 2 imponga recordatorios espaciados, cuestionarios o simulaciones.
Por último, el NCSC publica totales: en septiembre de 2026, más de 59,6 millones de denuncias recibidas y 263 700 estafas retiradas en 466 300 direcciones5.
Ficha
- Identificador
- CP-389
- Ala
- 6. Gobernanza y GRC
- Competencia Brain
- Aprender con BRAIN (learn_with_brain)
- Reflejo Brain
- air-009
- Esquema
- G2 · Mito frente a realidad
- Idiomas
- de, en, es, fr
- Fuentes
- 7 fuentes verificadas el 3 de noviembre de 2026
Fuentes7 fuentes
- NIST, «Building a Cybersecurity and Privacy Learning Program», 28 de agosto de 2023. https://csrc.nist.gov/pubs/sp/800/50/r1/ipd (consultado el 3 de noviembre de 2026)
- ENISA, «Awareness and Cyber Hygiene». https://www.enisa.europa.eu/topics/awareness-and-cyber-hygiene (consultado el 3 de noviembre de 2026)
- CISA, «Cybersecurity Awareness Month». https://www.cisa.gov/cybersecurity-awareness-month (consultado el 3 de noviembre de 2026)
- NIST, «A Role-Based Model for Federal Information Technology/Cybersecurity Training». https://csrc.nist.gov/pubs/sp/800/16/r1/2pd (consultado el 3 de noviembre de 2026)
- NCSC (Royaume-Uni), «Phishing scams: how to spot and report them», 26 de noviembre de 2021. https://www.ncsc.gov.uk/collection/phishing-scams (consultado el 3 de noviembre de 2026)
- ENISA, «Cybersecurity Culture Guidelines: Behavioural Aspects of Cybersecurity», 16 de abril de 2019. https://www.enisa.europa.eu/publications/cybersecurity-culture-guidelines-behavioural-aspects-of-cybersecurity (consultado el 3 de noviembre de 2026)
- ENISA, «Addressing Skills Shortage and Gap Through Higher Education», 24 de noviembre de 2021. https://www.enisa.europa.eu/publications/addressing-skills-shortage-and-gap-through-higher-education (consultado el 3 de noviembre de 2026)
Citar este artículo
Brain, «Memoria duradera: repetición espaciada y cuestionarios», Cyberpedia, 2026. https:/
BibTeX
@misc{brain_cp389_es_2026,
author = {Brain},
title = {Memoria duradera: repetición espaciada y cuestionarios},
year = {2026},
howpublished = {Cyberpedia},
url = {https://startbrain.io/cyberpedia/es/articles/memorizacion-duradera-repeticion-espaciada-cuestionarios/},
note = {CC BY 4.0}
}