Brain Security · Concienciación en ciberseguridad e IA
Catálogo
La competición cíber totalmente personalizable: desarrollo a medida, boss fights y clasificación pública.
Descubrir→
Máquina
La máquina arcade de concienciación cíber. Se configura en línea y se entrega llave en mano.
Descubrir→
Juego
El desahogo de los CISO: un solo gesto, ~2 minutos, y gritar al micro multiplica los puntos.
Descubrir→
Competición
La competición de reflejos totalmente configurable: minijuegos cronometrados, universo cíber, IA o mixto, modo arcade.
Descubrir→
Experiencia
El fotomatón deepfake: autorice su webcam, una IA le transforma en directo y no vuelve a mirar una imagen de la misma manera.
Descubrir→
Enciclopedia
La enciclopedia cíber visual generada por IA: explore cada tema hasta el infinito.
Descubrir→
Bot
El bot que conciencia en su mensajería: microlecciones que llegan solas, firmadas por Jack.
Descubrir→
Formación
El recorrido de aprendizaje cíber en mapa de progreso: capítulos cortos y un quiz arcade integrado, sin cuenta que crear.
Descubrir→
Simulación
El simulador de phishing que entrena a sus equipos frente a ataques reales, del falso correo al código QR trampa, en un marco controlado que nunca captura una contraseña.
Descubrir→
Coming soon
La caja de herramientas del CISO, muy pronto disponible.
El juego narrativo que enseña ciberseguridad jugando: diez capítulos, un mapa de niveles, sin instalar nada.
Descubrir→
Descubre cómo superar el control A.6.3 de ISO 27001:2022 en tu auditoría: métricas clave, evidencias documentadas y seguimiento continuo.
Se acerca la fecha de la auditoría de certificación ISO 27001 y ya tienes listas las políticas de control de acceso, el análisis de riesgos y el plan de tratamiento. Sin embargo, suele quedar una duda recurrente: ¿qué revisará de verdad el auditor externo cuando analice el factor humano de tu SGSI? Demasiadas organizaciones cometen el error de creer que un simple curso e-learning genérico enviado una vez al año basta para justificar la concienciación de los empleados.
En realidad, con la versión ISO/IEC 27001:2022 y el control A.6.3 (Toma de conciencia, educación y formación en seguridad de la información), las exigencias de los auditores han madurado de forma notable. Ya no buscan comprobar únicamente la existencia de una acción formativa, sino verificar que el programa está vivo, alineado con el perfil de riesgo de la empresa y respaldado por métricas a lo largo del tiempo. A continuación, te mostramos el método para estructurar y documentar esta iniciativa con garantías de cara al día de la auditoría.
En resumen: El control A.6.3 establece que el personal y las partes interesadas deben recibir concienciación adecuada, formación continua y actualizaciones periódicas sobre las políticas de seguridad de la organización, adaptadas a sus funciones operativas y a las ciberamenazas actuales.
En la revisión de 2022 del estándar, la gestión del factor humano gana peso operativo. El propio enunciado diferencia tres ámbitos complementarios: la toma de conciencia (comprensión global del impacto), la educación (adopción de buenos hábitos y criterios preventivos) y la formación especializada (competencias técnicas según el puesto de trabajo).
El auditor verificará que tu plan respete cuatro principios esenciales:
En resumen: Para superar la auditoría de ISO 27001, debes aportar un cronograma anual formalizado, registros numéricos de tasas de finalización por área, evidencias de actualización frente a nuevas amenazas y evaluaciones sobre la eficacia práctica de los módulos impartidos.
Durante la auditoría, las intenciones carecen de validez sin evidencias tangibles (la información documentada que exige la cláusula 7.5). El auditor externo solicitará la apertura de paneles de control e informes cuantitativos.
1. El plan de concienciación formalizado: un documento estratégico validado por la dirección que detalle el calendario anual, las temáticas abordadas (phishing, gestión de contraseñas, ingeniería social, shadow IT) y la frecuencia establecida.
2. El porcentaje de cobertura de la plantilla: debes poder generar un informe consolidado que muestre quién ha completado cada módulo formativo. Conviene fijar como objetivo una tasa de finalización superior al 85 % y documentar las medidas de seguimiento para el personal pendiente.
3. La evaluación del aprendizaje práctico: un simple clic en "marcar como leído" no demuestra la asimilación de conceptos. El auditor valorará mecanismos objetivos de validación, como cuestionarios interactivos o simulaciones de situaciones reales.
4. El ciclo de mejora continua: demuestra cómo se adaptan los contenidos a raíz de incidentes internos recientes o de las pruebas prácticas ejecutadas durante el ejercicio.
Para responder a esta exigencia de regularidad sin sobrecargar la jornada laboral de los equipos, un itinerario estructurado mediante microlecciones como Cyber Journey permite distribuir el aprendizaje a lo largo del año. Este formato ágil, complementado con dinámicas de arcade quiz, genera métricas de progreso detalladas que sirven como evidencia directa ante el equipo auditor.
| Strategic Dimension | Detailed CISO Recommendation |
|---|---|
| Adecuación según el rol | los equipos de desarrollo de software, el departamento de compras y el área de recursos humanos no gestionan los mismos activos ni afrontan idénticos… (¿Qué exige exactamente el control A.6.3 de la norma ISO…) |
| El esquema de formación única anual | impartir un único taller en enero y desatender la materia el resto del ejercicio evidencia una carencia notable de continuidad. (Errores habituales que derivan en una no conformidad) |
| Periodicidad de las acciones | una única sesión cada doce meses resulta insuficiente ante la velocidad a la que evolucionan las ciberamenazas. El auditor espera un ritmo sostenido… (¿Qué exige exactamente el control A.6.3 de la norma ISO…) |
| Falta de registro sobre colaboradores externos | si los proveedores o el personal temporal acceden a sistemas corporativos sensibles, el auditor comprobará si han sido incluidos en las acciones de… (Errores habituales que derivan en una no conformidad) |
La mayoría de los hallazgos desfavorables vinculados al control A.6.3 no se deben a la ausencia de formación, sino a la falta de rigor en el seguimiento y en la dinamización de las actividades.
El control A.6.3 no debe abordarse como un mero trámite documental, sino como una oportunidad estratégica para involucrar a la dirección y consolidar los procedimientos de protección. Al desplegar campañas periódicas, dinámicas y fáciles de auditar, la organización transforma un requisito normativo en una barrera preventiva sólida.
Si estás preparando una auditoría de certificación o renovación de ISO 27001 y buscas actualizar tus contenidos a la vez que automatizas las evidencias para el auditor, contacta con nuestro equipo para descubrir cómo diseñar un programa de concienciación eficaz y adaptado a tus marcos de cumplimiento.
